WO2025220101A1 - 判定方法、情報処理装置、プログラム、及び、応答方法 - Google Patents

判定方法、情報処理装置、プログラム、及び、応答方法

Info

Publication number
WO2025220101A1
WO2025220101A1 PCT/JP2024/015085 JP2024015085W WO2025220101A1 WO 2025220101 A1 WO2025220101 A1 WO 2025220101A1 JP 2024015085 W JP2024015085 W JP 2024015085W WO 2025220101 A1 WO2025220101 A1 WO 2025220101A1
Authority
WO
WIPO (PCT)
Prior art keywords
security status
security
charging device
electric vehicle
charging
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
PCT/JP2024/015085
Other languages
English (en)
French (fr)
Inventor
剛 岸川
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Panasonic Intellectual Property Management Co Ltd
Original Assignee
Panasonic Intellectual Property Management Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Panasonic Intellectual Property Management Co Ltd filed Critical Panasonic Intellectual Property Management Co Ltd
Priority to PCT/JP2024/015085 priority Critical patent/WO2025220101A1/ja
Priority to PCT/JP2025/012694 priority patent/WO2025220468A1/ja
Publication of WO2025220101A1 publication Critical patent/WO2025220101A1/ja
Pending legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules

Definitions

  • This disclosure relates to a determination method, an information processing device, a program, and a response method.
  • Patent Document 1 discloses technology that uses a digital certificate to authenticate the other party. Also, for example, Non-Patent Document 1 discloses technology in a zero trust architecture that determines access permissions based on system context information.
  • Patent Document 1 only performs authentication using a digital certificate, and does not verify whether appropriate security operations are being carried out on the device with which the communication is taking place.
  • the technology in Non-Patent Document 1 determines access permission based on system context information, but it can be difficult to collect context information for systems with different owners.
  • the technology in Non-Patent Document 1 also does not verify whether appropriate security operations are being carried out on the device with which the communication is taking place.
  • This disclosure therefore provides a determination method, information processing device, program, and response method that can determine whether appropriate security operations are being performed on a communication partner device.
  • a determination method is a determination method executed by an information processing device included in a first system, which, when a first device included in the first system communicates with a second device included in a second system different from the first system, outputs a request to the second system to obtain the security status of the second device, obtains the security status of the second device from the second system that obtained the request, and makes a determination regarding the communication based on the security status of the second device obtained from the second system.
  • An information processing device is an information processing device included in a first system, and when a first device included in the first system communicates with a second device included in a second system different from the first system, the information processing device includes: an output unit that outputs a request to the second system to acquire the security status of the second device; an acquisition unit that acquires the security status of the second device from the second system that acquired the acquisition request; and a determination unit that makes a determination regarding the communication based on the security status of the second device acquired from the second system.
  • a program according to one aspect of the present disclosure is a program for causing a computer to execute the above-described determination method.
  • a response method is executed by an information processing device included in a second system, and when a first device included in a first system different from the second system communicates with a second device included in the second system, the response method receives a request from the first device to obtain the security status of the second device, and outputs the security status of the second device to the first device.
  • An information processing device is an information processing device included in a second system, and includes: an acquisition unit that acquires a request to acquire the security status of a second device from a first device included in a first system different from the second system when the first device communicates with a second device included in the second system; and an output unit that outputs the security status of the second device to the first device.
  • a program according to one aspect of the present disclosure is a program for causing a computer to execute the above-described response method.
  • One aspect of the present disclosure makes it possible to realize a determination method or the like that can determine whether appropriate security operations are being carried out on a communication partner device.
  • FIG. 1 is a diagram showing the overall configuration of a security status linking system according to the first embodiment.
  • FIG. 2 is a diagram showing the configuration of the in-vehicle network system according to the first embodiment.
  • FIG. 3 is a block diagram showing the functional configuration of the central ECU according to the first embodiment.
  • FIG. 4 is a diagram illustrating an example of a vehicle state according to the first embodiment.
  • FIG. 5 is a diagram illustrating an example of vehicle configuration information according to the first embodiment.
  • FIG. 6 is a block diagram showing the functional configuration of the battery management ECU according to the first embodiment.
  • FIG. 7 is a diagram showing an example of version information according to the first embodiment.
  • FIG. 8 is a block diagram illustrating a functional configuration of the EV management server according to the first embodiment.
  • FIG. 1 is a diagram showing the overall configuration of a security status linking system according to the first embodiment.
  • FIG. 2 is a diagram showing the configuration of the in-vehicle network system according to the first embodiment.
  • FIG. 9 is a diagram illustrating an example of a certification certificate held by the certification certificate holding unit according to the first embodiment.
  • FIG. 10 is a diagram illustrating an example of vehicle information according to the first embodiment.
  • FIG. 11 is a diagram illustrating a configuration of a charging station according to the first embodiment.
  • FIG. 12 is a block diagram showing a functional configuration of the station management server according to the first embodiment.
  • FIG. 13 is a diagram showing an example of an accreditation certificate held by the station management server according to the first embodiment.
  • FIG. 14 is a diagram illustrating an example of a station state according to the first embodiment.
  • FIG. 15 is a sequence diagram showing the operation of the security status linking system according to the first embodiment.
  • FIG. 16 is a flowchart showing the operation of the station management server according to the first embodiment.
  • FIG. 17 is a flowchart showing a first example of the detailed operation of step S32 shown in FIG.
  • FIG. 18 is a flowchart showing a second example of the detailed operation of step S32 shown in FIG.
  • FIG. 19 is a flowchart showing the detailed operation of step S34 shown in FIG.
  • FIG. 20 is a flowchart showing the operations that are subsequently executed after the operations shown in FIG. 19 are completed.
  • FIG. 21 is a flowchart showing the operation executed in the continuous monitoring mode according to the first embodiment.
  • FIG. 22 is a sequence diagram showing the operation of the security status linking system according to the modification of the first embodiment.
  • FIG. 23 is a flowchart showing a first example of the operation of the station management server according to the modification of the first embodiment.
  • FIG. 24 is a flowchart showing a second example of the operation of the station management server according to the modification of the first embodiment.
  • FIG. 25 is a block diagram illustrating a functional configuration of a charging device according to the second embodiment.
  • FIG. 26 is a diagram illustrating an example of a security state of the charging device according to the second embodiment.
  • FIG. 27 is a sequence diagram showing the operation of the security status linking system according to the second embodiment.
  • FIG. 28 is a flowchart showing the operation of the charging device according to the second embodiment.
  • FIG. 29 is a diagram showing an example of a display of the contents of a security status inquiry.
  • EVs electric vehicles
  • EV charging stations can give rise to new security risks.
  • new security risks include the risk that a compromised EV could exploit vulnerabilities in an EV charging station and thereby affect the power infrastructure, or the risk that a compromised EV charging station could improperly control EVs, causing harm to users.
  • Patent Document 1 discloses that a communication partner is authenticated using a digital certificate to enable secure communication, but does not disclose how to verify whether the communication partner's device has not been compromised or whether appropriate security operations are being implemented.
  • the inventors of the present application therefore conducted extensive research into methods for determining whether appropriate security operations are being carried out on the device of the other party with whom the communication is taking place, and devised the following methods.
  • the determination method is a determination method executed by an information processing device included in a first system, and when a first device included in the first system communicates with a second device included in a second system different from the first system, the method outputs a request to the second system to obtain the security status of the second device, obtains the security status of the second device from the second system that obtained the obtainment request, and makes a determination regarding the communication based on the security status of the second device obtained from the second system.
  • a determination method may be a determination method according to the first aspect, wherein the security state of the second device is determined based on at least one of information regarding a history of security anomalies in the second device, information regarding vulnerabilities contained in software that constitutes the second device, and information regarding security monitoring of the second device.
  • security status can be useful information for determining whether appropriate security operations are being carried out in the second device.
  • a determination method is a determination method according to the first or second aspect, in which, when the first device receives a request from the second device to use a function possessed by the first device, the first device may output the acquisition request to the second system.
  • a determination method is the determination method according to the third aspect, and may output to the second system at least one of information indicating the function requested by the second device from the first device, equipment information of the second device obtained from the second device, and information indicating the current location of the second device.
  • the determination method according to the fifth aspect of the present disclosure is a determination method according to any one of the first to fourth aspects, in which the first system may manage the security status of only the first device out of the first device and the second device.
  • a determination method is a determination method according to any one of the first to fifth aspects, in which the first device is one of an electric vehicle and a charging/discharging device, and the second device is the other of the electric vehicle and the charging/discharging device.
  • An information processing device is an information processing device included in a first system, and when a first device included in the first system communicates with a second device included in a second system different from the first system, the information processing device includes: an output unit that outputs a request to the second system to acquire the security status of the second device; an acquisition unit that acquires the security status of the second device from the second system that acquired the acquisition request; and a determination unit that makes a determination regarding the communication based on the security status of the second device acquired from the second system.
  • a program according to an eighth aspect of the present disclosure is a program for causing a computer to execute a determination method according to any one of the first to sixth aspects.
  • a response method is a response method executed by an information processing device included in a second system, which, when a first device included in a first system different from the second system communicates with a second device included in the second system, receives a request from the first device to obtain the security status of the second device, and outputs the security status of the second device to the first device.
  • a response method may be the response method according to the ninth aspect, wherein the security state of the second device is determined based on at least one of information regarding a history of security anomalies in the second device, information regarding vulnerabilities contained in software that constitutes the second device, and information regarding security monitoring of the second device.
  • security status can be useful information for the first device to determine whether appropriate security operations are being performed on the second device.
  • a response method according to an eleventh aspect of the present disclosure may be a response method according to the ninth or tenth aspect, which determines whether the acquired acquisition request is an acquisition request from the first device communicating with the second device, and if the acquired acquisition request is an acquisition request from the first device communicating with the second device, outputs the security status of the second device to the first device.
  • a response method is the response method according to the eleventh aspect, and may determine that the acquired acquisition request is an acquisition request from the first device communicating with the second device if the physical location of the first device and the physical location of the second device are within a predetermined range.
  • a response method is a response method according to the eleventh or twelfth aspect, and may determine that the acquired acquisition request is an acquisition request from the first device communicating with the second device if the first device holds the device information output by the second device.
  • a response method is a response method according to any one of the eleventh to thirteenth aspects, and may determine that the acquired acquisition request is an acquisition request from the first device communicating with the second device if the security status of the first device satisfies a predetermined condition.
  • a response method is a response method according to any of the eleventh to fourteenth aspects, in which, when information indicating a function of the first device that the second device has requested the first device to use is acquired from the first device along with the acquisition request, the method for determining whether the acquired acquisition request is an acquisition request from the first device communicating with the second device may be changed depending on the type of function.
  • a response method is the response method according to the fifteenth aspect, and may further transition to a continuous monitoring mode in which, in accordance with the information indicating the function, it monitors whether unauthorized control is being performed while the function is being used.
  • a response method is a response method according to the fifteenth or sixteenth aspect, and may determine, in the continuous monitoring mode, that a security anomaly has occurred if there is a discrepancy between at least one of the communication logs of the first device and the second device and the status of the functions of the first device and the second device.
  • a response method is the response method according to the seventeenth aspect, wherein one of the first device and the second device is an electric vehicle, the other of the first device and the second device is a charging device, the function is related to vehicle charging, and the power state is in a tight state, the response method may transition to the continuous monitoring mode.
  • An information processing device is an information processing device included in a second system, and includes an acquisition unit that, when a first device included in a first system different from the second system communicates with a second device included in the second system, acquires a request to acquire the security status of the second device from the first device, and an output unit that outputs the security status of the second device to the first device.
  • a program according to a twentieth aspect of the present disclosure is a program for causing a computer to execute a response method according to any one of the ninth to eighteenth aspects.
  • these general or specific aspects may be realized as a system, method, integrated circuit, computer program, or non-transitory recording medium such as a computer-readable CD-ROM, or as any combination of a system, method, integrated circuit, computer program, or recording medium.
  • the program may be pre-stored on the recording medium, or may be supplied to the recording medium via a wide area communication network, including the Internet.
  • each figure is a schematic diagram and is not necessarily an exact illustration. Therefore, for example, the scales of the figures do not necessarily match. Furthermore, in each figure, substantially identical components are assigned the same reference numerals, and duplicate explanations are omitted or simplified.
  • ordinal numbers such as “first” and “second” do not refer to the number or order of components, unless otherwise specified, but are used for the purpose of avoiding confusion and distinguishing between components of the same type.
  • FIG. 1 is a diagram showing the overall configuration of a security status linking system 1 according to this embodiment.
  • the security status linking system 1 includes an electric vehicle 10, an EV management server 20, a charging station 30 having one or more charging devices 601, and a station management server 40.
  • a first system is configured including the electric vehicle 10 and the EV management server 20, and a second system is configured including the charging station 30 (e.g., charging device 601) and the station management server 40.
  • the EV management server 20 is a server that manages the security status of the electric vehicle 10, but does not manage the security status of the charging device 601.
  • the first system is a system that manages the security status of only the electric vehicle 10 out of the electric vehicle 10 and the charging device 601.
  • the station management server 40 is a server that manages the security status of the charging device 601, but does not manage the security status of the electric vehicle 10.
  • the second system is a system that manages the security status of only the charging device 601 out of the electric vehicle 10 and the charging device 601.
  • the security status linking system 1 is a system that supports communication between devices that belong to different systems and are operated by different organizations (for example, servers operated by the organizations) and that are under security management, and that communicate with other devices that are under appropriate security management.
  • the electric vehicle 10 is a vehicle (electrically driven vehicle) that runs using all or part of the electrical energy stored in the battery 300 (see Figure 2) as its power source.
  • the electric vehicle 10 is an electric vehicle (EV), but may also be, for example, a plug-in hybrid vehicle (PHEV, PHV) or a hybrid vehicle (HEV, HV).
  • the electric vehicle 10 is connected to the EV management server 20, the charging station 30 (or the charging device 601), and the station management server 40 so that they can communicate with each other.
  • the electric vehicle 10 is an example of a first device included in a first system.
  • FIG. 2 shows the configuration of an in-vehicle network system according to this embodiment.
  • the electric vehicle 10 includes a central ECU (Electronic Control Unit) 100, a battery management ECU 200a, an ECU 200b, a battery 300, and a display 400.
  • ECU Electronic Control Unit
  • the central ECU 100 is an ECU that controls the entire vehicle by acting as the center of ECUs (e.g., battery management ECU 200a, ECU 200b), each of which realizes the vehicle's functions, and is a central ECU that integrates multiple ECUs.
  • the central ECU 100 has an interface for communicating with a server outside the vehicle.
  • the central ECU 100 makes an inquiry to the station management server 40 to determine whether the function use should be authorized.
  • the central ECU 100 is an example of an information processing device included in the first system.
  • the battery management ECU 200a and ECU 200b are also called zone ECUs and are connected to the central ECU 100 via an in-vehicle network.
  • FIG. 3 is a block diagram showing the functional configuration of the central ECU 100 according to this embodiment.
  • the central ECU 100 has, as its functional components, a server communication unit 101, a vehicle function access control unit 102, a user terminal communication unit 103, a vehicle network communication unit 104, a vehicle state storage unit 105, and a vehicle configuration information storage unit 106.
  • the server communication unit 101 is a communication interface for communicating with the station management server 40 (and the charging device 601) outside the vehicle.
  • the vehicle function access control unit 102 determines whether or not to permit access to vehicle functions, particularly those requested by an external system.
  • the vehicle function access control unit 102 determines whether or not to permit access to vehicle functions from the charging device 601 based on the security status of the charging device 601 acquired via the server communication unit 101.
  • the vehicle function access control unit 102 is an example of a determination unit.
  • the user terminal communication unit 103 is a communication interface for communicating with a user terminal (e.g., a smartphone).
  • the user terminal communication unit 103 is used when specific information is to be displayed via an application rather than on an in-vehicle display (e.g., display 400).
  • the vehicle network communication unit 104 is a communication interface for communicating with each component included in the in-vehicle network.
  • the vehicle state storage unit 105 is a storage device that stores the current vehicle state of the electric vehicle 10. The vehicle state is transmitted to the station management server 40 as necessary.
  • the vehicle state storage unit 105 is realized using semiconductor memory or the like.
  • FIG. 4 is a diagram showing an example of a vehicle state according to this embodiment.
  • the vehicle state shown in FIG. 4 is stored in the vehicle state storage unit 105.
  • the vehicle state includes remaining battery charge, location information, and driving state.
  • the remaining battery charge indicates the current remaining battery charge of the electric vehicle 10
  • the location information indicates the current location of the electric vehicle 10
  • the driving state indicates the current driving state of the electric vehicle 10.
  • the driving state is charging, but it may also be, for example, driving, temporarily stopped, etc.
  • the vehicle configuration information storage unit 106 is a storage device that stores version information indicating the current version of the vehicle software installed in the electric vehicle 10. The version information is transmitted to the station management server 40 as needed.
  • the vehicle configuration information storage unit 106 is realized by a semiconductor memory or the like.
  • FIG. 5 is a diagram showing an example of vehicle configuration information according to this embodiment.
  • the vehicle configuration information shown in FIG. 5 is stored in the vehicle configuration information storage unit 106.
  • the vehicle configuration information is information that associates the identification information, version, and last update date of each ECU installed in the electric vehicle 10.
  • the vehicle configuration information includes the software version of each of the multiple vehicles (including the electric vehicle 10) that are monitored by the EV management server 20.
  • each ECU when an ECU is updated or periodically, each ECU notifies the vehicle of its current version and last update date via the in-vehicle network, and the ECU version is updated according to the notification.
  • Figure 5 shows an example in which one version corresponds to each ECU, this is not limiting.
  • a software version may be managed for each application.
  • the software version information notified from the ECU may be protected from tampering.
  • the software version information may be protected, for example, using a message authentication code using the ECU's private key.
  • the battery management ECU 200a manages charging by determining the charging state of the battery 300 and notifying the charging device 601.
  • FIG. 6 is a block diagram showing the functional configuration of the battery management ECU 200a according to this embodiment.
  • the battery management ECU 200a includes an application unit 201a, a communication unit 202a, and a version storage unit 203a.
  • the application unit 201a is a processing unit that executes different applications for each ECU function. In this embodiment, the application unit 201a performs functions such as obtaining and notifying the remaining battery charge and managing charging.
  • the battery management ECU 200a also has a function for controlling the charging mode, and can change the charging mode via an external system (for example, via the charging device 601).
  • the application unit 201a may perform this type of charging mode control.
  • the application unit 201a may also have functions such as a normal charging function, a smart charging control function, obtaining driving history information, obtaining billing information, and requesting the display of commercials.
  • the communication unit 202a is a communication interface that enables the battery management ECU 200a to communicate with the vehicle network (e.g., other ECUs).
  • the version storage unit 203a is a storage device that stores the current software version of its own device.
  • the version storage unit 203a stores the current software version of its own device, the battery management ECU 200a.
  • the version storage unit 203a is realized by a semiconductor memory or the like.
  • FIG. 7 is a diagram showing an example of version information according to this embodiment. Note that in Figure 7, the identification information of the battery management ECU 200a is shown as "A.”
  • the version information stores, for example, that the current software version of the battery management ECU 200a is "3.0."
  • the number of versions is not limited to one; for example, if the battery management ECU 200a has multiple pieces of software, multiple software versions may be stored in the version storage unit 203a.
  • the versions of each of multiple applications, versions of libraries that make up the software, etc. may be stored in the version storage unit 203a.
  • Each ECU is configured to store and be able to access its current software version.
  • ECU 200b is an ECU for realizing other functions of electric vehicle 10.
  • the functional configuration of ECU 200b may be the same as the functional configuration of battery management ECU 200a, and a description thereof will be omitted. Note that there is no particular limit to the number of ECUs provided in electric vehicle 10.
  • Battery 300 stores electrical energy to power electric vehicle 10.
  • Battery 300 has a charging interface and is charged by charging device 601 at charging station 30.
  • Battery 300 may also be capable of being discharged via a charging/discharging device such as charging station 30.
  • the display 400 is a user interface provided on the electric vehicle 10, and is realized, for example, by a display device provided in a navigation system.
  • the display 400 displays, for example, information on charging the electric vehicle 10 using the charging device 601, information on the charging station 30, reservation information for the charging device 601, etc.
  • the EV management server 20 is a server managed by, for example, a vehicle manufacturer, and manages the security status of each vehicle, including the electric vehicle 10.
  • the EV management server 20 is capable of communicating with each of the electric vehicle 10, the charging station 30 (or charging device 601), and the station management server 40.
  • FIG. 8 is a block diagram showing the functional configuration of the EV management server 20 according to this embodiment.
  • the EV management server 20 includes a communication unit 501, a security status response unit 502, a security monitoring unit 503, a certification certificate holding unit 504, and a vehicle information holding unit 505.
  • the communication unit 501 is a communication interface that enables the EV management server 20 to communicate with the electric vehicle 10, the station management server 40, etc.
  • the security status response unit 502 executes processing to respond with the security status of one of the multiple vehicles being monitored (here, electric vehicle 10) in response to an inquiry about the security status of that vehicle from an external system (e.g., charging device 601, station management server 40, etc.) that communicates with that vehicle.
  • an external system e.g., charging device 601, station management server 40, etc.
  • the security monitoring unit 503 determines the security status of a vehicle (here, electric vehicle 10) communicating with an external system based on the vehicle information stored in the vehicle information storage unit 505 (see Figure 10, described below). The security monitoring unit 503 determines the security status of the vehicle based on whether the security patches for the software that configures the vehicle are up to date, whether there has been a history of security breaches in the past, etc.
  • the certification certificate holding unit 504 is a storage device that holds a certificate indicating that the EV management server 20 is operating in a certified manner.
  • the certification certificate holding unit 504 also holds a private key and a public key, allowing an external system to verify their legitimacy. In this way, the certification certificate holding unit 504 holds information that allows an external system to verify whether the EV management server 20 is operating in a certified manner.
  • the certification certificate holding unit 504 is realized using a semiconductor memory or the like.
  • FIG. 9 shows an example of a certification certificate held by the certification certificate holding unit 504 according to this embodiment.
  • the certification certificate includes the EV management server certificate and the server private key.
  • the EV management server certificate is a certificate that certifies that certified security operations are being carried out on the EV management server 20.
  • the EV management server certificate is issued, for example, by a certification authority.
  • the server private key is used to sign data sent by the EV management server 20.
  • the certification certificate also includes the EV management server's 20 public key, certificate authority information, and other information, making it possible to prove that the EV management server 20 is a legitimate server that manages the electric vehicle 10.
  • the vehicle information storage unit 505 is a storage device that stores vehicle information such as current location information, remaining battery charge, and security level for all managed vehicles.
  • vehicle information storage unit 505 is realized using semiconductor memory or the like.
  • Figure 10 shows an example of vehicle information according to this embodiment.
  • the vehicle information includes information about vehicles under the management of the EV management server 20.
  • the vehicle information is information that associates information that identifies the vehicle (e.g., 10A), items, and status.
  • the items include "software version” that indicates the current software version, "security intrusion history” that indicates the history of security intrusions, "security monitoring” that indicates whether a security monitoring service is being used, "security level” that indicates the security level of the electric vehicle 10 determined by the security monitoring unit 503, “remaining battery charge” that indicates the remaining charge of the battery 300, and "location information” that indicates the current location of the electric vehicle 10 (electric vehicle 10A in FIG. 10).
  • a security monitoring service is, for example, a monitoring service using an SOC (Security Operations Center), a vulnerability management system, or anomaly detection system.
  • the security level may be two levels (high and low), or three or more levels (high, medium, low, etc.), or may be indicated by a numerical value.
  • the charging station 30 is a station for charging the electric vehicle 10 and has one or more charging devices 601. Note that the charging station 30 may also be equipped with, for example, a charger that charges the battery 300 and a charging/discharging device that functions as a discharger that outputs (discharges) the power stored in the battery 300.
  • FIG 11 is a diagram showing the configuration of a charging station 30 according to this embodiment.
  • the three charging devices 601 are illustrated in Figure 11 as charging devices 601a to 601c.
  • the charging station 30 includes charging devices 601a to 601c and a station management unit 602.
  • the station management unit 602 manages the usage status (output, usage time), future usage schedule, etc. of each charging device 601a-601c.
  • the station management unit 602 also has a communications interface for communicating with the station management server 40, and may transmit the usage status, future usage schedule, etc. of each charging device 601a-601c to the station management server 40.
  • the station management unit 602 may be implemented by a local server.
  • the station management server 40 is a server managed by a charging service provider, a charging owner, etc., and monitors the security status of the charging station 30 and issues control instructions.
  • the station management server 40 is an example of an information processing device included in the second system.
  • the station management server 40 is operated by an organization different from the EV management server 20, and is a server independent of the EV management server 20.
  • FIG. 12 is a block diagram showing the functional configuration of the station management server 40 according to this embodiment.
  • the station management server 40 includes a communication unit 701, a security status response unit 702, a security monitoring unit 703, an authentication certificate holding unit 704, and a station status holding unit 705.
  • the communication unit 701 is a communication interface that enables the station management server 40 to communicate with the station management unit 602, EV management server 20, etc.
  • the security status response unit 702 executes processing to respond with the security status of the charging device 601 in response to an inquiry about the security status of the charging device 601 from an external system (e.g., electric vehicle 10) that communicates with the charging device 601.
  • an external system e.g., electric vehicle
  • the security monitoring unit 703 determines the security status of the charging device 601 communicating with an external system based on the station status (see Figure 14, described later) stored in the station status storage unit 705. The security monitoring unit 703 determines the security status of the charging device 601 based on the security status, schedule, power pressure rate, etc. of the charging station 30 (charging station 30A in Figure 14).
  • the certification certificate holding unit 704 is a storage device that holds a certificate indicating that the station management server 40 is operating in a certified manner.
  • the certification certificate holding unit 704 also holds a private key and a public key, allowing an external system to verify their legitimacy. In this way, the certification certificate holding unit 704 holds information that allows an external system to verify whether or not the station management server 40 is operating in a certified manner.
  • the certification certificate holding unit 704 is realized using semiconductor memory or the like.
  • FIG. 13 shows an example of an authentication certificate held by the station management server 40 according to this embodiment.
  • the authentication certificate includes a charging station management server certificate and a server private key.
  • the charging station management server certificate is a certificate that certifies that authorized operation is being carried out by the station management server 40.
  • the charging station management server certificate is issued, for example, by a certification authority.
  • the server private key is used to sign data sent by the station management server 40.
  • the certification certificate also includes the station management server 40's public key, certificate authority information, etc., and can prove that the station management server 40 is a legitimate server that manages the charging station 30 (e.g., charging device 601).
  • the station status storage unit 705 stores the security status, usage status schedule, and other information about each charging station 30 it manages as the station status.
  • the station status storage unit 705 also stores the status of the power supply from the power company.
  • the station status storage unit 705 is realized using semiconductor memory or the like.
  • FIG. 14 is a diagram showing an example of a station state according to this embodiment.
  • the station state shown in FIG. 14 is stored in the station state storage unit 705.
  • the station status includes information about the charging station 30 under the management of the station management server 40.
  • the station status is information that associates information identifying the charging station (e.g., 30A), items, and content.
  • the items include "Location” indicating the location of the charging station 30A, "Access Destination” indicating the access destination of the charging station 30A, "Power Utilization Rate” indicating the power utilization rate of the charging station 30A, "Security Status” indicating the security status of the charging station 30A, "Schedule” indicating the utilization status (or reservation information) of each charging device 601a-601c possessed by the charging station 30A, and "Power Pressure Rate” indicating the current power pressure rate.
  • the security status includes information indicating the presence or absence of security anomalies and information indicating the presence or absence of software vulnerabilities.
  • the presence or absence of software vulnerabilities can be identified based on the software version.
  • the security status may be maintained for each charging device 601a-601c.
  • the station status may also include an up-to-date list of the current software versions for each charging device 601a-601c.
  • Fig. 15 is a sequence diagram showing the operation (determination method, response method) of the security status linking system 1 according to this embodiment.
  • Fig. 15 shows the sequence up to the start of control of the charge mode for charging the electric vehicle 10.
  • the operation of the electric vehicle 10 shown in Fig. 15 is an example of a determination method executed by an information processing device included in the first system, and the operation of the station management server 40 is an example of a response method executed by an information processing device included in the second system.
  • the electric vehicle 10 is connected to the charging device 601 (S11).
  • the charging device 601 communication between the electric vehicle 10 and the charging device 601 begins. Note that the connection between the electric vehicle 10 and the charging device 601 may be made automatically or manually.
  • the charging device 601 outputs a function request to the electric vehicle 10, for example, requesting access to a charge mode control function that controls charging (or charging/discharging) of the electric vehicle 10 for efficient power management (S12).
  • the function request is a request to use a function possessed by the electric vehicle 10 (e.g., the central ECU 100 or zone ECU), and in this case may be a request to access a smart charging function possessed by the electric vehicle 10.
  • the electric vehicle 10 inquires of the charging device 601 about the current security status of the charging device 601 (or charging station 30) (S13).
  • the server communication unit 101 of the electric vehicle 10 sends an inquiry about the security status to the charging device 601, and the communication unit of the charging device 601 receives the inquiry.
  • the charging device 601 when the charging device 601 receives the security status inquiry from the electric vehicle 10, it transmits information about the station management server 40 that manages the security status of the charging device 601 (e.g., access destination information for the station management server 40) to the electric vehicle 10 as a response (S14).
  • the server communication unit 101 of the electric vehicle 10 receives the information about the station management server 40.
  • the electric vehicle 10 inquires of the station management server 40 about the security status of the communication destination charging device 601 (for example, the charging device 601 connected via the charging interface of the battery 300) (S15).
  • the electric vehicle 10 inquires of the station management server 40 about the current security status of the charging device 601 that issued the function request, in order to allow use of the function only for charging devices 601 that satisfy a predetermined security level.
  • the inquiry about the current security status of the charging device 601 is an example of a request to obtain the security status of the charging device 601.
  • the electric vehicle 10 e.g., the central ECU 100
  • the electric vehicle 10 outputs a request to obtain the security status of the charging device 601 to the second system (here, the station management server 40).
  • the server communication unit 101 is an example of an output unit.
  • the inquiry about the security status of the charging device 601 from the electric vehicle 10 may be acquired via the communication unit 701.
  • the communication unit 701 is an example of an acquisition unit.
  • the station management server 40 verifies the inquiry from the electric vehicle 10 and transmits the security status of the charging device 601 to the electric vehicle 10 as a response (S16).
  • the security status of the charging device 601 can also be considered information that proves to the first system, which is a different system, that the charging device 601 is being properly secured.
  • the electric vehicle 10 obtains the security status of the charging device 601 from the station management server 40 that received the inquiry in step S15.
  • the communication unit 701 is an example of an output unit.
  • the server communication unit 101 is an example of an acquisition unit.
  • the electric vehicle 10 verifies the legitimacy of the charging device 601 based on the security status of the charging device 601, and if the security status is appropriate, permits the charging device 601 to access the smart charging function (function access) and outputs authorization to the charging device 601 (S17).
  • the vehicle function access control unit 102 of the electric vehicle 10 determines whether to grant access to the smart charging function based on the security status of the charging device 601 obtained from the station management server 40.
  • the legitimacy of the charging device 601 may be determined based on whether the charging device 601 has an appropriate security status.
  • the appropriate security status may be stored in advance by the electric vehicle 10.
  • Determining whether to allow access to the smart charging function is an example of making a determination regarding communication.
  • a determination regarding communication may be, for example, whether to allow communication (or continue communication) with the charging device 601.
  • the charging device 601 receives from the electric vehicle 10 notification that access has been permitted, it starts charging control (S18).
  • the security status linkage system 1 when the security status of the charging device 601 (or charging station 30) is appropriate (for example, a security status corresponding to the smart charging function), that is, when appropriate security operations are being carried out for the charging device 601, access to the smart charging function by the charging device 601 is permitted, and access to the smart charging function is executed.
  • FIG. 16 is a flowchart showing the operation (response method) of the station management server 40 according to this embodiment.
  • FIG. 16 shows a flowchart of the overall processing of the station management server 40, which is the external linkage unit of the station management unit 602.
  • step S32 the security status response unit 702 determines whether the electric vehicle 10 that made the inquiry is a legitimate electric vehicle. Note that the processing of step S32 is not essential.
  • the security status response unit 702 determines whether the security status response is NG or not based on the verification result of step S32 (S33). If the security status response is OK (No in S33), that is, if the security status response unit 702 determines that the security status should be responded, the security monitoring unit 703 determines the security status of the charging device 601 (S34).
  • the communication unit 701 transmits the security status of the charging device 601 as a response to the electric vehicle 10 (S35).
  • the security status response unit 702 determines whether continuous monitoring of the electric vehicle 10 is necessary based on the security status of the charging device 601 and the functions requested by the charging device 601 (S36). Continuous monitoring means monitoring the status (security abnormalities) of the electric vehicle 10 while charging (e.g., while charging with access to the smart charging function permitted).
  • the security status response unit 702 calculates a risk value for using the functions based on the security status of the charging device 601 and the functions requested by the charging device 601, and determines whether continuous monitoring is necessary based on the calculated risk value. For example, the security status response unit 702 may determine that continuous monitoring is necessary if the risk value is equal to or greater than a predetermined value, and determine that continuous monitoring is not necessary if the risk value is less than the predetermined value.
  • the security status response unit 702 determines that continuous monitoring of the electric vehicle 10 is necessary (Yes in S36), it transitions to a continuous monitoring mode in which continuous monitoring is performed (S37); if it determines that continuous monitoring of the electric vehicle 10 is not necessary (No in S36), it terminates the processing.
  • the security status response unit 702 rejects the security status response (S38) because the electric vehicle 10 that made the inquiry may be an unauthorized vehicle.
  • FIGs 17 and 18 are flowcharts showing examples of the detailed operation (response method) of step S32 shown in Figure 16.
  • Figure 17 shows the operation of allowing a security status response when the vehicle (here, the electric vehicle 10) that inquired about the security status is physically close to the charging device 601 with which it is communicating.
  • Figure 18 shows the operation of allowing a security status response when the electric vehicle 10 has received a token (e.g., a one-time token) from the charging device 601 in advance and the token held by the electric vehicle 10 is the token issued by the charging device 601 with which it is communicating.
  • the token is an example of device information that the charging device 601 transmits to the electric vehicle 10.
  • the device information is not limited to a token and may be, for example, the ID (identification information) of the charging device 601.
  • the security status response unit 702 acquires the current location of the vehicle (electric vehicle 10) that made the inquiry (S32a).
  • the security status response unit 702 may, for example, acquire the current location from the electric vehicle 10.
  • the security status response unit 702 may acquire the ID (identification information) of the electric vehicle 10 instead of or in addition to the current location.
  • the security status response unit 702 determines whether the vehicle that made the inquiry is geographically close to the charging device 601 for which the security status was requested (S32b). In this case, the station management server 40 stores the location information of each charging device 601.
  • the security status response unit 702 determines that the inquiring vehicle is geographically close to the charging device 601 whose security status has been requested (Yes in S32b), it determines that the security status response to the inquiring vehicle is OK, i.e., a response will be made (S32c); if the inquiring vehicle is geographically far from the charging device 601 whose security status has been requested (No in S32b), it determines that the security status response to the inquiring vehicle is NG, i.e., no response will be made (S32d).
  • the security status response unit 702 may determine that the acquired acquisition request is an acquisition request from the electric vehicle 10 communicating with the charging device 601, and may determine to transmit the security status of the charging device 601 to the electric vehicle 10.
  • the security status response unit 702 receives the token issued by the communication partner charging device 601 from the inquiring vehicle (electric vehicle 10) (S32e).
  • the security status response unit 702 determines whether the token received in step S32e is a token issued by the target charging device 601 (S32f).
  • the security status response unit 702 may make the determination in step S32f by verifying the issuer or legitimacy of the token received in step S32e.
  • the charging device 601 may generate a token (e.g., a one-time token) and transmit the generated token to the electric vehicle 10 at the same time as the request.
  • a token e.g., a one-time token
  • Any known technology may be used to generate the one-time token.
  • each charging device 601 may have a private key, and each charging device 601 may be able to generate one-time tokens.
  • the one-time token may be valid only once, or may have an expiration date.
  • the security status response unit 702 determines that the token received in step S32e is a token issued by the target charging device 601 (Yes in S32f), it determines that the security status response to the inquiring vehicle is OK, i.e., a response will be made (S32g); if it determines that the token received in step S32e is not a token issued by the target charging device 601 (No in S32f), it determines that the security status response to the inquiring vehicle is NG, i.e., no response will be made (S32h).
  • the security status response unit 702 may determine that the acquired acquisition request is an acquisition request from the electric vehicle 10 communicating with the charging device 601, and may determine to transmit the security status of the charging device 601 to the electric vehicle 10.
  • FIG 19 is a flowchart showing the detailed operation (response method) of step S34 shown in Figure 16. Note that Figure 19 also shows the detailed operation of step S35 (S35a and S35b).
  • the security monitoring unit 703 determines whether the function requested by the charging device 601 (for example, the charge mode control function shown in FIG. 15) is a function that the charging device 601 can use (S34a).
  • the security monitoring unit 703 acquires the function requested by the charging device 601 from the electric vehicle 10, and if the list of available functions for each charging device 601 stored in the station management server 40 states that the function acquired from the electric vehicle 10 is available to the charging device 601, the security monitoring unit 703 determines that the function is available to the charging device 601. If the list does not state that the function acquired from the electric vehicle 10 is available to the charging device 601, the security monitoring unit 703 determines that the function is unavailable to the charging device 601.
  • the station management server 40 may store a list in advance of functions that the charging device 601 cannot use, such as the door locking/unlocking function, and functions that the charging device 601 cannot use, such as the smart charging function.
  • the security monitoring unit 703 may determine No in step S34a if access to vehicle functions in the charging device 601 is temporarily disabled. This applies, for example, to cases where the charging device 601's firmware has a vulnerability and the use of advanced functions is temporarily prohibited.
  • the security monitoring unit 703 determines whether a security level has been requested by the electric vehicle 10 (S34b).
  • the security level may be determined by the electric vehicle 10, for example, depending on the function for which the electric vehicle 10 has received an access request from the charging device 601.
  • the electric vehicle 10 may pre-store a table that associates the function for which it has received an access request with the requested security level, and the requested security level may be determined based on this table.
  • the server communication unit 101 of the electric vehicle 10 may transmit the requested security level along with an inquiry about the security status to the station management server 40 in step S15.
  • the security monitoring unit 703 determines whether the security status of the charging device 601 meets the security level required by the vehicle (S34c).
  • the security monitoring unit 703 determines the security level of the charging device 601 based on the security breach history of the charging device 601 (or the charging station 30 in which the charging device 601 is installed), whether security monitoring has been performed, the software version (whether or not there are known vulnerabilities), etc., and determines whether the security level is higher than the security level required by the electric vehicle 10.
  • the security level may be a numerical value, or may be a tiered level such as "high,” “medium,” or "low.”
  • the determination of whether the security level is met may be, for example, a determination of whether the security levels match.
  • the security breach history of the charging device 601 (or the charging station 30 in which the charging device 601 is installed), whether security monitoring is performed, software version, etc. are pre-stored in the station management server 40.
  • the communication unit 701 transmits a security status OK response to the electric vehicle 10 (S35a).
  • the security monitoring unit 703 determines that there is no security level request from the electric vehicle 10 (No in S34b), it executes processing to change the security status verification level in accordance with the function requested by the charging device 601. If the answer is No in step S34b, the security monitoring unit 703 determines whether the charging device 601 has any vulnerabilities (S34e). The security monitoring unit 703 determines whether the charging device 601 has any vulnerabilities, for example, based on the software version of the charging device 601.
  • the security monitoring unit 703 determines whether the charging device 601 is not vulnerable (Yes in S34e), it further determines whether the function requested by the charging device 601 is related to vehicle control (S34f).
  • the security monitoring unit 703 may make the determination in step S34f based on the functions requested by the charging device 601 obtained from the electric vehicle 10 and a list of whether the functions are related to vehicle control.
  • the station management server 40 may previously store a list of functions that do not relate to vehicle control, such as functions that obtain billing information as vehicle information and functions that can be used remotely, and functions that obtain the location information of the electric vehicle 10 as vehicle information, display commercial information, route search, etc.
  • the security monitoring unit 703 determines that the function requested by the charging device 601 is related to vehicle control (Yes in S34f), it further determines whether there has been a recent security abnormality in the charging device 601 based on the history of security abnormalities in the charging device 601 (S34g).
  • step S35a if the security monitoring unit 703 determines that there is no recent security abnormality in the charging device 601 (Yes in S34g), and if it determines that the function requested by the charging device 601 is not related to vehicle control (No in S34f), it proceeds to step S35a.
  • the security monitoring unit 703 determines that the function requested by the charging device 601 is not a function that the charging device 601 can use (No in S34a), if it determines that the security status of the charging device 601 does not meet the security level required by the vehicle (No in S34c), if it determines that the charging device 601 has a vulnerability (No in S34e), or if it determines that the charging device 601 has recently experienced a security abnormality (No in S34g), it proceeds to step S35b.
  • step S35a the communication unit 701 sends a response indicating that the security status is OK to the electric vehicle 10, and in step S35b, it sends a response indicating that the security status is NG to the electric vehicle 10.
  • the response to the inquiry may be determined based on the security level required of the charging device 601 that uses the function, as determined by the electric vehicle 10, and the security level of the charging device 601.
  • the security status may also be determined using the presence or absence of security monitoring for the charging device 601.
  • the security status of the charging device 601 is determined based on at least one of the following information: information regarding the history of security abnormalities in the charging device 601, information regarding vulnerabilities contained in the software that constitutes the charging device 601, and information regarding security monitoring for the charging device 601.
  • FIG. 20 is a flowchart showing the operation (response method) that is executed subsequently after the operation shown in FIG. 19 is completed.
  • FIG. 20 shows the operation of transitioning to a continuous monitoring mode to continuously check for security abnormalities when using high-risk functions such as vehicle control, and when controlling charging during times of power shortage, even if the security status of the charging device 601 is OK.
  • the security monitoring unit 703 determines whether the charging device 601 has responded with a security status OK (S61).
  • step S62 determines whether the function requested by the charging device 601 is related to vehicle control (S62).
  • the processing in step S62 is the same as step S34f shown in FIG. 19.
  • the security monitoring unit 703 determines whether the function requested by the charging device 601 is not related to vehicle control (No in S62), it determines whether the function requested by the charging device 601 is related to charging control (S63). If the function requested by the charging device 601 is a function for controlling the charging mode (for example, a smart charging function), the security monitoring unit 703 determines that the function is related to charging control.
  • the security monitoring unit 703 determines whether the function requested by the charging device 601 is related to charging control (Yes in S63), it further determines whether the current power tightness rate is equal to or greater than a threshold (S64).
  • the security monitoring unit 703 makes the determination in step S64 based on, for example, whether the power tightness rate of the station state shown in FIG. 14 is equal to or greater than a threshold.
  • the power tightness rate may be a value published by a power company or public institution.
  • the security monitoring unit 703 determines that the function requested by the charging device 601 is related to vehicle control (Yes in S62) or that the power pressure rate is equal to or greater than the threshold (Yes in S64), it transitions to continuous monitoring mode (S65).
  • This allows the security monitoring unit 703 to additionally monitor the electric vehicle 10 and the charging device 601 when the function is related to vehicle control (i.e., when the security risk is higher) even if the security status of the charging device 601 is OK.
  • the security monitoring unit 703 can monitor whether unauthorized charging is occurring during charging, that is, whether unauthorized control is being performed while the function is being used.
  • an example of a security risk here is the risk of excessive charging (unauthorized charging) occurring when power is tight at the charging station 30, resulting in a blackout or the like.
  • the threshold is obtained in advance and stored in the station management server 40.
  • the security monitoring unit 703 determines that a security status NG response has been made (No in S61), if it determines that the function requested by the charging device 601 is not related to charging control (No in S63), or if it determines that the power pressure rate is below the threshold (No in S64), it ends processing without transitioning to continuous monitoring mode.
  • the security monitoring unit 703 determines, based on the information indicating the function requested by the charging device 601, whether to transition to a continuous monitoring mode in which it monitors whether any unauthorized control is being performed while the function is being used.
  • Figure 21 is a flowchart showing the operation (response method) performed in continuous monitoring mode according to this embodiment.
  • the security monitoring unit 703 acquires a communication log with the charging device 601 from the electric vehicle 10 via the communication unit 701 (S71). In this way, in continuous monitoring mode, a communication log with the charging device 601, which is the communication partner, is acquired from the electric vehicle 10, which is another system.
  • the security monitoring unit 703 may also acquire information related to the control status from the electric vehicle 10 instead of or in addition to the communication log.
  • the information related to the control status is information indicating the status of the electric vehicle 10 regarding the function requested by the charging device 601, and in this embodiment includes information related to the charging status, such as the charge amount.
  • the security monitoring unit 703 acquires a communication log with the electric vehicle 10 from the charging device 601 (S72). In this way, in continuous monitoring mode, a communication log with the electric vehicle 10 is also acquired from the charging device 601.
  • the security monitoring unit 703 determines whether the communication logs between the electric vehicle 10 and the charging device 601 are inconsistent (S73).
  • the security monitoring unit 703 may determine whether there is any unauthorized control or communication, for example, based on whether the communication log of the electric vehicle 10 matches the communication log of the charging device 601. For example, if the charge amount obtained from the electric vehicle 10 does not match the charge amount (supply amount) obtained from the charging device 601, the security monitoring unit 703 determines that there is an inconsistency.
  • the security monitoring unit 703 determines that the communication logs between the electric vehicle 10 and the charging device 601 are inconsistent (Yes in S73), for example, if there is an inconsistency between the communication log notified from the electric vehicle 10 and the communication log notified from the charging device 601, it detects a security abnormality (S74).
  • the security abnormality here is, for example, a security abnormality in the electric vehicle 10. If a security abnormality is detected, the security monitoring unit 703 may, for example, notify the electric vehicle 10 via the communication unit 701 to disable function use.
  • the security monitoring unit 703 determines that the communication logs between the electric vehicle 10 and the charging device 601 are consistent (No in S73), it terminates processing without detecting a security abnormality.
  • the security status linking system according to this modification will be described below with reference to Figures 22 to 24. The following description will focus on the differences from embodiment 1, and descriptions of content that is the same as or similar to embodiment 1 will be omitted or simplified.
  • the security status linking system according to this modification differs from the security status linking system 1 according to embodiment 1 mainly in that the charging device 601 transmits information related to the station management server 40 when requesting access to the charge mode control function, and that the EV management server 20 responds with the security status of the electric vehicle 10 to the station management server 40.
  • the security status linking system according to this modification may have the same configuration as the security status linking system 1 according to embodiment 1, and will be described below using the reference numerals of the security status linking system 1.
  • Figure 22 is a sequence diagram showing the operation of the security status linking system 1 according to this modified example.
  • Figure 22 shows the sequence up to the start of control of the charging mode for charging the electric vehicle 10.
  • the charging device 601 requests access to the charging mode control function (S12a).
  • the charging device 601 transmits to the electric vehicle 10 the request for access to the charging mode control function, along with information about the station management server 40 that manages the charging device 601.
  • the information about the station management server 40 includes access destination information (e.g., address) of the station management server 40.
  • the electric vehicle 10 inquires of the station management server 40 about the security status of the communication destination charging device 601 (e.g., the charging device 601 connected via the charging interface of the battery 300) based on the access destination information acquired from the charging device 601 along with the request for access to the charging mode control function (S15).
  • the communication destination charging device 601 e.g., the charging device 601 connected via the charging interface of the battery 300
  • S15 the charging mode control function
  • the station management server 40 when the station management server 40 receives a security status inquiry from the electric vehicle 10 via the communication unit 701, it queries the EV management server 20 about the security status of the electric vehicle 10 to determine whether or not to respond to the request from the electric vehicle 10 (S19).
  • the communication unit 701 of the station management server 40 sends a request to obtain the security status of the electric vehicle 10 to the EV management server 20.
  • the EV management server 20 receives an inquiry about the security status of the electric vehicle 10 from the station management server 40, it transmits the security status of the electric vehicle 10 as a response to the station management server 40 (S20).
  • the acquisition of the inquiry and the transmission of the security status are performed by the communication unit 501.
  • the station management server 40 acquires the security status of the electric vehicle 10 from the EV management server 20, and if the security status satisfies a predetermined condition, transmits the security status of the charging device 601 as a response to the electric vehicle 10 (S16).
  • the acquisition of the security status of the electric vehicle 10 and the transmission of the security status of the charging device 601 are performed by the communication unit 701.
  • Figure 23 is a flowchart showing a first example of the operation (response method) of the station management server 40 according to this modified example.
  • Figure 23 shows the operation of determining whether or not to respond to the vehicle (electric vehicle 10) that made the inquiry about the security status of the charging device 601, depending on the security status of the vehicle. Note that Figure 23 shows the operation that is executed after the station management server 40 receives an inquiry about the security status from the electric vehicle 10.
  • Step S41 corresponds to step S19 shown in FIG. 22.
  • the security status response unit 702 acquires the security status of the electric vehicle 10 from the EV management server 20 via the communication unit 701, it determines whether the acquired security status of the electric vehicle 10 is OK (S42).
  • the security status response unit 702 may make the determination in step S42 based on whether information indicating the security status is OK is acquired from the EV management server 20, or it may acquire vehicle information (see FIG. 12) from the EV management server 20, determine the security level of the electric vehicle 10 based on the acquired vehicle information, and make the determination in step S42 based on the determined security level and a threshold value, etc.
  • the threshold value may be determined, for example, depending on the function requested by the charging device 601.
  • the security status response unit 702 determines that the security status of the electric vehicle 10 is OK (Yes in S42), it determines that the response regarding the security status of the charging device 601 is OK, i.e., that a response will be made (S43); if it determines that the security status of the electric vehicle 10 is NG (No in S42), it determines that the response regarding the security status is NG, i.e., that a response will not be made (S44). If the security status response is determined to be OK, step S16 shown in FIG. 22 is executed.
  • the security status response unit 702 may determine that the acquired acquisition request is an acquisition request from the electric vehicle 10 communicating with the charging device 601, and may determine to transmit the security status of the charging device 601 to the electric vehicle 10.
  • FIG. 24 is a flowchart showing a second example of the operation (response method) of the station management server 40 according to this modified example.
  • FIG. 24 shows the operation of changing the method of checking the security status of the electric vehicle 10 depending on the function requested by the charging device 601.
  • the security status response unit 702 acquires the type of vehicle function requested by the charging device 601 (S51).
  • the security status response unit 702 may, for example, acquire the type of vehicle function requested by the electric vehicle 10.
  • the security status response unit 702 determines whether the function (vehicle function) requested by the charging device 601 is valid only when the charging device 601 and the electric vehicle 10 are in close proximity (S52).
  • the security status response unit 702 may make the determination in step S52 based on a list of functions that are valid only when the charging device 601 and the electric vehicle 10 are in close proximity. Examples of functions that are valid only when the charging device 601 and the electric vehicle 10 are in close proximity include charging control and discharging control. This list is stored in advance in the station management server 40.
  • the security status response unit 702 determines that the function requested by the charging device 601 is valid only when the charging device 601 and the electric vehicle 10 are in close proximity (Yes in S52), it determines to confirm the physical positions of the charging device 601 and the electric vehicle 10 (S53). In this case, the security status response unit 702 executes an operation equivalent to the operation shown in FIG. 17.
  • the function requested by the charging device 601 is a function that can be used when the charging device 601 and the electric vehicle 10 are physically connected, such as charging control, the physical locations of the electric vehicle 10 and the charging device 601 are confirmed.
  • the security status response unit 702 determines that the function requested by the charging device 601 is not valid only when the charging device 601 and the electric vehicle 10 are in close proximity (No in S52), it further determines whether the function requested by the charging device 601 is related to the control of the electric vehicle 10 (S54). In this case, the security status response unit 702 performs an operation equivalent to step S62 shown in FIG. 20.
  • the security status response unit 702 determines that the function requested by the charging device 601 is related to the control of the electric vehicle 10 (Yes in S54), it determines to check the security status of the electric vehicle 10 (S55). In this case, the security status response unit 702 executes an operation equivalent to the operation shown in FIG. 23.
  • the security status response unit 702 determines that the function requested by the charging device 601 is not related to the control of the electric vehicle 10 (No in S54), it determines to check the token (an example of device information) issued by the charging device 601 (S56). In this case, the security status response unit 702 executes an operation equivalent to the operation shown in FIG. 18.
  • the verification content (S53, S55, S56) varies depending on whether the function requested by the charging device 601 is a function that can be used remotely, the acquisition of vehicle information (e.g., acquisition of billing information, acquisition of vehicle position information (or driving history information)), or control of a vehicle function (display of commercial information, route search, etc.). Furthermore, whether to respond to an inquiry may be determined based on the function requested by the charging device 601 (e.g., smart charging control function, acquisition of driving history information, acquisition of billing information, commercial display request, etc.).
  • vehicle information e.g., acquisition of billing information, acquisition of vehicle position information (or driving history information)
  • control of a vehicle function display of commercial information, route search, etc.
  • whether to respond to an inquiry may be determined based on the function requested by the charging device 601 (e.g., smart charging control function, acquisition of driving history information, acquisition of billing information, commercial display request, etc.).
  • the security status response unit 702 acquires, from the electric vehicle 10, information indicating the electric vehicle 10 function that the charging device 601 has requested to be used by the electric vehicle 10 (e.g., the type of vehicle function) along with the acquisition information
  • the method for determining whether the acquired acquisition request is an acquisition request from the electric vehicle 10 communicating with the charging device 601 may be changed depending on the type of function.
  • the security status linking system according to this embodiment will be described below with reference to Figures 25 to 28. The following description will focus on differences from the first embodiment, and descriptions of content that is the same as or similar to that of the first embodiment will be omitted or simplified.
  • the security status linking system according to this embodiment differs from the security status linking system 1 according to the first embodiment mainly in that the charging station 30 has the functions of the security status response unit 702 and the like described in the first embodiment.
  • the following description will be given of an example in which the charging device has the functions of the security status response unit 702 and the like, but the charging station 30 may also have these functions.
  • Fig. 25 is a block diagram showing the functional configuration of a charging device 801 according to this embodiment.
  • the security status linking system includes a charging device 801 instead of the charging device 601 according to embodiment 1.
  • the charging device 801 is configured to be able to respond to an inquiry about the security status of the charging device 801 from a vehicle.
  • the charging device 801 includes a vehicle communication unit 811, a station management communication unit 812, a security status response unit 813, and a security status storage unit 814.
  • the vehicle communication unit 811 is a communication interface that enables the charging device 801 to communicate with the electric vehicle 10.
  • the station management communication unit 812 is a communication interface that enables the charging device 801 to communicate with the station management unit 602.
  • the security status response unit 813 has the same functions as the security status response unit 702 shown in embodiment 1, and performs processing to respond with the security status of the charging device 801 in response to an inquiry about the security status of the charging device 801 from an external system (e.g., electric vehicle 10) that communicates with the charging device 801.
  • an external system e.g., electric vehicle
  • the security status storage unit 814 is a storage device that stores the security status of the charging device 801.
  • the security status storage unit 814 is realized, for example, by semiconductor memory.
  • FIG. 26 is a diagram showing an example of the security status of the charging device 801 according to this embodiment.
  • the security status shown in FIG. 26 is stored in the security status storage unit 814.
  • the security status is information in which items are associated with values.
  • the items include "security abnormality history,” which indicates the history of security abnormalities; “firmware version,” which indicates the firmware version; “security monitoring,” which indicates whether security monitoring is enabled; “security verification date,” which indicates the date on which the station management server 40 verified the security of the charging device 801; “expiration date,” which indicates the expiration date of the security status; “management server signature,” which indicates the signature of the station management server 40; and “management server certificate,” which indicates the certificate issued by the station management server 40.
  • the security status is issued by the station management server 40 and is signed so that it cannot be tampered with by the charging device 801.
  • the electric vehicle 10 or EV management server 20 can verify the validity of the charging station management server certificate.
  • the charging device 801 may respond to the electric vehicle 10 via the vehicle communication unit 811 with the security status of the charging device 801, and have the electric vehicle 10 (or the EV management server 20) determine whether or not the use of the function requested by the charging device 801 is OK/NG.
  • Fig. 27 is a sequence diagram showing the operation (determination method, response method) of the security status linking system according to this embodiment.
  • Fig. 27 shows the sequence up to the start of control of the charge mode for charging the electric vehicle 10.
  • the electric vehicle 10 when the electric vehicle 10 receives a request from the charging device 801 to access the charging mode control function, it inquires of the charging device 801 about the security status of the charging device 801 (S13b).
  • the communication unit of the electric vehicle 10 transmits the inquiry about the security status of the charging device 801 to the charging device 801, and the vehicle communication unit 811 receives the inquiry about the security status of the charging device 801 from the electric vehicle 10.
  • the security status response unit 813 of the charging device 801 verifies the response of the security status of the charging device 801 (S81), and the vehicle communication unit 811 transmits the security status of the charging device 801 as a response to the electric vehicle 10 (S82).
  • the security status response is made without going through the station management server 40. Because the processing for responding to the security status is completed locally (within the charging station 30), the number of inquiries (e.g., communication volume) made to the station management server 40 can be reduced.
  • FIG. 28 is a flowchart showing the operation (response method) of the charging device 801 according to this embodiment.
  • the processing of steps S91 to S94 shown in FIG. 28 corresponds to the processing of step S81 shown in FIG. 27.
  • the vehicle communication unit 811 receives an inquiry about the security status of the charging device 801 from the electric vehicle 10 (S91).
  • the security status response unit 813 determines whether the security status request is from the electric vehicle 10 that requested function use (S92).
  • the processing of step S92 corresponds to the processing of step S32 shown in FIG. 16.
  • the security status response unit 813 performs the determination of step S92 using, for example, at least one of the physical positions of the charging device 801 and the electric vehicle 10, the security status of the electric vehicle 10, and facility information output by the charging device 801 (e.g., token, ID, etc.).
  • the security status response unit 813 determines that the security status request is from the electric vehicle 10 that has requested function use (Yes in S92), it further determines whether the expiration date of its own security status is valid (S93).
  • the security status response unit 813 may make the determination in step S93 based on the security verification date, expiration date, and current date shown in FIG. 26.
  • the security status response unit 813 determines that the expiration date of its own security status is not valid (No in S93), it requests the station management server 40 to update the security status (S94).
  • the communication unit of the charging device 801 sends a request to the station management server 40 to update the security status of the charging device 801. This updates the security status of the charging device 801.
  • step S94 the vehicle communication unit 811 transmits the security status of the charging device 801 as a response to the electric vehicle 10 (S82).
  • the security status response unit 813 determines that the security status request is not from the electric vehicle 10 that requested function use (No in S92), it determines that the security status request may be from an unauthorized vehicle and therefore determines to reject the security status response (S95).
  • Fig. 29 is a diagram showing a display example of the security status inquiry content.
  • Fig. 29 shows a display example of the security status inquiry content for the charging devices 601a to 601c according to the first embodiment, but the security status inquiry content for the charging device 801 according to the second embodiment is also displayed in a similar manner.
  • the displayed information corresponds to "Time,” which indicates the time the security status inquiry was received, "Vehicle,” which indicates which vehicle the security status inquiry came from, "Function,” which indicates the function requested by the charging device from the vehicle that received the inquiry, "Charging Device,” which indicates which charging device the security status inquiry is for, and "Result,” which indicates the result of the determination as to whether or not to respond to the security status.
  • the result also includes the reason if the security status response was rejected (for example, "The vehicle is not close to the charging device").
  • the display shown in FIG. 29 is displayed to the administrator who manages the charging device or the administrator who manages the electric vehicle 10, allowing the administrator to understand the situation regarding the security status inquiry. Information such as that shown in FIG. 29 may also be stored as a log.
  • some or all of the functions of electric vehicle 10 in the above embodiments may be provided by EV management server 20.
  • some or all of the operations performed by electric vehicle 10 may be performed by EV management server 20.
  • inquiries about the security status of charging devices 601, 801 may be sent from EV management server 20.
  • some or all of the functions of EV management server 20 in the above embodiments may be provided by electric vehicle 10.
  • some or all of the operations performed by EV management server 20 may be performed by electric vehicle 10.
  • some or all of the functions of the charging device 601, etc. in the above embodiments may be performed by the station management server 40 or the station management unit 602. In other words, some or all of the operations performed by the charging device 601, etc. may be performed by the station management server 40 or the station management unit 602. Further, some or all of the functions of the station management server 40 in the above embodiments may be possessed by the charging device 601, etc. or the station management unit 602. In other words, some or all of the operations performed by the station management server 40 may be performed by the charging device 601, etc. or the station management unit 602.
  • a security status inquiry is made after a request for access to the charge mode control function has been made, but this is not limited to this.
  • a security status inquiry may be made when the electric vehicle 10 and the charging device 601, etc., start communication, for example, before a request for access to the charge mode control function is made, or when no request for access to the charge mode control function is made.
  • an example has been described in which an inquiry about the security status of the charging device 601, etc. is made when the charging device 601, etc. charges the electric vehicle 10, but this is not limited to this.
  • an inquiry about the security status of the electric vehicle 10 may be made from the charging device 601, etc.
  • a device requesting access to a function may make an inquiry about the security status of a device having that function.
  • an electric vehicle 10 is given as an example of the first device
  • a charging device 601 or the like is given as an example of the second device
  • the first device and the second device are not limited to this, and as long as they belong to different systems (security operations are carried out by different organizations) and are capable of communication
  • the first device and the second device may be any other devices.
  • each of the first device and the second device may be an electric vehicle or other electrically powered vehicle, or the first device may be a charging device 601 or the like, and the second device may be an electric vehicle 10.
  • at least one of the first device and the second device may be a home appliance or the like.
  • the electric vehicle 10 and the charging device 601 etc. communicate directly, but this is not limited to this, and communication may occur via other devices.
  • communication between the electric vehicle 10 and the charging device 601 etc. may occur via at least one of the EV management server 20 and the station management server 40.
  • the charging device 601 etc. acquiring information from the electric vehicle 10 includes both the charging device 601 etc. acquiring information directly from the electric vehicle 10 and the charging device 601 etc. acquiring information output by the electric vehicle 10 via another device.
  • each component may be configured with dedicated hardware, or may be realized by executing a software program appropriate for that component.
  • Each component may also be realized by a program execution unit such as a CPU or processor reading and executing a software program recorded on a recording medium such as a hard disk or semiconductor memory.
  • the division of functional blocks in the block diagram is one example; multiple functional blocks may be realized as a single functional block, one functional block may be divided into multiple blocks, or some functions may be moved to other functional blocks. Furthermore, the functions of multiple functional blocks with similar functions may be processed in parallel or time-shared by a single piece of hardware or software.
  • the information processing device may be realized as a single device, or may be realized by multiple devices.
  • the components of the information processing device may be distributed in any manner among the multiple devices.
  • the communication method between the multiple devices is not particularly limited, and may be wireless communication or wired communication. Furthermore, wireless communication and wired communication may be combined between the devices.
  • each of the components described in the above embodiments may be realized as software, or typically as an LSI, which is an integrated circuit. These may be individually integrated into a single chip, or some or all of them may be integrated into a single chip.
  • LSI LSI
  • the method of integration is not limited to LSIs; they may also be implemented using dedicated circuits (general-purpose circuits that execute dedicated programs) or general-purpose processors.
  • FPGAs Field Programmable Gate Arrays
  • reconfigurable processors which allow the connections or settings of circuit cells within LSIs to be reconfigured.
  • a system LSI is an ultra-multifunctional LSI manufactured by integrating multiple processing functions onto a single chip. Specifically, it is a computer system comprising a microprocessor, ROM (Read Only Memory), RAM (Random Access Memory), etc. Computer programs are stored in the ROM. The system LSI achieves its functions when the microprocessor operates in accordance with the computer program.
  • one aspect of the present disclosure may be a computer program that causes a computer to execute each of the characteristic steps included in the determination method or response method shown in any of Figures 15 to 24, 27, and 28.
  • the program may be a program to be executed by a computer.
  • one aspect of the present disclosure may be a computer-readable non-transitory recording medium on which such a program is recorded.
  • such a program may be recorded on a recording medium and distributed or circulated. For example, by installing the distributed program in a device having another processor and having that processor execute the program, it becomes possible to cause that device to perform each of the above processes.
  • This disclosure is useful for devices that monitor communications between different systems.
  • 1 Security status linking system 10 10A Electric vehicle (first device) 20 EV management server 30, 30A Charging station 40 Station management server (information processing device) 100 Central ECU (information processing unit) 101 Server communication unit (output unit, acquisition unit) 102 Vehicle function access control unit (determination unit) 103 User terminal communication unit 104 Vehicle network communication unit 105 Vehicle state storage unit 106 Vehicle configuration information storage unit 200a Battery management ECU 200b ECU 201a Application unit 202a, 501 Communication unit 203a Version storage unit 300 Battery 400 Display 502, 702, 813 Security status response unit 503, 703 Security monitoring unit 504, 704 Authorization certificate storage unit 505 Vehicle information storage unit 601, 601a, 601b, 601c, 801 Charging device (second device) 602 Station management unit 701 Communication unit (output unit, acquisition unit) 705 Station status holding unit 811 Vehicle communication unit 812 Station management communication unit 814 Security status holding unit

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Electric Propulsion And Braking For Vehicles (AREA)

Abstract

判定方法は、第一のシステムに含まれる情報処理装置が実行する判定方法であって、第一のシステムに含まれる第一の装置と、第一のシステムと異なる第二のシステムに含まれる第二の装置とが通信を行う際、第二の装置のセキュリティ状態の取得要求を第二のシステムに出力し（Ｓ１５）、第二の装置のセキュリティ状態を、取得要求を取得した第二のシステムから取得し、第二のシステムから取得した第二の装置のセキュリティ状態に基づいて、通信に関する判定を行う（Ｓ１７）。

Description

判定方法、情報処理装置、プログラム、及び、応答方法
　本開示は、判定方法、情報処理装置、プログラム、及び、応答方法に関する。
　通信を行う際に、通信相手を認証し、セキュアな通信を行うことが求められる。例えば、特許文献１には、電子証明書を用いて通信相手を認証する技術が開示されている。また、例えば、非特許文献１には、ゼロトラストアーキテクチャにおいて、システムのコンテキスト情報に基づいてアクセス許可の判断を行う技術が開示されている。
特開２０２０－０３１３７８号公報
Scott Rose、外３名、"Zero Trust Architecture"、［online］、August 2020、NIST Special Publication 800-207、［令和６年４月１日検索］、インターネット＜https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207.pdf＞
　しかしながら、特許文献１の技術では、電子証明書を用いて認証しているだけであり、通信相手の装置において適切なセキュリティ運用が行われているかまでは検証していない。非特許文献１の技術では、システムのコンテキスト情報に基づいてアクセス許可の判断を行うが、所有者が異なるシステムに対してはコンテキスト情報の収集が困難な場合がある。また、非特許文献１の技術においても、通信相手の装置において適切なセキュリティ運用が行われているかまでは検証していない。
　通信相手の装置において適切なセキュリティ運用が行われていない場合、不正制御等の新たなセキュリティリスクが生じ得るので、適切なセキュリティ運用が行われている装置と通信することが望まれる。
　そこで、本開示は、通信相手の装置において適切なセキュリティ運用が行われているかを判定可能な判定方法、情報処理装置、プログラム、及び、応答方法を提供する。
　本開示の一態様に係る判定方法は、第一のシステムに含まれる情報処理装置が実行する判定方法であって、前記第一のシステムに含まれる第一の装置と、前記第一のシステムと異なる第二のシステムに含まれる第二の装置とが通信を行う際、前記第二の装置のセキュリティ状態の取得要求を前記第二のシステムに出力し、前記第二の装置の前記セキュリティ状態を、前記取得要求を取得した前記第二のシステムから取得し、前記第二のシステムから取得した前記第二の装置の前記セキュリティ状態に基づいて、前記通信に関する判定を行う。
　本開示の一態様に係る情報処理装置は、第一のシステムに含まれる情報処理装置であって、前記第一のシステムに含まれる第一の装置と、前記第一のシステムと異なる第二のシステムに含まれる第二の装置とが通信を行う際、前記第二の装置のセキュリティ状態の取得要求を前記第二のシステムに出力する出力部と、前記第二の装置の前記セキュリティ状態を、前記取得要求を取得した前記第二のシステムから取得する取得部と、前記第二のシステムから取得した前記第二の装置の前記セキュリティ状態に基づいて、前記通信に関する判定を行う判定部とを備える。
　本開示の一態様に係るプログラムは、上記の判定方法をコンピュータに実行させるためのプログラムである。
　本開示の一態様に係る応答方法は、第二のシステムに含まれる情報処理装置が実行する応答方法であって、前記第二のシステムと異なる第一のシステムに含まれる第一の装置と、前記第二のシステムに含まれる第二の装置とが通信を行う際、前記第一の装置から前記第二の装置のセキュリティ状態の取得要求を取得し、前記第二の装置の前記セキュリティ状態を前記第一の装置に出力する。
　本開示の一態様に係る情報処理装置は、第二のシステムに含まれる情報処理装置であって、前記第二のシステムと異なる第一のシステムに含まれる第一の装置と、前記第二のシステムに含まれる第二の装置とが通信を行う際、前記第一の装置から前記第二の装置のセキュリティ状態の取得要求を取得する取得部と、前記第二の装置の前記セキュリティ状態を前記第一の装置に出力する出力部とを備える。
　本開示の一態様に係るプログラムは、上記の応答方法をコンピュータに実行させるためのプログラムである。
　本開示の一態様によれば、通信相手の装置において適切なセキュリティ運用が行われているかを判定可能な判定方法等を実現することができる。
図１は、実施の形態１に係るセキュリティ状態連携システムの全体構成を示す図である。 図２は、実施の形態１に係る車載ネットワークシステムの構成を示す図である。 図３は、実施の形態１に係るセントラルＥＣＵの機能構成を示すブロック図である。 図４は、実施の形態１に係る車両状態の一例を示す図である。 図５は、実施の形態１に係る車両構成情報の一例を示す図である。 図６は、実施の形態１に係るバッテリー管理ＥＣＵの機能構成を示すブロック図である。 図７は、実施の形態１に係るバージョン情報の一例を示す図である。 図８は、実施の形態１に係るＥＶ管理サーバの機能構成を示すブロック図である。 図９は、実施の形態１に係る認定証明書保持部が保持する認定証明書の一例を示す図である。 図１０は、実施の形態１に係る車両情報の一例を示す図である。 図１１は、実施の形態１に係る充電ステーションの構成を示す図である。 図１２は、実施の形態１に係るステーション管理サーバの機能構成を示すブロック図である。 図１３は、実施の形態１に係るステーション管理サーバが保持する認定証明書の一例を示す図である。 図１４は、実施の形態１に係るステーション状態の一例を示す図である。 図１５は、実施の形態１に係るセキュリティ状態連携システムの動作を示すシーケンス図である。 図１６は、実施の形態１に係るステーション管理サーバの動作を示すフローチャートである。 図１７は、図１６に示すステップＳ３２の詳細動作の第１例を示すフローチャートである。 図１８は、図１６に示すステップＳ３２の詳細動作の第２例を示すフローチャートである。 図１９は、図１６に示すステップＳ３４の詳細動作を示すフローチャートである。 図２０は、図１９に示す動作が終了した後、続いて実行される動作を示すフローチャートである。 図２１は、実施の形態１に係る継続監視モードで実行される動作を示すフローチャートである。 図２２は、実施の形態１の変形例に係るセキュリティ状態連携システムの動作を示すシーケンス図である。 図２３は、実施の形態１の変形例に係るステーション管理サーバの動作の第１例を示すフローチャートである。 図２４は、実施の形態１の変形例に係るステーション管理サーバの動作の第２例を示すフローチャートである。 図２５は、実施の形態２に係る充電装置の機能構成を示すブロック図である。 図２６は、実施の形態２に係る充電装置のセキュリティ状態の一例を示す図である。 図２７は、実施の形態２に係るセキュリティ状態連携システムの動作を示すシーケンス図である。 図２８は、実施の形態２に係る充電装置の動作を示すフローチャートである。 図２９は、セキュリティ状態の問い合わせ内容の表示例を示す図である。
　（本開示に至った経緯）
　本開示の実施の形態等の説明に先立ち、本開示に至った経緯について説明する。
　電気自動車（ＥＶ）とＥＶ充電ステーションとが接続されるなど異なるシステムが接続されることで、新たなセキュリティリスクが生じ得る。新たなセキュリティリスクとしては、侵害されたＥＶがＥＶ充電ステーションの脆弱性をつき侵害することで電力インフラに影響を与えるリスク、侵害されたＥＶ充電ステーションが、ＥＶを不正に制御することでユーザに不利益を与えるリスクなどが例示される。
　また、異なるシステムでは異なる組織によってセキュリティ運用が行われるため、通信先のシステムの信頼性又はセキュリティ状態を把握することが困難であるが、セキュリティリスクを低減する観点から、適切なセキュリティ運用が行われているシステムと通信することが望まれる。
　特許文献１には、電子証明書により通信相手を認証しセキュアな通信を行うことは開示されているが、通信相手の装置が侵害されていないか、適切なセキュリティ運用がされているかなどを検証することは開示されていない。
　そこで、本願発明者らは、通信相手の装置において適切なセキュリティ運用が行われているかを判定可能な判定方法等について鋭意検討を行い、以下に示す判定方法等を創案した。
　本開示の第１態様に係る判定方法は、第一のシステムに含まれる情報処理装置が実行する判定方法であって、前記第一のシステムに含まれる第一の装置と、前記第一のシステムと異なる第二のシステムに含まれる第二の装置とが通信を行う際、前記第二の装置のセキュリティ状態の取得要求を前記第二のシステムに出力し、前記第二の装置の前記セキュリティ状態を、前記取得要求を取得した前記第二のシステムから取得し、前記第二のシステムから取得した前記第二の装置の前記セキュリティ状態に基づいて、前記通信に関する判定を行う。
　これにより、第一の装置は、異なるシステムに属する第二の装置のセキュリティ状態を取得することができるので、第二の装置（通信相手の装置）において適切なセキュリティ運用が行われているかを第二の装置のセキュリティ状態から判定可能である。
　本開示の第２態様に係る判定方法は、第１態様に係る判定方法であって、前記第二の装置の前記セキュリティ状態は、前記第二の装置におけるセキュリティ異常の履歴に関する情報、前記第二の装置を構成するソフトウェアに含まれる脆弱性に関する情報、及び、前記第二の装置に対するセキュリティ監視に関する情報の少なくとも１つに基づいて決定される状態であってもよい。
　これにより、第二の装置におけるセキュリティ異常の履歴に関する情報、第二の装置を構成するソフトウェアに含まれる脆弱性に関する情報、及び、第二の装置に対するセキュリティ監視に関する情報の少なくとも１つに基づいて決定される第二の装置のセキュリティ状態を第一の装置が取得することができる。このようなセキュリティ状態は、第二の装置において適切なセキュリティ運用が行われているか否かを判定するための有用な情報となり得る。
　本開示の第３態様に係る判定方法は、第１態様又は第２態様に係る判定方法であって、前記第一の装置が、前記第一の装置が有する機能を利用する要求を前記第二の装置から受けた場合、前記取得要求を前記第二のシステムに出力してもよい。
　これにより、第一の装置におけるセキュリティリスクがより高い場合に、第二の装置との通信に関する判定を行うことができる。第一の装置におけるセキュリティリスクを効果的に低減することができる。
　本開示の第４態様に係る判定方法は、第３態様に係る判定方法であって、前記第二の装置が前記第一の装置に要求した前記機能を示す情報、前記第二の装置から取得した前記第二の装置の設備情報、及び、自装置の現在位置を示す情報の少なくとも１つを、前記第二のシステムに出力してもよい。
　これにより、第二のシステムにおいて、第一の装置から取得した情報に基づいて、第一の装置が正当な装置であるかが判定可能である。よって、不正な取得要求に対して第二のシステムが第二の装置のセキュリティ状態を出力してしまうことを抑制することができる。
　本開示の第５態様に係る判定方法は、第１態様～第４態様のいずれかに係る判定方法であって、前記第一のシステムは、前記第一の装置及び前記第二の装置のうち前記第一の装置のみのセキュリティ状態を管理してもよい。
　これにより、第一のシステムが管理していない第二の装置のセキュリティ状態を用いて、第二の装置に対して適切なセキュリティ運用が行われているかを判定可能である。
　本開示の第６態様に係る判定方法は、第１態様～第５態様のいずれかに係る判定方法であって、前記第一の装置は、電動車両及び充放電装置の一方であり、前記第二の装置は、前記電動車両及び前記充放電装置の他方であってもよい。
　これにより、適切なセキュリティ運用が行われている電動車両及び充放電装置の他方と通信することができる。
　本開示の第７態様に係る情報処理装置は、第一のシステムに含まれる情報処理装置であって、前記第一のシステムに含まれる第一の装置と、前記第一のシステムと異なる第二のシステムに含まれる第二の装置とが通信を行う際、前記第二の装置のセキュリティ状態の取得要求を前記第二のシステムに出力する出力部と、前記第二の装置の前記セキュリティ状態を、前記取得要求を取得した前記第二のシステムから取得する取得部と、前記第二のシステムから取得した前記第二の装置の前記セキュリティ状態に基づいて、前記通信に関する判定を行う判定部とを備える。
　これにより、上記の判定方法と同様の効果を奏する。
　本開示の第８態様に係るプログラムは、第１態様～第６態様のいずれかに係る判定方法をコンピュータに実行させるためのプログラムである。
　これにより、上記の判定方法と同様の効果を奏する。
　本開示の第９態様に係る応答方法は、第二のシステムに含まれる情報処理装置が実行する応答方法であって、前記第二のシステムと異なる第一のシステムに含まれる第一の装置と、前記第二のシステムに含まれる第二の装置とが通信を行う際、前記第一の装置から前記第二の装置のセキュリティ状態の取得要求を取得し、前記第二の装置の前記セキュリティ状態を前記第一の装置に出力する。
　これにより、第一の装置は、異なるシステムに属する第二の装置のセキュリティ状態を第二のシステムから取得することができるので、第二の装置（通信相手の装置）において適切なセキュリティ運用が行われているかを第二の装置のセキュリティ状態から判定可能である。
　本開示の第１０態様に係る応答方法は、第９態様に係る応答方法であって、前記第二の装置の前記セキュリティ状態は、前記第二の装置におけるセキュリティ異常の履歴に関する情報、前記第二の装置を構成するソフトウェアに含まれる脆弱性に関する情報、及び、前記第二の装置に対するセキュリティ監視に関する情報の少なくとも１つに基づいて決定される状態であってもよい。
　これにより、第二の装置におけるセキュリティ異常の履歴に関する情報、第二の装置を構成するソフトウェアに含まれる脆弱性に関する情報、及び、第二の装置に対するセキュリティ監視に関する情報の少なくとも１つに基づいて決定される第二の装置のセキュリティ状態を第一の装置が取得することができる。このようなセキュリティ状態は、第二の装置において適切なセキュリティ運用が行われているか否かを第一の装置が判定するための有用な情報となり得る。
　本開示の第１１態様に係る応答方法は、第９態様又は第１０態様に係る応答方法であって、取得した取得要求が、前記第二の装置と通信する前記第一の装置からの取得要求であるか否かを判定し、取得した取得要求が、前記第二の装置と通信する前記第一の装置からの取得要求である場合に、前記第二の装置の前記セキュリティ状態を前記第一の装置に出力してもよい。
　これにより、第二のシステムの情報処理装置は、適切な装置（第一の装置）に第二の装置のセキュリティ状態の情報を出力することができる。
　本開示の第１２態様に係る応答方法は、第１１態様に係る応答方法であって、前記第一の装置の物理的位置と前記第二の装置の物理的位置とが所定の範囲内である場合、取得した取得要求が、前記第二の装置と通信する前記第一の装置からの取得要求であると判定してもよい。
　これにより、物理的位置が適切ではない装置に第二の装置のセキュリティ状態の情報が出力されてしまうことを抑制することができる。
　本開示の第１３態様に係る応答方法は、第１１態様又は第１２態様に係る応答方法であって、前記第二の装置が出力する装置情報を前記第一の装置が保持している場合、取得した取得要求が、前記第二の装置と通信する前記第一の装置からの取得要求であると判定してもよい。
　これにより、有している第二の装置の識別情報が適切ではない装置に第二の装置のセキュリティ状態の情報が出力されてしまうことを抑制することができる。
　本開示の第１４態様に係る応答方法は、第１１態様～第１３態様のいずれかに係る応答方法であって、前記第一の装置のセキュリティ状態が所定の条件を満たしている場合、取得した取得要求が、前記第二の装置と通信する前記第一の装置からの取得要求であると判定してもよい。
　これにより、セキュリティ状態が所定の条件を満たしていない装置に第二の装置のセキュリティ状態の情報が出力されてしまうことを抑制することができる。
　本開示の第１５態様に係る応答方法は、第１１態様～第１４態様のいずれかに係る応答方法であって、前記第二の装置が前記第一の装置に利用すると要求した前記第一の装置の機能を示す情報を、前記取得要求とともに前記第一の装置から取得した場合、前記機能の種類に応じて、取得した取得要求が、前記第二の装置と通信する前記第一の装置からの取得要求であるか否かを判定する方法を変更してもよい。
　これにより、第二の装置が要求した機能に応じた適切な方法で取得要求が適切な装置（第一の装置）からの要求であるかを判定することができるので、判定精度（つまり、セキュリティ性能）が向上し得る。
　本開示の第１６態様に係る応答方法は、第１５態様に係る応答方法であって、さらに、前記機能を示す情報に応じて、前記機能の利用中に不正制御がなされていないかを監視する継続監視モードに移行してもよい。
　これにより、機能の利用中（例えば、スマート充電中）において、不正制御等によりセキュリティ異常が発生していないかを監視することができる。
　本開示の第１７態様に係る応答方法は、第１５態様又は第１６態様に係る応答方法であって、前記継続監視モードにおいて、前記第一の装置及び前記第二の装置それぞれの通信ログ、並びに、前記第一の装置及び前記第二の装置それぞれの前記機能に関する状態の少なくとも一方の整合がとれない場合、セキュリティ異常であると判定してもよい。
　これにより、通信ログ及び機能に関する状態の少なくとも一方に基づいて、セキュリティ異常を検知することができる。
　本開示の第１８態様に係る応答方法は、第１７態様に係る応答方法であって、前記第一の装置及び前記第二の装置の一方は、電動車両であり、前記第一の装置及び前記第二の装置の他方は、充電装置であり、前記機能が車両充電に関わる機能であり、かつ、電力状態がひっ迫状態である場合、前記継続監視モードに移行してもよい。
　これにより、充電中に不正充電されていないかなどを監視することができる。
　本開示の第１９態様に係る情報処理装置は、第二のシステムに含まれる情報処理装置であって、前記第二のシステムと異なる第一のシステムに含まれる第一の装置と、前記第二のシステムに含まれる第二の装置とが通信を行う際、前記第一の装置から前記第二の装置のセキュリティ状態の取得要求を取得する取得部と、前記第二の装置の前記セキュリティ状態を前記第一の装置に出力する出力部とを備える。
　これにより、上記の応答方法と同様の効果を奏する。
　本開示の第２０態様に係るプログラムは、第９態様～第１８態様のいずれかに係る応答方法をコンピュータに実行させるためのプログラムである。
　これにより、上記の応答方法と同様の効果を奏する。
　なお、これらの全般的又は具体的な態様は、システム、方法、集積回路、コンピュータプログラム又はコンピュータで読み取り可能なＣＤ－ＲＯＭ等の非一時的記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラム又は記録媒体の任意な組み合わせで実現されてもよい。プログラムは、記録媒体に予め記憶されていてもよいし、インターネット等を含む広域通信網を介して記録媒体に供給されてもよい。
　以下、実施の形態等について、図面を参照しながら具体的に説明する。
　なお、以下で説明する実施の形態等は、いずれも包括的又は具体的な例を示すものである。以下の実施の形態で示される数値、形状、構成要素、構成要素の配置位置及び接続形態、ステップ、ステップの順序などは、一例であり、本開示を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、独立請求項に記載されていない構成要素については、任意の構成要素として説明される。
　また、各図は、模式図であり、必ずしも厳密に図示されたものではない。したがって、例えば、各図において縮尺などは必ずしも一致しない。また、各図において、実質的に同一の構成については同一の符号を付しており、重複する説明は省略又は簡略化する。
　また、本明細書において、同じ、一致などの要素間の関係性を示す用語、並びに、数値、及び、数値範囲は、厳格な意味のみを表す表現ではなく、実質的に同等な範囲、例えば数％程度（あるいは、１０％程度）の差異をも含むことを意味する表現である。
　また、本明細書において、「第一」、「第二」などの序数詞は、特に断りの無い限り、構成要素の数又は順序を意味するものではなく、同種の構成要素の混同を避け、区別する目的で用いられている。
　（実施の形態１）
　以下、本実施の形態に係る判定方法等について、図１～図２１を参照しながら説明する。
　［１－１．セキュリティ状態連携システムの構成］
　まず、判定方法を実行するセキュリティ状態連携システムの構成等について、図１～図１４を参照しながら説明する。図１は、本実施の形態に係るセキュリティ状態連携システム１の全体構成を示す図である。
　図１に示すように、セキュリティ状態連携システム１は、電気自動車１０と、ＥＶ管理サーバ２０と、１以上の充電装置６０１を有する充電ステーション３０と、ステーション管理サーバ４０とを備える。電気自動車１０と、ＥＶ管理サーバ２０とを含んで第一のシステムが構成され、充電ステーション３０（例えば、充電装置６０１）と、ステーション管理サーバ４０とを含んで第二のシステムが構成される。
　ＥＶ管理サーバ２０は、電気自動車１０のセキュリティ状態を管理するサーバであり、充電装置６０１のセキュリティ状態の管理は行っていない。つまり、第一のシステムは、電気自動車１０及び充電装置６０１のうち電気自動車１０のみのセキュリティ状態を管理するシステムである。また、ステーション管理サーバ４０は、充電装置６０１のセキュリティ状態を管理するサーバであり、電気自動車１０のセキュリティ状態の管理は行っていない。つまり、第二のシステムは、電気自動車１０及び充電装置６０１のうち充電装置６０１のみのセキュリティ状態を管理するシステムである。
　セキュリティ状態連携システム１は、異なるシステムに属し、異なる組織（例えば、組織が運用するサーバ）によってセキュリティ運用が行われている装置の一方が他方と通信を行う場合において、適切なセキュリティ運用が行われている装置と通信を行うことを支援するためのシステムである。
　電気自動車１０は、バッテリー３００（図２を参照）に蓄えた電気エネルギーを動力の全て又は一部として使って走行する車両（電動車両）である。電気自動車１０は、電気自動車（ＥＶ）であるが、例えば、プラグインハイブリッド車（ＰＨＥＶ、ＰＨＶ）、ハイブリッド車（ＨＥＶ、ＨＶ）などであってもよい。電気自動車１０は、ＥＶ管理サーバ２０、充電ステーション３０（又は、充電装置６０１）、及び、ステーション管理サーバ４０のそれぞれと通信可能に接続される。電気自動車１０は、第一のシステムに含まれる第一の装置の一例である。
　図２は、本実施の形態に係る車載ネットワークシステムの構成を示す図である。
　図２に示すように、電気自動車１０は、セントラルＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）１００と、バッテリー管理ＥＣＵ２００ａと、ＥＣＵ２００ｂと、バッテリー３００と、ディスプレイ４００とを備える。
　セントラルＥＣＵ１００は、それぞれが車両の機能を実現するためのＥＣＵ（例えば、バッテリー管理ＥＣＵ２００ａ、ＥＣＵ２００ｂ）等の中心となって車両全体を制御するＥＣＵであり、複数のＥＣＵが統合された中心的なＥＣＵである。本実施の形態では、セントラルＥＣＵ１００は、車両外のサーバとの通信用のインターフェースを有する。セントラルＥＣＵ１００は、充電装置６０１からの機能利用に関する要求に対して、機能利用の認可の判定を行うための問い合わせをステーション管理サーバ４０に対して行う。セントラルＥＣＵ１００は、第一のシステムに含まれる情報処理装置の一例である。
　なお、バッテリー管理ＥＣＵ２００ａ及びＥＣＵ２００ｂは、ゾーンＥＣＵとも称され、車載ネットワークでセントラルＥＣＵ１００と接続される。
　図３は、本実施の形態に係るセントラルＥＣＵ１００の機能構成を示すブロック図である。セントラルＥＣＵ１００は、機能構成として、サーバ通信部１０１と、車両機能アクセス制御部１０２と、ユーザ端末通信部１０３と、車両ネットワーク通信部１０４と、車両状態保持部１０５と、車両構成情報保持部１０６とを備える。
　サーバ通信部１０１は、車両外のステーション管理サーバ４０（及び、充電装置６０１）と通信を行うための通信インターフェースである。
　車両機能アクセス制御部１０２は、特に外部システムから要求される車両機能に対するアクセスを許可すべきか否かを判定する。車両機能アクセス制御部１０２は、充電装置６０１からの車両機能に対するアクセスを認可すべきか否かを、サーバ通信部１０１を介して取得された当該充電装置６０１のセキュリティ状態に基づいて判定する。車両機能アクセス制御部１０２は、判定部の一例である。
　ユーザ端末通信部１０３は、ユーザ端末（例えば、スマートフォン）と通信するための通信インターフェースである。車載ディスプレイ（例えば、ディスプレイ４００）ではなくアプリケーションを介して所定の情報を表示する場合に、ユーザ端末通信部１０３が利用される。
　車両ネットワーク通信部１０４は、車載ネットワークに含まれる各構成要素と通信するための通信インターフェースである。
　車両状態保持部１０５は、電気自動車１０の現在の車両状態を保持する記憶装置である。車両状態は、必要に応じてステーション管理サーバ４０に送信される。車両状態保持部１０５は、半導体メモリなどにより実現される。
　図４は、本実施の形態に係る車両状態の一例を示す図である。図４に示す車両状態が車両状態保持部１０５に記憶されている。
　図４に示すように、車両状態は、バッテリー残量、位置情報、及び、走行状態を含む。バッテリー残量は、電気自動車１０の現在のバッテリー残量を示し、位置情報は、電気自動車１０の現在の位置を示し、走行状態は、電気自動車１０の現在の走行状態を示す。図４の例では、走行状態は、充電中であるが、例えば、走行中、一時停止中などであってもよい。
　図３を再び参照して、車両構成情報保持部１０６は、電気自動車１０が有する車両ソフトウェアの現在のバージョンを示すバージョン情報を保持する記憶装置である。バージョン情報は、必要に応じてステーション管理サーバ４０に送信される。車両構成情報保持部１０６は、半導体メモリなどにより実現される。
　図５は、本実施の形態に係る車両構成情報の一例を示す図である。図５に示す車両構成情報が車両構成情報保持部１０６に記憶されている。
　図５に示すように、車両構成情報は、電気自動車１０内に搭載される各ＥＣＵの、識別情報とバージョンと最終更新日とが対応付けられた情報である。車両構成情報には、ＥＶ管理サーバ２０の監視対象である複数の車両（電気自動車１０を含む）それぞれのソフトウェアバージョンが含まれる。
　ＥＣＵのバージョンは、例えばＥＣＵのアップデート時又は定期的に、各ＥＣＵから現在のバージョン及び最終更新日が車載ネットワーク経由で通知され、通知内容に応じて更新される。
　なお、図５では、ＥＣＵごとに１つのバージョンが対応する例を示しているがこれに限定されない。例えば、１つのＥＣＵに複数のアプリケーションが搭載されている場合に、アプリケーションごとにソフトウェアバージョンが管理されてもよい。また、ＥＣＵから通知されるソフトウェアバージョン情報は、改ざんされないように保護されていてもよい。ソフトウェアバージョン情報は、例えば、ＥＣＵの秘密鍵によるメッセージ認証コードなどを用いて保護されていてもよい。
　図２を再び参照して、バッテリー管理ＥＣＵ２００ａは、バッテリー３００の充電状態を把握して充電装置６０１に通知することで、充電の管理を行う。
　図６は、本実施の形態に係るバッテリー管理ＥＣＵ２００ａの機能構成を示すブロック図である。
　図６に示すように、バッテリー管理ＥＣＵ２００ａは、アプリ部２０１ａと、通信部２０２ａと、バージョン保持部２０３ａとを備える。
　アプリ部２０１ａは、ＥＣＵの機能ごとに異なるアプリケーションを実行する処理部である。本実施の形態では、アプリ部２０１ａは、バッテリーの残量の取得及び通知、充電管理などを実施する。また、バッテリー管理ＥＣＵ２００ａは、充電モードを制御する機能を有しており、外部システムにより（例えば、充電装置６０１により）充電モードの変更を行うことができる。アプリ部２０１ａは、このような充電モードの制御を行ってもよい。なお、アプリ部２０１ａは、例えば、通常充電機能、スマート充電制御機能、運転履歴情報取得、課金情報取得、コマーシャル表示要求などの各機能を有してもよい。
　通信部２０２ａは、バッテリー管理ＥＣＵ２００ａが車両ネットワーク（例えば、他のＥＣＵ）と通信するための通信インターフェースである。
　バージョン保持部２０３ａは、自装置の現在のソフトウェアバージョンを保持する記憶装置である。本実施の形態では、バージョン保持部２０３ａは、自装置であるバッテリー管理ＥＣＵ２００ａの現在のソフトウェアバージョンを保持する。バージョン保持部２０３ａは、半導体メモリなどにより実現される。
　図７は、本実施の形態に係るバージョン情報の一例を示す図である。なお、図７では、バッテリー管理ＥＣＵ２００ａの識別情報が「Ａ」であるとして図示している。
　図７に示すように、バージョン情報には、例えば、バッテリー管理ＥＣＵ２００ａの現在のソフトウェアバージョンが「３．０」であることが保持されている。なお、バージョンは１つであることに限定されず、例えば、バッテリー管理ＥＣＵ２００ａが複数のソフトウェアを有する場合、複数のソフトウェアバージョンがバージョン保持部２０３ａに保持されていてもよい。例えば、複数のアプリケーションそれぞれのバージョン、ソフトウェアを構成するライブラリのバージョンなどがバージョン保持部２０３ａに保持されていてもよい。
　なお、各ＥＣＵは、自装置の現在のソフトウェアバージョンを保持し、参照できるように構成される。
　図２を再び参照して、ＥＣＵ２００ｂは、電気自動車１０の他の機能を実現するためのＥＣＵである。ＥＣＵ２００ｂの機能構成は、バッテリー管理ＥＣＵ２００ａの機能構成と同じであってもよく、説明を省略する。なお、電気自動車１０が備えるＥＣＵの数は特に限定されない。
　バッテリー３００は、電気自動車１０が走行するための動力としての電気エネルギーを蓄える。バッテリー３００は、充電インターフェースを有し、充電ステーション３０で充電装置６０１により充電される。また、バッテリー３００は、充電ステーション３０などの充放電装置を介して放電可能であってもよい。
　ディスプレイ４００は、電気自動車１０に設けられたユーザインタフェースであり、例えば、ナビゲーションシステムが備える表示装置により実現される。ディスプレイ４００は、例えば、電気自動車１０を充電装置６０１により充電する際の情報、充電ステーション３０の情報、充電装置６０１の予約情報などを表示する。
　図１を再び参照して、ＥＶ管理サーバ２０は、例えば車両メーカなどが管理するサーバであり、電気自動車１０を含む各車両のセキュリティ状態などを管理する。ＥＶ管理サーバ２０は、電気自動車１０、充電ステーション３０（又は充電装置６０１）、及び、ステーション管理サーバ４０のそれぞれと通信可能である。
　図８は、本実施の形態に係るＥＶ管理サーバ２０の機能構成を示すブロック図である。
　図８に示すように、ＥＶ管理サーバ２０は、通信部５０１と、セキュリティ状態応答部５０２と、セキュリティ監視部５０３と、認定証明書保持部５０４と、車両情報保持部５０５とを備える。
　通信部５０１は、ＥＶ管理サーバ２０が電気自動車１０、ステーション管理サーバ４０等と通信するための通信インターフェースである。
　セキュリティ状態応答部５０２は、監視している複数の車両のうちの一の車両（ここでは、電気自動車１０）と通信する外部システム（例えば充電装置６０１、ステーション管理サーバ４０など）から、当該一の車両（ここでは、電気自動車１０）に対するセキュリティ状態の問い合わせに対して、当該一の車両のセキュリティ状態を返答する処理を実行する。
　セキュリティ監視部５０３は、車両情報保持部５０５に格納された車両情報（後述する図１０を参照）をもとに外部システムと通信する一の車両（ここでは、電気自動車１０）のセキュリティ状態を判定する。セキュリティ監視部５０３は、一の車両の構成ソフトウェアのセキュリティパッチが最新か、過去にセキュリティ侵害履歴が無いか等に基づいて、当該一の車両のセキュリティ状態を判定する。
　認定証明書保持部５０４は、ＥＶ管理サーバ２０において認定された運用がされていることを示す証明書を保持する記憶装置である。認定証明書保持部５０４には、秘密鍵及び公開鍵も併せて保持されており、外部システムがその正当性を検証することができる。このように、認定証明書保持部５０４は、ＥＶ管理サーバ２０において認定された運用がされているか否かを外部システムが検証可能な情報を保持する。認定証明書保持部５０４は、半導体メモリなどにより実現される。
　図９は、本実施の形態に係る認定証明書保持部５０４が保持する認定証明書の一例を示す図である。
　図９に示すように、認定証明書は、ＥＶ管理サーバ証明書と、サーバ秘密鍵とを含む。
　ＥＶ管理サーバ証明書は、ＥＶ管理サーバ２０において認定されたセキュリティ運用がされていることを証明する証明書である。ＥＶ管理サーバ証明書は、例えば、認証局により発行される。
　サーバ秘密鍵は、ＥＶ管理サーバ２０が送信するデータに署名をつけるために利用される。
　また、認定証明書には、ＥＶ管理サーバ２０の公開鍵、認証局の情報などが含まれており、ＥＶ管理サーバ２０が電気自動車１０を管理する正当なサーバであることを証明可能である。
　図８を再び参照して、車両情報保持部５０５は、管理している車両全てに対する、現在の位置情報、バッテリー残量、セキュリティレベルなどを車両情報として保持する記憶装置である。車両情報保持部５０５は、半導体メモリなどにより実現される。
　図１０は、本実施の形態に係る車両情報の一例を示す図である。
　図１０に示すように、車両情報は、ＥＶ管理サーバ２０の管理下にある車両の情報を含む。車両情報は、車両を識別する情報（例えば、１０Ａ）と、項目と、状態とが対応付けられた情報である。項目は、現在のソフトウェアバージョンを示す「ソフトウェアバージョン」と、セキュリティ侵害の履歴を示す「セキュリティ侵害履歴」と、セキュリティ監視サービスの利用の有無を示す「セキュリティ監視」と、セキュリティ監視部５０３によって判定される電気自動車１０のセキュリティレベルを示す「セキュリティレベル」と、バッテリー３００の電池残量を示す「バッテリー残量」と、電気自動車１０（図１０では、電気自動車１０Ａ）の現在の位置を示す「位置情報」とを含む。
　セキュリティ監視サービスとは、例えば、ＳＯＣ（Ｓｅｃｕｒｉｔｙ　Ｏｐｅｒａｔｉｏｎｓ　Ｃｅｎｔｅｒ）、脆弱性管理システム、異常検知システムなどによる監視サービスである。また、セキュリティレベルは、「高」、「低」の２段階であってもよいし、「高」、「中」、「低」などの３以上の段階であってもよいし、数値により示されてもよい。
　図１を再び参照して、充電ステーション３０は、電気自動車１０の充電を行うためのステーションであり、１以上の充電装置６０１を有する。なお、充電ステーション３０は、例えば、バッテリー３００を充電する充電器、及び、バッテリー３００に蓄えられた電力を出力（放電）する放電器として機能する充放電装置を備えていてもよい。
　図１１は、本実施の形態に係る充電ステーション３０の構成を示す図である。図１１では、便宜上、３つの充電装置６０１を充電装置６０１ａ～６０１ｃと図示している。
　図１１に示すように、充電ステーション３０は、充電装置６０１ａ～６０１ｃと、ステーション管理部６０２とを備える。
　ステーション管理部６０２は、各充電装置６０１ａ～６０１ｃの利用状況（出力、利用時間）、今後の利用スケジュールなどを管理する。また、ステーション管理部６０２は、ステーション管理サーバ４０と通信するための通信インターフェースを有し、各充電装置６０１ａ～６０１ｃの利用状況、今後の利用スケジュールなどをステーション管理サーバ４０に送信してもよい。ステーション管理部６０２は、ローカルのサーバにより実現されてもよい。
　図１を再び参照して、ステーション管理サーバ４０は、充電サービスプロバイダ、充電オーナーなどが管理するサーバであり、充電ステーション３０のセキュリティ状態の監視、制御指示などを行う。ステーション管理サーバ４０は、第二のシステムに含まれる情報処理装置の一例である。ステーション管理サーバ４０は、ＥＶ管理サーバ２０とは異なる組織が運用するサーバであり、ＥＶ管理サーバ２０とは独立したサーバである。
　図１２は、本実施の形態に係るステーション管理サーバ４０の機能構成を示すブロック図である。
　図１２に示すように、ステーション管理サーバ４０は、通信部７０１と、セキュリティ状態応答部７０２と、セキュリティ監視部７０３と、認定証明書保持部７０４と、ステーション状態保持部７０５とを備える。
　通信部７０１は、ステーション管理サーバ４０が、ステーション管理部６０２、ＥＶ管理サーバ２０等と通信するための通信インターフェースである。
　セキュリティ状態応答部７０２は、充電装置６０１と通信する外部システム（例えば電気自動車１０）からの当該充電装置６０１のセキュリティ状態の問い合わせに対して当該充電装置６０１のセキュリティ状態を応答する処理を実行する。
　セキュリティ監視部７０３は、ステーション状態保持部７０５に格納されたステーション状態（後述する図１４を参照）をもとに外部システムと通信する充電装置６０１のセキュリティ状態を判定する。セキュリティ監視部７０３は、充電ステーション３０（図１４では、充電ステーション３０Ａ）のセキュリティ状態、スケジュール、電力ひっ迫率等に基づいて、当該充電装置６０１のセキュリティ状態を判定する。
　認定証明書保持部７０４は、ステーション管理サーバ４０が認定された運用がされていることを示す証明書を保持する記憶装置である。認定証明書保持部７０４には、秘密鍵及び公開鍵も併せて保持されており、外部システムがその正当性を検証することができる。このように、認定証明書保持部７０４は、ステーション管理サーバ４０において認定された運用がされているか否かを外部システムが検証可能な情報を保持する。認定証明書保持部７０４は、半導体メモリなどにより実現される。
　図１３は、本実施の形態に係るステーション管理サーバ４０が保持する認定証明書の一例を示す図である。
　図１３に示すように、認定証明書は、充電ステーション管理サーバ証明書と、サーバ秘密鍵とを含む。
　充電ステーション管理サーバ証明書は、ステーション管理サーバ４０において認定された運用がされていることを証明する証明書である。充電ステーション管理サーバ証明書は、例えば、認証局により発行される。
　サーバ秘密鍵は、ステーション管理サーバ４０が送信するデータに署名をつけるために利用される。
　また、認定証明書には、ステーション管理サーバ４０の公開鍵、認証局の情報などが含まれており、ステーション管理サーバ４０が充電ステーション３０（例えば、充電装置６０１）を管理する正当なサーバであることを証明可能である。
　ステーション状態保持部７０５は、管理している各充電ステーション３０のセキュリティ状態、利用状態スケジュールなどをステーション状態として保持する。また、ステーション状態保持部７０５は、電力会社からの電力供給状況についても保持している。ステーション状態保持部７０５は、半導体メモリなどにより実現される。
　図１４は、本実施の形態に係るステーション状態の一例を示す図である。図１４に示すステーション状態がステーション状態保持部７０５に記憶されている。
　図１４に示すように、ステーション状態は、ステーション管理サーバ４０の管理下にある充電ステーション３０の情報を含む。ステーション状態は、充電ステーションを識別する情報（例えば、３０Ａ）と、項目と、内容とが対応付けられた情報である。項目は、充電ステーション３０Ａの位置を示す「位置」と、充電ステーション３０Ａのアクセス先を示す「アクセス先」と、充電ステーション３０Ａの電力利用率を示す「電力利用率」と、充電ステーション３０Ａのセキュリティ状態を示す「セキュリティ状態」と、充電ステーション３０Ａが有する各充電装置６０１ａ～６０１ｃの利用状態（又は予約情報）を示す「スケジュール」と、現在の電力ひっ迫率を示す「電力ひっ迫率」とを含む。セキュリティ状態は、セキュリティ異常の有無を示す情報と、ソフトウェアの脆弱性の有無を示す情報とを含む。ソフトウェアの脆弱性の有無は、ソフトウェアのバージョンに基づいて特定可能である。セキュリティ状態は、充電装置６０１ａ～６０１ｃごとに保持されていてもよい。また、ステーション状態は、充電装置６０１ａ～６０１ｃごとの現時点でのソフトウェアのバージョンの最新リストが含まれていてもよい。
　［１－２．セキュリティ状態連携システムの動作］
　続いて、上記のように構成されるセキュリティ状態連携システム１の動作について、図１５～図２１を参照しながら説明する。図１５は、本実施の形態に係るセキュリティ状態連携システム１の動作（判定方法、応答方法）を示すシーケンス図である。図１５では、電気自動車１０への充電の充電モードを制御開始するまでのシーケンスを示す。図１５に示す電気自動車１０の動作は、第一のシステムに含まれる情報処理装置が実行する判定方法の一例であり、ステーション管理サーバ４０の動作は、第二のシステムに含まれる情報処理装置が実行する応答方法の一例である。
　図１５に示すように、まず、電気自動車１０が充電装置６０１に接続される（Ｓ１１）。電気自動車１０が充電装置６０１に接続されることで、電気自動車１０と充電装置６０１との間での通信が開始される。なお、電気自動車１０と充電装置６０１との接続は、自動で行われてもよいし、人により行われてもよい。
　次に、充電装置６０１は、例えば、効率的に電力管理するために電気自動車１０の充電（又は充放電）を制御する充電モード制御機能へのアクセスを要求する機能要求を電気自動車１０に出力する（Ｓ１２）。機能要求は、電気自動車１０（例えば、セントラルＥＣＵ１００又はゾーンＥＣＵ）が有する機能を利用する要求であり、ここでは、電気自動車１０が有するスマート充電機能へのアクセスを行う要求であってもよい。
　次に、電気自動車１０は、セキュリティが確保された外部システムにしかスマート充電機能にアクセスさせたくないため、充電装置６０１（又は充電ステーション３０）の現在のセキュリティ状態を、充電装置６０１に問い合わせる（Ｓ１３）。電気自動車１０のサーバ通信部１０１は、セキュリティ状態の問い合わせを充電装置６０１に送信し、充電装置６０１の通信部は、当該問い合わせを受信する。
　次に、充電装置６０１は、セキュリティ状態の問い合わせを電気自動車１０から取得すると、自装置のセキュリティ状態を管理するステーション管理サーバ４０に関する情報（例えば、ステーション管理サーバ４０のアクセス先情報）を返答として電気自動車１０に送信する（Ｓ１４）。電気自動車１０のサーバ通信部１０１は、ステーション管理サーバ４０に関する情報を受信する。
　次に、電気自動車１０は、充電装置６０１から取得したアクセス先情報に基づいて、ステーション管理サーバ４０に通信先の充電装置６０１（例えば、バッテリー３００の充電インターフェースを介して接続された充電装置６０１）のセキュリティ状態を問い合わせる（Ｓ１５）。電気自動車１０は、充電装置６０１（又は、充電ステーション３０）からの機能要求に対して、所定のセキュリティレベルを満たした充電装置６０１に対してのみ機能利用を許可するために、機能要求を出力した充電装置６０１の現在のセキュリティ状態をステーション管理サーバ４０に問い合わせる。充電装置６０１の現在のセキュリティ状態の問い合わせは、充電装置６０１のセキュリティ状態の取得要求の一例である。
　このように、異なるシステムに属する電気自動車１０と、充電装置６０１とが通信を行う際、電気自動車１０（例えば、セントラルＥＣＵ１００）は、充電装置６０１のセキュリティ状態の取得要求を第二のシステム（ここでは、ステーション管理サーバ４０）に出力する。
　なお、セキュリティ状態の問い合わせは、サーバ通信部１０１により送信されてもよい。サーバ通信部１０１は、出力部の一例である。
　なお、電気自動車１０からの充電装置６０１のセキュリティ状態の問い合わせの取得は、通信部７０１を介して行われてもよい。通信部７０１は、取得部の一例である。
　次に、ステーション管理サーバ４０は、電気自動車１０の問い合わせを検証し、当該充電装置６０１のセキュリティ状態を返答として、電気自動車１０に送信する（Ｓ１６）。充電装置６０１のセキュリティ状態は、異なるシステムである第一のシステムに対して、充電装置６０１が適切にセキュリティ運用されていることを証明するための情報であるとも言える。電気自動車１０は、ステップＳ１６において、充電装置６０１のセキュリティ状態を、ステップＳ１５の問い合わせを受け付けたステーション管理サーバ４０から取得する。
　なお、電気自動車１０への充電装置６０１のセキュリティ状態の送信は、通信部７０１を介して行われてもよい。通信部７０１は、出力部の一例である。
　なお、充電装置６０１のセキュリティ状態の取得は、サーバ通信部１０１を介して行われてもよい。サーバ通信部１０１は、取得部の一例である。
　次に、電気自動車１０は、充電装置６０１のセキュリティ状態に基づいて充電装置６０１の正当性を検証した後、適切なセキュリティ状態であれば、充電装置６０１によるスマート充電機能へのアクセス（機能アクセス）を許可し、認可したことを充電装置６０１に出力する（Ｓ１７）。電気自動車１０の車両機能アクセス制御部１０２は、ステーション管理サーバ４０から取得した充電装置６０１のセキュリティ状態に基づいて、スマート充電機能へのアクセスの認否を判定する。充電装置６０１の正当性は、充電装置６０１が適切なセキュリティ状態を有するか否かにより判定されてもよい。適切なセキュリティ状態は、予め電気自動車１０が記憶していてもよい。
　スマート充電機能へのアクセスの認否を判定することは、通信に関する判定を行うことの一例である。なお、通信に関する判定は、例えば、充電装置６０１との通信を行う（又は、通信を継続する）ことの認否であってもよい。
　次に、充電装置６０１は、アクセスが許可されたことを電気自動車１０から取得すると、充電制御を開始する（Ｓ１８）。
　このように、セキュリティ状態連携システム１では、充電装置６０１（又は充電ステーション３０）のセキュリティ状態が適切な状態（例えば、スマート充電機能に応じたセキュリティ状態）である場合に、つまり、充電装置６０１に適切なセキュリティ運用がなされている場合に、充電装置６０１によるスマート充電機能へのアクセスが許可され、スマート充電機能へのアクセスが実行される。
　続いて、セキュリティ状態連携システム１の各構成要素の動作について説明する。
　図１６は、本実施の形態に係るステーション管理サーバ４０の動作（応答方法）を示すフローチャートである。図１６は、ステーション管理部６０２の外部連携部であるステーション管理サーバ４０の全体処理のフローチャートを示す。
　図１６に示すように、セキュリティ状態応答部７０２は、電気自動車１０から当該電気自動車１０が通信している充電装置６０１のセキュリティ状態の問い合わせを通信部７０１が受信すると（Ｓ３１）、問い合わせ内容の正当性を検証する（Ｓ３２）。セキュリティ状態応答部７０２は、問い合わせ元の電気自動車１０が正当な電気自動車であるか否かを判定するとも言える。なお、ステップＳ３２の処理は必須ではない。
　次に、セキュリティ状態応答部７０２は、ステップＳ３２の検証結果に基づいて、セキュリティ状態の返答がＮＧか否かを判定する（Ｓ３３）。セキュリティ監視部７０３は、セキュリティ状態の返答がＯＫである場合（Ｓ３３でＮｏ）、つまりセキュリティ状態を応答するとセキュリティ状態応答部７０２により判定された場合、当該充電装置６０１のセキュリティ状態を判定する（Ｓ３４）。
　次に、通信部７０１は、当該充電装置６０１のセキュリティ状態を返答として電気自動車１０に送信する（Ｓ３５）。
　次に、セキュリティ状態応答部７０２は、充電装置６０１のセキュリティ状態と、充電装置６０１が要求する機能とに基づいて、電気自動車１０の継続監視が必要か否かを判定する（Ｓ３６）。継続監視は、充電中（例えば、スマート充電機能へのアクセスを許可しての充電中）に、電気自動車１０の状態（セキュリティ異常）を監視することを意味する。セキュリティ状態応答部７０２は、例えば、充電装置６０１のセキュリティ状態と、充電装置６０１が要求する機能とに基づいて機能を利用することのリスク値を算出し、算出したリスク値に応じて、継続的な監視をするか否かの判定を行う。例えば、セキュリティ状態応答部７０２は、リスク値が所定値以上である場合、継続監視が必要と判定し、リスク値が所定値未満である場合、継続監視が不要であると判定してもよい。
　次に、セキュリティ状態応答部７０２は、電気自動車１０の継続監視が必要と判定した場合（Ｓ３６でＹｅｓ）、継続監視を行う継続監視モードに移行し（Ｓ３７）、電気自動車１０の継続監視が不要と判定した場合（Ｓ３６でＮｏ）、処理を終了する。
　また、セキュリティ状態応答部７０２は、セキュリティ状態の返答がＮＧである場合（Ｓ３３でＹｅｓ）、問い合わせを行った電気自動車１０が不正な車両である可能性があるので、セキュリティ状態の応答を拒否する（Ｓ３８）。
　ここで、ステップＳ３２及びステップＳ３４について、さらに図１７～図１９を参照しながら説明する。図１７及び図１８は、図１６に示すステップＳ３２の詳細動作（応答方法）の各例を示すフローチャートである。図１７では、セキュリティ状態の問い合わせ元の車両（ここでは、電気自動車１０）が、通信相手の充電装置６０１と物理的に近い場合にセキュリティ状態の返答を許可する動作を示す。図１８では、電気自動車１０が充電装置６０１から事前にトークン（例えば、ワンタイムトークン）を受け取っており、電気自動車１０が有するトークンが、通信相手の充電装置６０１が発行したトークンである場合にセキュリティ状態の返答を許可する動作を示す。トークンは、充電装置６０１が電気自動車１０に送信する装置情報の一例である。なお、装置情報は、トークンであることに限定されず、例えば、充電装置６０１のＩＤ（識別情報）などであってもよい。
　図１７に示すように、セキュリティ状態応答部７０２は、問い合わせ元の車両（電気自動車１０）の現在位置を取得する（Ｓ３２ａ）。セキュリティ状態応答部７０２は、例えば、当該電気自動車１０から現在位置を取得してもよい。なお、セキュリティ状態応答部７０２は、現在位置に替えて、又は、現在位置とともに、電気自動車１０のＩＤ（識別情報）を取得してもよい。
　次に、セキュリティ状態応答部７０２は、問い合わせ元の車両がセキュリティ状態を要求された充電装置６０１と地理的に近いか否かを判定する（Ｓ３２ｂ）。この場合、ステーション管理サーバ４０は、各充電装置６０１の位置情報を記憶している。
　次に、セキュリティ状態応答部７０２は、問い合わせ元の車両がセキュリティ状態を要求された充電装置６０１と地理的に近いと判定した場合（Ｓ３２ｂでＹｅｓ）、問い合わせ元の車両へのセキュリティ状態の返答がＯＫである、つまり応答すると判定し（Ｓ３２ｃ）、問い合わせ元の車両がセキュリティ状態を要求された充電装置６０１と地理的に遠いと判定した場合（Ｓ３２ｂでＮｏ）、問い合わせ元の車両へのセキュリティ状態の返答がＮＧである、つまり応答を行わないと判定する（Ｓ３２ｄ）。
　このように、セキュリティ状態応答部７０２は、電気自動車１０の物理的位置と充電装置６０１の物理的位置とが所定の範囲内である場合、取得した取得要求が、充電装置６０１と通信する電気自動車１０からの取得要求であると判定し、電気自動車１０に充電装置６０１のセキュリティ状態を送信すると判定してもよい。
　また、図１８に示すように、セキュリティ状態応答部７０２は、問い合わせ元の車両（電気自動車１０）から通信相手の充電装置６０１が発行したトークンを受信する（Ｓ３２ｅ）。
　次に、セキュリティ状態応答部７０２は、ステップＳ３２ｅで受信したトークンが、対象の充電装置６０１が発行したトークンであるか否かを判定する（Ｓ３２ｆ）。セキュリティ状態応答部７０２は、ステップＳ３２ｅで受信したトークンの発行元又は正しさを検証することで、ステップＳ３２ｆの判定を行ってもよい。
　なお、例えば、充電モード制御機能を要求する時に、充電装置６０１がトークン（例えば、ワンタイムトークン）を生成し、当該要求と同時に生成したトークンを電気自動車１０に送信していてもよい。ワンタイムトークンの生成方法は、公知のいかなる技術が用いられてもよい。例えば、充電装置６０１ごとに秘密鍵があり、充電装置６０１それぞれがワンタイムトークンの生成可能であってもよい。また、ワンタイムトークンは一度限りとしてもよいし、有効期限が付与されていてもよい。
　次に、セキュリティ状態応答部７０２は、ステップＳ３２ｅで受信したトークンが、対象の充電装置６０１が発行したトークンであると判定した場合（Ｓ３２ｆでＹｅｓ）、問い合わせ元の車両へのセキュリティ状態の返答がＯＫである、つまり応答すると判定し（Ｓ３２ｇ）、ステップＳ３２ｅで受信したトークンが、対象の充電装置６０１が発行したトークンではないと判定した場合（Ｓ３２ｆでＮｏ）、問い合わせ元の車両へのセキュリティ状態の返答がＮＧである、つまり応答を行わないと判定する（Ｓ３２ｈ）。
　このように、セキュリティ状態応答部７０２は、充電装置６０１が出力する（例えば、発行する）装置情報を電気自動車１０が保持している場合、取得した取得要求が、充電装置６０１と通信する電気自動車１０からの取得要求であると判定し、電気自動車１０に充電装置６０１のセキュリティ状態を送信すると判定してもよい。
　図１９は、図１６に示すステップＳ３４の詳細動作（応答方法）を示すフローチャートである。なお、図１９には、ステップＳ３５の詳細動作（Ｓ３５ａ及びＳ３５ｂ）も図示している。
　図１９に示すように、セキュリティ監視部７０３は、当該充電装置６０１が要求した機能（例えば、図１５に示す充電モード制御機能）が、当該充電装置６０１が利用可能な機能であるか否かを判定する（Ｓ３４ａ）。セキュリティ監視部７０３は、当該充電装置６０１が要求した機能を電気自動車１０から取得し、ステーション管理サーバ４０が記憶している充電装置６０１ごとの利用可能な機能のリストに、電気自動車１０から取得した機能を当該充電装置６０１が利用可能であると記載されている場合、当該充電装置６０１が利用可能な機能であると判定し、当該リストに、電気自動車１０から取得した機能を当該充電装置６０１が利用可能であると記載されていない場合、当該充電装置６０１が利用不可能な機能であると判定する。
　例えば、ドアロック施解錠機能は充電装置６０１が利用不可な機能として、またスマート充電機能は充電装置６０１が利用不可な機能として、予めステーション管理サーバ４０がリストを保持しておいてもよい。
　なお、セキュリティ監視部７０３は、一時的に当該充電装置６０１における車両機能へのアクセスが無効となっている場合、ステップＳ３４ａでＮｏと判定してもよい。充電装置６０１のファームウェアに脆弱性があり、一時的に高度な機能利用が禁止されている場合などが該当する。
　次に、セキュリティ監視部７０３は、当該充電装置６０１が要求した機能が、当該充電装置６０１が利用可能な機能であると判定した場合（Ｓ３４ａでＹｅｓ）、電気自動車１０からセキュリティレベルの要求があるか否かを判定する（Ｓ３４ｂ）。セキュリティレベルは、例えば、電気自動車１０が充電装置６０１からアクセス要求を受けている機能に応じて電気自動車１０によって決定されてもよい。例えば、電気自動車１０は、アクセス要求を受けている機能と、要求するセキュリティレベルとが対応付けられたテーブルを予め記憶しており、当該テーブルに基づいて要求するセキュリティレベルが決定されてもよい。また、セキュリティレベルがある場合、電気自動車１０のサーバ通信部１０１は、ステップＳ１５においてセキュリティ状態の問い合わせとともに要求するセキュリティレベルをステーション管理サーバ４０に送信してもよい。
　次に、セキュリティ監視部７０３は、電気自動車１０からセキュリティレベルの要求があると判定した場合（Ｓ３４ｂでＹｅｓ）、充電装置６０１のセキュリティ状態が車両の要求するセキュリティレベルを満たすか否かを判定する（Ｓ３４ｃ）。セキュリティ監視部７０３は当該充電装置６０１（又は当該充電装置６０１が設置された充電ステーション３０）のセキュリティ侵害履歴、セキュリティ監視の有無、ソフトウェアバージョン（既知の脆弱性の有無）などに基づいて、当該充電装置６０１のセキュリティレベルを決定し、当該セキュリティレベルが電気自動車１０の要求するセキュリティレベルより高いか否かを判定する。セキュリティレベルは、数値であってもよいし、「高」、「中」、「低」等の段階的なレベルであってもよい。セキュリティレベルを満たすか否かの判定は、例えば、セキュリティレベルが一致するか否かの判定であってもよい。
　なお、当該充電装置６０１（又は当該充電装置６０１が設置された充電ステーション３０）のセキュリティ侵害履歴、セキュリティ監視の有無、ソフトウェアバージョンなどは、ステーション管理サーバ４０に予め記憶されている。
　次に、通信部７０１は、充電装置６０１のセキュリティ状態が車両の要求するセキュリティレベルを満たすとセキュリティ監視部７０３により判定された場合（Ｓ３４ｃでＹｅｓ）、セキュリティ状態ＯＫを応答として電気自動車１０に送信する（Ｓ３５ａ）。
　また、セキュリティ監視部７０３は、電気自動車１０からセキュリティレベルの要求がないと判定した場合（Ｓ３４ｂでＮｏ）、当該充電装置６０１から要求された機能に応じて、セキュリティ状態の検証レベルを変化させる処理を実行する。セキュリティ監視部７０３はステップＳ３４ｂでＮｏの場合、当該充電装置６０１に脆弱性がないか否かを判定する（Ｓ３４ｅ）。セキュリティ監視部７０３は、例えば、当該充電装置６０１のソフトウェアバージョンに基づいて、当該充電装置６０１に脆弱性なしか否かを判定する。
　次に、セキュリティ監視部７０３は、当該充電装置６０１に脆弱性がないと判定した場合（Ｓ３４ｅでＹｅｓ）、さらに当該充電装置６０１が要求した機能が車両制御に関わるか否かを判定する（Ｓ３４ｆ）。セキュリティ監視部７０３は、電気自動車１０から取得した当該充電装置６０１から要求された機能と、機能が車両制御に関わるか否かのリストとに基づいて、ステップＳ３４ｆの判定を行ってもよい。例えば、車両情報として課金情報を取得する機能、遠隔でも利用可能な機能は車両制御に関わらない機能として、また、車両情報として電気自動車１０の位置情報を取得する機能、コマーシャル情報の表示、ルート検索などの機能は車両制御に関わる機能として、予めステーション管理サーバ４０がリストを保持しておいてもよい。
　次に、セキュリティ監視部７０３は、当該充電装置６０１が要求した機能が車両制御に関わると判定した場合（Ｓ３４ｆでＹｅｓ）、さらに、当該充電装置６０１におけるセキュリティ異常の履歴に基づいて、直近で当該充電装置６０１にセキュリティ異常がないか否かを判定する（Ｓ３４ｇ）。
　次に、セキュリティ監視部７０３は、直近で当該充電装置６０１にセキュリティ異常がないと判定した場合（Ｓ３４ｇでＹｅｓ）、及び、当該充電装置６０１が要求した機能が車両制御に関わらないと判定した場合（Ｓ３４ｆでＮｏ）、ステップＳ３５ａに進む。
　また、セキュリティ監視部７０３は、当該充電装置６０１が要求した機能が、当該充電装置６０１が利用可能な機能ではないと判定した場合（Ｓ３４ａでＮｏ）、充電装置６０１のセキュリティ状態が車両の要求するセキュリティレベルを満たさないと判定した場合（Ｓ３４ｃでＮｏ）、当該充電装置６０１に脆弱性があると判定した場合（Ｓ３４ｅでＮｏ）、及び、直近で当該充電装置６０１にセキュリティ異常があると判定した場合（Ｓ３４ｇでＮｏ）、ステップＳ３５ｂに進む。
　次に、通信部７０１は、ステップＳ３５ａにおいてセキュリティ状態ＯＫを応答として、電気自動車１０に送信し、ステップＳ３５ｂにおいてセキュリティ状態ＮＧを応答として、電気自動車１０に送信する。
　このように、電気自動車１０側が判定する当該機能を利用する充電装置６０１に求めるセキュリティレベルと、充電装置６０１のセキュリティレベルとに基づいて、問い合わせに対する応答内容（セキュリティ状態）が判定されてもよい。
　また、さらに、充電装置６０１に対するセキュリティ監視の有無も用いて、セキュリティ状態が判定されてもよい。充電装置６０１のセキュリティ状態は、例えば、充電装置６０１におけるセキュリティ異常の履歴に関する情報、充電装置６０１を構成するソフトウェアに含まれる脆弱性に関する情報、及び、充電装置６０１に対するセキュリティ監視に関する情報の少なくとも１つに基づいて決定される状態である。
　さらに、図１９に示す動作が終了した後、図２０に示す動作が実行されてもよい。図２０は、図１９に示す動作が終了した後、続いて実行される動作（応答方法）を示すフローチャートである。図２０では、充電装置６０１のセキュリティ状態がＯＫであったとしても、車両制御などリスクの高い機能の利用、及び、電力ひっ迫時の充電制御については、継続的にセキュリティ異常がないかの継続監視モードに移行する動作を示す。
　図２０に示すように、セキュリティ監視部７０３は、充電装置６０１のセキュリティ状態の応答として、セキュリティ状態ＯＫの応答を行ったか否かを判定する（Ｓ６１）。
　次に、セキュリティ監視部７０３は、セキュリティ状態ＯＫの応答を行ったと判定した場合（Ｓ６１でＹｅｓ）、充電装置６０１が要求した機能が車両制御に関わるか否かを判定する（Ｓ６２）。ステップＳ６２の処理は、図１９に示すステップＳ３４ｆと同様である。
　次に、セキュリティ監視部７０３は、充電装置６０１が要求した機能が車両制御に関わらないと判定した場合（Ｓ６２でＮｏ）、充電装置６０１が要求した機能が充電制御に関わるか否かを判定する（Ｓ６３）。セキュリティ監視部７０３は、充電装置６０１が要求した機能が充電モードを制御する機能（例えば、スマート充電機能）である場合、充電制御に関わると判定する。
　次に、セキュリティ監視部７０３は、充電装置６０１が要求した機能が充電制御に関わると判定した場合（Ｓ６３でＹｅｓ）、さらに現在、電力ひっ迫率が閾値以上か否かを判定する（Ｓ６４）。セキュリティ監視部７０３は、例えば、図１４に示すステーション状態の電力ひっ迫率が閾値以上であるか否かに基づいて、ステップＳ６４の判定を行う。なお、電力ひっ迫率は、電力会社、又は、公的機関などから公表される値が用いられてもよい。
　次に、セキュリティ監視部７０３は、充電装置６０１が要求した機能が車両制御に関わると判定した場合（Ｓ６２でＹｅｓ）、及び、電力ひっ迫率が閾値以上であると判定した場合（Ｓ６４でＹｅｓ）、継続監視モードに移行する（Ｓ６５）。これにより、充電装置６０１のセキュリティ状態がＯＫであっても、さらに機能が車両制御に関わる場合（つまり、よりセキュリティリスクが高い場合）などに、追加で電気自動車１０及び充電装置６０１を監視することができる。例えば、セキュリティ監視部７０３は、充電中に、不正充電されていないか、つまり機能の利用中に不正制御がなされていないかを監視することができる。なお、ここでのセキュリティリスクとは、例えば、充電ステーション３０側で電力ひっ迫している状況で余計な充電（不正な充電）が行われブラックアウト等が発生するリスクなどが例示される。なお、閾値は、予め取得されステーション管理サーバ４０に記憶されている。
　また、セキュリティ監視部７０３は、セキュリティ状態ＮＧの応答を行ったと判定した場合（Ｓ６１でＮｏ）、充電装置６０１が要求した機能が充電制御に関わらないと判定した場合（Ｓ６３でＮｏ）、及び、電力ひっ迫率が閾値未満であると判定した場合（Ｓ６４でＮｏ）、継続監視モードに移行せずに処理を終了する。
　このように、セキュリティ監視部７０３は、充電装置６０１が要求した機能を示す情報に応じて、当該機能の利用中に不正制御がなされていないかを監視する継続監視モードに移行するか否かを判定する。
　ここで、継続監視モードで実行される処理について、図２１を参照しながら説明する。図２１は、本実施の形態に係る継続監視モードで実行される動作（応答方法）を示すフローチャートである。
　図２１に示すように、セキュリティ監視部７０３は、通信部７０１を介して、電気自動車１０から充電装置６０１との通信ログを取得する（Ｓ７１）。このように、継続監視モードでは、他システムである電気自動車１０から通信相手である充電装置６０１との通信ログが取得される。また、セキュリティ監視部７０３は、通信ログに替えて、又は、通信ログとともに、制御状態に関する情報を電気自動車１０から取得してもよい。制御状態に関する情報は、充電装置６０１が要求した機能に関する電気自動車１０の状態を示す情報であり、本実施の形態では、充電量などの充電状態に関する情報が含まれる。
　次に、セキュリティ監視部７０３は、充電装置６０１から電気自動車１０との通信ログを取得する（Ｓ７２）。このように、継続監視モードでは、充電装置６０１からも電気自動車１０との通信ログを取得する。
　次に、セキュリティ監視部７０３は、電気自動車１０と充電装置６０１との通信ログの整合性がとれないか否かを判定する（Ｓ７３）。セキュリティ監視部７０３は、例えば、電気自動車１０の通信ログと充電装置６０１の通信ログとが一致するか否かに基づいて、不正な制御又は不正な通信がないかを判定してもよい。セキュリティ監視部７０３は、例えば、電気自動車１０から取得した充電量と、充電装置６０１から取得した充電量（供給量）とが一致しない場合、整合性がとれていないと判定する。
　次に、セキュリティ監視部７０３は、電気自動車１０と充電装置６０１との通信ログの整合性がとれないと判定した場合（Ｓ７３でＹｅｓ）、例えば、電気自動車１０から通知される通信ログと充電装置６０１から通知される通信ログとに不整合がある場合、セキュリティ異常を検知する（Ｓ７４）。ここでのセキュリティ異常は、例えば、電気自動車１０のセキュリティ異常である。セキュリティ異常が検知された場合、セキュリティ監視部７０３は、例えば電気自動車１０に機能利用を不可とするように通信部７０１を介して通知してもよい。
　また、セキュリティ監視部７０３は、電気自動車１０と充電装置６０１との通信ログの整合性がとれると判定した場合（Ｓ７３でＮｏ）、セキュリティ異常を検知せずに処理を終了する。
　（実施の形態１の変形例）
　以下では、本変形例に係るセキュリティ状態連携システムについて、図２２～図２４を参照しながら説明する。なお、以下では、実施の形態１との相違点を中心に説明し、実施の形態１と同一又は類似の内容については説明を省略又は簡略化する。本変形例に係るセキュリティ状態連携システムは、主に、充電装置６０１が充電モード制御機能へのアクセスの要求時にステーション管理サーバ４０に関する情報を送信する点、及び、ＥＶ管理サーバ２０が電気自動車１０のセキュリティ状態をステーション管理サーバ４０に応答する点が実施の形態１に係るセキュリティ状態連携システム１と相違する。本変形例に係るセキュリティ状態連携システムは、実施の形態１に係るセキュリティ状態連携システム１と構成が同じであってもよく、以下では、セキュリティ状態連携システム１の符号を用いて説明する。
　図２２は、本変形例に係るセキュリティ状態連携システム１の動作を示すシーケンス図である。図２２では、電気自動車１０への充電の充電モードを制御開始するまでのシーケンスを示す。
　図２２に示すように、充電装置６０１は、電気自動車１０が接続され通信が開始されると充電モード制御機能へのアクセスを要求する（Ｓ１２ａ）。本変形例では、充電装置６０１は、充電モード制御機能へのアクセス要求とともに、充電装置６０１を管理するステーション管理サーバ４０に関する情報を電気自動車１０に送信する。ステーション管理サーバ４０に関する情報は、ステーション管理サーバ４０のアクセス先情報（例えば、アドレス）を含む。
　次に、電気自動車１０は、充電装置６０１から充電モード制御機能へのアクセスの要求とともに取得したアクセス先情報に基づいて、ステーション管理サーバ４０に通信先の充電装置６０１（例えば、バッテリー３００の充電インターフェースを介して接続された充電装置６０１）のセキュリティ状態を問い合わせる（Ｓ１５）。
　次に、ステーション管理サーバ４０は、電気自動車１０からセキュリティ状態の問い合わせを通信部７０１を介して取得すると、電気自動車１０の要求に応答してよいか否かの判定のために電気自動車１０のセキュリティ状態をＥＶ管理サーバ２０に問い合わせる（Ｓ１９）。ステーション管理サーバ４０の通信部７０１は、電気自動車１０のセキュリティ状態の取得要求をＥＶ管理サーバ２０に送信する。
　次に、ＥＶ管理サーバ２０は、電気自動車１０のセキュリティ状態の問い合わせをステーション管理サーバ４０から取得すると、電気自動車１０のセキュリティ状態を応答としてステーション管理サーバ４０に送信する（Ｓ２０）。問い合わせの取得、及び、セキュリティ状態の送信は、通信部５０１により行われる。
　次に、ステーション管理サーバ４０は、電気自動車１０のセキュリティ状態をＥＶ管理サーバ２０から取得し、セキュリティ状態が所定状態を満たす場合に、充電装置６０１のセキュリティ状態を応答として電気自動車１０に送信する（Ｓ１６）。電気自動車１０のセキュリティ状態の取得、及び、充電装置６０１のセキュリティ状態の送信は、通信部７０１により行われる。
　ここで、ステーション管理サーバ４０の動作について、図２３及び図２４を参照しながら説明する。図２３は、本変形例に係るステーション管理サーバ４０の動作（応答方法）の第１例を示すフローチャートである。図２３では、問い合わせ元の車両（電気自動車１０）のセキュリティ状態に応じて、充電装置６０１のセキュリティ状態を当該車両に返答するか否かを判定する動作を示す。なお、図２３では、電気自動車１０からセキュリティ状態の問い合わせをステーション管理サーバ４０が取得した後に実行される動作を示す。
　図２３に示すように、セキュリティ状態応答部７０２は、ＥＶ管理サーバ２０に対して電気自動車１０のセキュリティ状態を、通信部７０１を介して問い合わせる（Ｓ４１）。ステップＳ４１は、図２２に示すステップＳ１９に対応する。
　次に、セキュリティ状態応答部７０２は、ＥＶ管理サーバ２０から電気自動車１０のセキュリティ状態を通信部７０１を介して取得すると、取得した電気自動車１０のセキュリティ状態がＯＫか否かを判定する（Ｓ４２）。セキュリティ状態応答部７０２は、ＥＶ管理サーバ２０からセキュリティ状態ＯＫを示す情報を取得したか否かによりステップＳ４２の判定を行ってもよいし、ＥＶ管理サーバ２０から車両情報（図１２を参照）を取得し、取得した車両情報に基づいて電気自動車１０のセキュリティレベルを判定し、判定したセキュリティレベルと閾値等とに基づいて、ステップＳ４２の判定を行ってもよい。閾値は、例えば、充電装置６０１が要求している機能に応じて決定されてもよい。
　次に、セキュリティ状態応答部７０２は、電気自動車１０のセキュリティ状態がＯＫであると判定した場合（Ｓ４２でＹｅｓ）、充電装置６０１セキュリティ状態の返答をＯＫである、つまり応答すると判定し（Ｓ４３）、電気自動車１０のセキュリティ状態がＮＧであると判定した場合（Ｓ４２でＮｏ）、セキュリティ状態の返答をＮＧである、つまり応答しないと判定する（Ｓ４４）。セキュリティ状態の返答をＯＫと判定した場合に、図２２に示すステップＳ１６が実行される。
　このように、セキュリティ状態応答部７０２は、電気自動車１０のセキュリティ状態が所定の条件を満たす場合、取得した取得要求が、充電装置６０１と通信する電気自動車１０からの取得要求であると判定し、電気自動車１０に充電装置６０１のセキュリティ状態を送信すると判定してもよい。
　図２４は、本変形例に係るステーション管理サーバ４０の動作（応答方法）の第２例を示すフローチャートである。図２４では、充電装置６０１が要求する機能に応じて、電気自動車１０のセキュリティ状態の確認方法を異ならせる動作を示す。
　図２４に示すように、セキュリティ状態応答部７０２は、充電装置６０１が要求した車両機能の種類を取得する（Ｓ５１）。セキュリティ状態応答部７０２は、例えば、電気自動車１０から要求された車両機能の種類を取得してもよい。
　次に、セキュリティ状態応答部７０２は、充電装置６０１が要求した機能（車両機能）が、充電装置６０１と電気自動車１０とが近接時のみ有効か否かを判定する（Ｓ５２）。セキュリティ状態応答部７０２は、近接時のみ有効な機能のリストに基づいて、ステップＳ５２の判定を行なってもよい。近接時のみ有効な機能としては、例えば、充電制御、放電制御等が例示される。当該リストは、予めステーション管理サーバ４０に記憶されている。
　次に、セキュリティ状態応答部７０２は、充電装置６０１が要求した機能が充電装置６０１と電気自動車１０とが近接時のみ有効であると判定した場合（Ｓ５２でＹｅｓ）、充電装置６０１と電気自動車１０との物理的な位置を確認すると判定する（Ｓ５３）。この場合、セキュリティ状態応答部７０２は、図１７に示す動作に相当する動作を実行する。
　このように、充電装置６０１が要求した機能が、充電制御などの充電装置６０１と電気自動車１０とが物理的に接続されている場合などに利用可能な機能であるときには、電気自動車１０と充電装置６０１との物理的な位置が確認される。
　また、セキュリティ状態応答部７０２は、充電装置６０１が要求した機能が充電装置６０１と電気自動車１０とが近接時のみ有効ではないと判定した場合（Ｓ５２でＮｏ）、さらに充電装置６０１が要求した機能が電気自動車１０の制御に関わるか否かを判定する（Ｓ５４）。この場合、セキュリティ状態応答部７０２は、図２０に示すステップＳ６２に相当する動作を実行する。
　次に、セキュリティ状態応答部７０２は、充電装置６０１が要求した機能が電気自動車１０の制御に関わると判定した場合（Ｓ５４でＹｅｓ）、電気自動車１０のセキュリティ状態を確認すると判定する（Ｓ５５）。この場合、セキュリティ状態応答部７０２は、図２３に示す動作に相当する動作を実行する。
　また、セキュリティ状態応答部７０２は、充電装置６０１が要求した機能が電気自動車１０の制御に関わらないと判定した場合（Ｓ５４でＮｏ）、充電装置６０１の発行するトークン（装置情報の一例）を確認すると判定する（Ｓ５６）。この場合、セキュリティ状態応答部７０２は、図１８に示す動作に相当する動作を実行する。
　このように、充電装置６０１が要求する機能が、遠隔でも利用可能な機能であるか否か、車両情報の取得（例えば、課金情報の取得、車両位置情報（又は運転履歴情報）の取得など）、及び、車両機能の制御（コマーシャル情報の表示、ルート検索など）のいずれであるかに応じて、検証内容（Ｓ５３、Ｓ５５、Ｓ５６）を異ならせる。また、充電装置６０１が要求する機能（例えば、スマート充電制御機能、運転履歴情報取得、課金情報取得、コマーシャル表示要求など）に基づいて、問い合わせに応答するか否かが判定されてもよい。例えば、セキュリティ状態応答部７０２は、充電装置６０１が電気自動車１０に利用すると要求した電気自動車１０の機能を示す情報（例えば、車両機能の種類）を、取得情報とともに電気自動車１０から取得した場合、機能の種類に応じて、取得した取得要求が、充電装置６０１と通信する電気自動車１０からの取得要求であるか否かを判定する方法を変更してもよい。
　（実施の形態２）
　以下では、本実施の形態に係るセキュリティ状態連携システムについて、図２５～図２８を参照しながら説明する。なお、以下では、実施の形態１との相違点を中心に説明し、実施の形態１と同一又は類似の内容については説明を省略又は簡略化する。本実施の形態に係るセキュリティ状態連携システムは、主に、実施の形態１等で説明したセキュリティ状態応答部７０２等の機能を充電ステーション３０側が有している点が実施の形態１に係るセキュリティ状態連携システム１と相違する。以下では、セキュリティ状態応答部７０２等の機能を充電装置が有する例について説明するが充電ステーション３０が有していてもよい。
　［２－１．セキュリティ状態連携システムの構成］
　まず、判定方法を実行するセキュリティ状態連携システムの構成等について、図２５及び図２６を参照しながら説明する。図２５は、本実施の形態に係る充電装置８０１の機能構成を示すブロック図である。
　図２５に示すように、セキュリティ状態連携システムは、実施の形態１に係る充電装置６０１に替えて充電装置８０１を備える。
　充電装置８０１は、車両からの充電装置８０１のセキュリティ状態の問い合わせに対して、セキュリティ状態の応答を行うことができるように構成されている。充電装置８０１は、車両通信部８１１と、ステーション管理通信部８１２と、セキュリティ状態応答部８１３と、セキュリティ状態保持部８１４とを備える。
　車両通信部８１１は、充電装置８０１が電気自動車１０と通信を行うための通信インターフェースである。
　ステーション管理通信部８１２は、充電装置８０１がステーション管理部６０２と通信を行うための通信インターフェースである。
　セキュリティ状態応答部８１３は、実施の形態１に示すセキュリティ状態応答部７０２と同様の機能を有し、充電装置８０１と通信する外部システム（例えば電気自動車１０）からの当該充電装置８０１のセキュリティ状態の問い合わせに対して当該充電装置８０１のセキュリティ状態を応答する処理を実行する。
　セキュリティ状態保持部８１４は、当該充電装置８０１のセキュリティ状態を保持する記憶装置である。セキュリティ状態保持部８１４は、例えば、半導体メモリにより実現される。
　図２６は、本実施の形態に係る充電装置８０１のセキュリティ状態の一例を示す図である。図２６に示すセキュリティ状態は、セキュリティ状態保持部８１４に記憶されている。
　図２６に示すように、セキュリティ状態は、項目と、値とが対応付けられた情報である。項目としては、セキュリティ異常の履歴を示す「セキュリティ異常履歴」と、ファームウェアのバージョンを示す「ファームウェアバージョン」と、セキュリティ監視の有無を示す「セキュリティ監視」と、ステーション管理サーバ４０が充電装置８０１のセキュリティを検証した日を示す「セキュリティ検証日」と、セキュリティ状態の有効期限を示す「有効期限」と、ステーション管理サーバ４０の署名を示す「管理サーバ署名」と、ステーション管理サーバ４０が発行する証明書を示す「管理サーバ証明書」とを含む。
　セキュリティ状態は、ステーション管理サーバ４０により発行されており、充電装置８０１が改ざんできないように署名されている。
　このようなセキュリティ状態を充電装置８０１が記憶していることで、電気自動車１０又はＥＶ管理サーバ２０で、充電ステーション管理サーバ証明書の正当性を検証することができる。
　なお、本実施の形態では、充電装置８０１は、当該充電装置８０１のセキュリティ状態を電気自動車１０に車両通信部８１１を介して返答し、充電装置８０１が要求している機能の利用のＯＫ／ＮＧの判定を電気自動車１０（又はＥＶ管理サーバ２０）に実行させてもよい。
　［２－２．セキュリティ状態連携システムの動作］
　続いて、上記のように構成されるセキュリティ状態連携システムの動作について、図２７及び図２８を参照しながら説明する。図２７は、本実施の形態に係るセキュリティ状態連携システムの動作（判定方法、応答方法）を示すシーケンス図である。図２７では、電気自動車１０への充電の充電モードを制御開始するまでのシーケンスを示す。
　図２７に示すように、電気自動車１０は、充電装置８０１から充電モード制御機能へのアクセスの要求を取得すると、充電装置８０１のセキュリティ状態を充電装置８０１に問い合わせる（Ｓ１３ｂ）。電気自動車１０の通信部は、充電装置８０１のセキュリティ状態の問い合わせを充電装置８０１に送信し、車両通信部８１１は、電気自動車１０からの充電装置８０１のセキュリティ状態の問い合わせを取得する。
　次に、充電装置８０１のセキュリティ状態応答部８１３は、充電装置８０１のセキュリティ状態の応答を検証し（Ｓ８１）、車両通信部８１１は、充電装置８０１のセキュリティ状態を応答として電気自動車１０に送信する（Ｓ８２）。
　このように、本実施の形態では、ステーション管理サーバ４０を介さずにセキュリティ状態の応答が行われる。セキュリティ状態の応答のための処理がローカル（充電ステーション３０内）で完結するため、ステーション管理サーバへ４０の問い合わせ量（例えば、通信量）を減らすことができる。
　ここで、充電装置８０１の動作について、図２８を参照しながら説明する。図２８は、本実施の形態に係る充電装置８０１の動作（応答方法）を示すフローチャートである。図２８に示すステップＳ９１～Ｓ９４の処理は、図２７に示すステップＳ８１の処理に対応する。
　図２８に示すように、車両通信部８１１は、電気自動車１０からの充電装置８０１のセキュリティ状態の問い合わせを受信する（Ｓ９１）。
　次に、セキュリティ状態応答部８１３は、自身が機能利用を要求した電気自動車１０からのセキュリティ状態の要求か否かを判定する（Ｓ９２）。ステップＳ９２の処理は、図１６に示すステップＳ３２の処理に相当する。セキュリティ状態応答部８１３は、例えば、充電装置８０１と電気自動車１０との物理的な位置、電気自動車１０のセキュリティ状態、及び、充電装置８０１が出力する設備情報（例えば、トークン、ＩＤなど）の少なくとも１つを用いて、ステップＳ９２の判定を実行する。
　次に、セキュリティ状態応答部８１３は、自身が機能利用を要求した電気自動車１０からのセキュリティ状態の要求であると判定した場合（Ｓ９２でＹｅｓ）、さらに自身のセキュリティ状態の期限が有効か否かを判定する（Ｓ９３）。セキュリティ状態応答部８１３は、図２６に示すセキュリティ検証日と、有効期限と、現在の日にちとに基づいて、ステップＳ９３の判定を行ってもよい。
　次に、セキュリティ状態応答部８１３は、自身のセキュリティ状態の期限が有効ではないと判定すると（Ｓ９３でＮｏ）、セキュリティ状態の更新をステーション管理サーバ４０に依頼する（Ｓ９４）。充電装置８０１の通信部は、ステーション管理サーバ４０に充電装置８０１のセキュリティ状態の更新要求を送信する。これにより、充電装置８０１のセキュリティ状態が更新される。
　次に、車両通信部８１１は、自身のセキュリティ状態の期限が有効であるとセキュリティ状態応答部８１３により判定された場合（Ｓ９３でＹｅｓ）、及び、ステップＳ９４の処理が実行された場合、充電装置８０１のセキュリティ状態を応答として電気自動車１０に送信する（Ｓ８２）。
　また、セキュリティ状態応答部８１３は、自身が機能利用を要求した電気自動車１０からのセキュリティ状態の要求ではないと判定した場合（Ｓ９２でＮｏ）、不正な車両からのセキュリティ状態の要求である可能性があるので、セキュリティ状態の応答を拒否すると判定する（Ｓ９５）。
　これにより、充電装置８０１は、自身が機能の利用を要求した電気自動車１０からのセキュリティ状態の問い合わせにのみ応じることができる。
　（表示例）
　続いて、電気自動車１０からのセキュリティ状態の問い合わせ内容の表示例について、図２９を参照しながら説明する。図２９は、セキュリティ状態の問い合わせ内容の表示例を示す図である。図２９では、実施の形態１に係る充電装置６０１ａ～６０１ｃに対するセキュリティ状態の問い合わせ内容の表示例を示しているが、実施の形態２に係る充電装置８０１に対するセキュリティ状態の問い合わせ内容も同様に表示される。
　図２９に示すように、表示される情報は、セキュリティ状態の問い合わせを取得した時刻を示す「時刻」と、どの車両からのセキュリティ状態の問い合わせであるかを示す「車両」と、問い合わせを取得した車両に対して充電装置が要求した機能を示す「機能」と、どの充電装置に対するセキュリティ状態の問い合わせであるかを示す「充電装置」と、セキュリティ状態の応答を行うか否かの判定結果を示す「結果」とが対応付けられている。結果には、セキュリティ状態の応答が拒否された場合の理由（例えば、「車両位置が、充電装置と近接していません。」など）も含まれる。
　図２９に示す表示が、充電装置を管理する管理者、又は、電気自動車１０を管理する管理者に対して行われることで、セキュリティ状態の問い合わせに関する状況を当該管理者に把握させることができる。また、図２９に示すような情報がログとして記憶されてもよい。
　（その他の実施の形態）
　以上、一つ又は複数の態様に係る判定方法等について、実施の形態等に基づいて説明したが、本開示は、この実施の形態等に限定されるものではない。本開示の趣旨を逸脱しない限り、当業者が思いつく各種変形を本実施の形態に施したものや、異なる実施の形態における構成要素を組み合わせて構築される形態も、本開示に含まれてもよい。
　例えば、上記実施の形態等における電気自動車１０の機能の一部又は全ては、ＥＶ管理サーバ２０が有していてもよい。言い換えると、電気自動車１０が実行する動作の一部又は全ては、ＥＶ管理サーバ２０が実行してもよい。例えば、充電装置６０１、８０１（充電装置６０１等）のセキュリティ状態の問い合わせは、ＥＶ管理サーバ２０から送信されてもよい。また、上記実施の形態等におけるＥＶ管理サーバ２０の機能の一部又は全ては、電気自動車１０が有していてもよい。言い換えると、ＥＶ管理サーバ２０が実行する動作の一部又は全ては、電気自動車１０が実行してもよい。
　また、上記実施の形態等における充電装置６０１等の機能の一部又は全ては、ステーション管理サーバ４０又はステーション管理部６０２により実行されてもよい。言い換えると、充電装置６０１等が実行する動作の一部又は全ては、ステーション管理サーバ４０又はステーション管理部６０２が実行してもよい。また、上記実施の形態等におけるステーション管理サーバ４０の機能の一部又は全ては、充電装置６０１等又はステーション管理部６０２が有していてもよい。言い換えると、ステーション管理サーバ４０が実行する動作の一部又は全ては、充電装置６０１等又はステーション管理部６０２が実行してもよい。
　また、上記実施の形態等では、充電モード制御機能へのアクセスを要求が行われた後にセキュリティ状態の問い合わせが行われる例について説明したがこれに限定されず、例えば、電気自動車１０と充電装置６０１等とが通信を開始した時点で、例えば、充電モード制御機能へのアクセスを要求が行われる前、又は、充電モード制御機能へのアクセスを要求が行われない場合にセキュリティ状態の問い合わせが行われてもよい。
　また、上記実施の形態等では、充電装置６０１等が電気自動車１０に充電を行う場合に充電装置６０１等のセキュリティ状態の問い合わせが行われる例について説明したがこれに限定されず、例えば、充電装置６０１等が電気自動車１０に充電を行う場合に電気自動車１０のセキュリティ状態の問い合わせが当該充電装置６０１等から行われてもよい。このように、機能へのアクセスを要求する側の装置が当該機能を有する装置に、セキュリティ状態の問い合わせを行ってもよい。
　また、上記実施の形態等では、第一の装置として電気自動車１０を例示し、第二の装置として充電装置６０１等を例示したが、第一の装置及び第二の装置はこれに限定されず、互いに異なるシステムに属しており（異なる組織によってセキュリティ運用が行われており）、かつ、通信可能であれば、第一の装置及び第二の装置は他のいかなる装置であってもよい。例えば、第一の装置及び第二の装置のそれぞれが電気自動車などの電動車両であってもよいし、第一の装置が充電装置６０１等であり、第二の装置が電気自動車１０であってもよい。また、第一の装置及び第二の装置の少なくとも一方は、家電機器などであってもよい。
　また、上記実施の形態等では、電気自動車１０と充電装置６０１等とは直接通信する例について説明したがこれに限定されず、他の装置を介して通信が行われてもよい。例えば、電気自動車１０と充電装置６０１等との通信が、ＥＶ管理サーバ２０及びステーション管理サーバ４０の少なくとも一方を介して行われてもよい。なお、例えば、充電装置６０１等が電気自動車１０から情報を取得するとは、充電装置６０１等が電気自動車１０から情報を直接取得すること、及び、充電装置６０１等が電気自動車１０が出力した情報を他の装置を介して取得することのそれぞれを含む表現である。
　また、上記実施の形態等において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵ又はプロセッサなどのプログラム実行部が、ハードディスク又は半導体メモリなどの記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。
　また、フローチャートにおける各ステップが実行される順序は、本開示を具体的に説明するために例示するためのものであり、上記以外の順序であってもよい。また、上記ステップの一部が他のステップと同時（並列）に実行されてもよいし、上記ステップの一部は実行されなくてもよい。
　また、ブロック図における機能ブロックの分割は一例であり、複数の機能ブロックを一つの機能ブロックとして実現したり、一つの機能ブロックを複数に分割したり、一部の機能を他の機能ブロックに移してもよい。また、類似する機能を有する複数の機能ブロックの機能を単一のハードウェア又はソフトウェアが並列又は時分割に処理してもよい。
　また、上記実施の形態等に係る情報処理装置は、単一の装置として実現されてもよいし、複数の装置により実現されてもよい。情報処理装置が複数の装置によって実現される場合、当該情報処理装置が有する各構成要素は、複数の装置にどのように振り分けられてもよい。情報処理装置が複数の装置で実現される場合、当該複数の装置間の通信方法は、特に限定されず、無線通信であってもよいし、有線通信であってもよい。また、装置間では、無線通信及び有線通信が組み合わされてもよい。
　また、上記実施の形態等で説明した各構成要素は、ソフトウェアとして実現されても良いし、典型的には、集積回路であるＬＳＩとして実現されてもよい。これらは、個別に１チップ化されてもよいし、一部又は全てを含むように１チップ化されてもよい。ここでは、ＬＳＩとしたが、集積度の違いにより、ＩＣ、システムＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路（専用のプログラムを実行する汎用回路）又は汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）又は、ＬＳＩ内部の回路セルの接続若しくは設定を再構成可能なリコンフィギュラブル・プロセッサを利用してもよい。更には、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて構成要素の集積化を行ってもよい。
　システムＬＳＩは、複数の処理部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）などを含んで構成されるコンピュータシステムである。ＲＯＭには、コンピュータプログラムが記憶されている。マイクロプロセッサが、コンピュータプログラムに従って動作することにより、システムＬＳＩは、その機能を達成する。
　また、本開示の一態様は、図１５～図２４、図２７及び図２８のいずれかに示される判定方法又は応答方法に含まれる特徴的な各ステップをコンピュータに実行させるコンピュータプログラムであってもよい。
　また、例えば、プログラムは、コンピュータに実行させるためのプログラムであってもよい。また、本開示の一態様は、そのようなプログラムが記録された、コンピュータ読み取り可能な非一時的な記録媒体であってもよい。例えば、そのようなプログラムを記録媒体に記録して頒布又は流通させてもよい。例えば、頒布されたプログラムを、他のプロセッサを有する装置にインストールして、そのプログラムをそのプロセッサに実行させることで、その装置に、上記各処理を行わせることが可能となる。
　本開示は、異なるシステム間での通信を監視する装置等に有用である。
　１　　セキュリティ状態連携システム
　１０、１０Ａ　　電気自動車（第一の装置）
　２０　　ＥＶ管理サーバ
　３０、３０Ａ　　充電ステーション
　４０　　ステーション管理サーバ（情報処理装置）
　１００　　セントラルＥＣＵ（情報処理装置）
　１０１　　サーバ通信部（出力部、取得部）
　１０２　　車両機能アクセス制御部（判定部）
　１０３　　ユーザ端末通信部
　１０４　　車両ネットワーク通信部
　１０５　　車両状態保持部
　１０６　　車両構成情報保持部
　２００ａ　　バッテリー管理ＥＣＵ
　２００ｂ　　ＥＣＵ
　２０１ａ　　アプリ部
　２０２ａ、５０１　　通信部
　２０３ａ　　バージョン保持部
　３００　　バッテリー
　４００　　ディスプレイ
　５０２、７０２、８１３　　セキュリティ状態応答部
　５０３、７０３　　セキュリティ監視部
　５０４、７０４　　認定証明書保持部
　５０５　　車両情報保持部
　６０１、６０１ａ、６０１ｂ、６０１ｃ、８０１　　充電装置（第二の装置）
　６０２　　ステーション管理部
　７０１　　通信部（出力部、取得部）
　７０５　　ステーション状態保持部
　８１１　　車両通信部
　８１２　　ステーション管理通信部
　８１４　　セキュリティ状態保持部

Claims (20)

  1. 　第一のシステムに含まれる情報処理装置が実行する判定方法であって、
    　前記第一のシステムに含まれる第一の装置と、前記第一のシステムと異なる第二のシステムに含まれる第二の装置とが通信を行う際、前記第二の装置のセキュリティ状態の取得要求を前記第二のシステムに出力し、
    　前記第二の装置の前記セキュリティ状態を、前記取得要求を取得した前記第二のシステムから取得し、
    　前記第二のシステムから取得した前記第二の装置の前記セキュリティ状態に基づいて、前記通信に関する判定を行う
    　判定方法。
  2. 　前記第二の装置の前記セキュリティ状態は、前記第二の装置におけるセキュリティ異常の履歴に関する情報、前記第二の装置を構成するソフトウェアに含まれる脆弱性に関する情報、及び、前記第二の装置に対するセキュリティ監視に関する情報の少なくとも１つに基づいて決定される状態である
    　請求項１に記載の判定方法。
  3. 　前記第一の装置が、前記第一の装置が有する機能を利用する要求を前記第二の装置から受けた場合、前記取得要求を前記第二のシステムに出力する
    　請求項１又は２に記載の判定方法。
  4. 　前記第二の装置が前記第一の装置に要求した前記機能を示す情報、前記第二の装置から取得した前記第二の装置の設備情報、及び、自装置の現在位置を示す情報の少なくとも１つを、前記第二のシステムに出力する
    　請求項３に記載の判定方法。
  5. 　前記第一のシステムは、前記第一の装置及び前記第二の装置のうち前記第一の装置のみのセキュリティ状態を管理する
    　請求項１又は２に記載の判定方法。
  6. 　前記第一の装置は、電動車両及び充放電装置の一方であり、
    　前記第二の装置は、前記電動車両及び前記充放電装置の他方である
    　請求項１又は２に記載の判定方法。
  7. 　第一のシステムに含まれる情報処理装置であって、
    　前記第一のシステムに含まれる第一の装置と、前記第一のシステムと異なる第二のシステムに含まれる第二の装置とが通信を行う際、前記第二の装置のセキュリティ状態の取得要求を前記第二のシステムに出力する出力部と、
    　前記第二の装置の前記セキュリティ状態を、前記取得要求を取得した前記第二のシステムから取得する取得部と、
    　前記第二のシステムから取得した前記第二の装置の前記セキュリティ状態に基づいて、前記通信に関する判定を行う判定部とを備える
    　情報処理装置。
  8. 　請求項１又は２に記載の判定方法をコンピュータに実行させるためのプログラム。
  9. 　第二のシステムに含まれる情報処理装置が実行する応答方法であって、
    　前記第二のシステムと異なる第一のシステムに含まれる第一の装置と、前記第二のシステムに含まれる第二の装置とが通信を行う際、前記第一の装置から前記第二の装置のセキュリティ状態の取得要求を取得し、
    　前記第二の装置の前記セキュリティ状態を前記第一の装置に出力する
    　応答方法。
  10. 　前記第二の装置の前記セキュリティ状態は、前記第二の装置におけるセキュリティ異常の履歴に関する情報、前記第二の装置を構成するソフトウェアに含まれる脆弱性に関する情報、及び、前記第二の装置に対するセキュリティ監視に関する情報の少なくとも１つに基づいて決定される状態である
    　請求項９に記載の応答方法。
  11. 　取得した取得要求が、前記第二の装置と通信する前記第一の装置からの取得要求であるか否かを判定し、
    　取得した取得要求が、前記第二の装置と通信する前記第一の装置からの取得要求である場合に、前記第二の装置の前記セキュリティ状態を前記第一の装置に出力する
    　請求項９又は１０に記載の応答方法。
  12. 　前記第一の装置の物理的位置と前記第二の装置の物理的位置とが所定の範囲内である場合、取得した取得要求が、前記第二の装置と通信する前記第一の装置からの取得要求であると判定する
    　請求項１１に記載の応答方法。
  13. 　前記第二の装置が出力する装置情報を前記第一の装置が保持している場合、取得した取得要求が、前記第二の装置と通信する前記第一の装置からの取得要求であると判定する
    　請求項１１に記載の応答方法。
  14. 　前記第一の装置のセキュリティ状態が所定の条件を満たしている場合、取得した取得要求が、前記第二の装置と通信する前記第一の装置からの取得要求であると判定する
    　請求項１１に記載の応答方法。
  15. 　前記第二の装置が前記第一の装置に利用すると要求した前記第一の装置の機能を示す情報を、前記取得要求とともに前記第一の装置から取得した場合、前記機能の種類に応じて、取得した取得要求が、前記第二の装置と通信する前記第一の装置からの取得要求であるか否かを判定する方法を変更する
    　請求項１１に記載の応答方法。
  16. 　さらに、前記機能を示す情報に応じて、前記機能の利用中に不正制御がなされていないかを監視する継続監視モードに移行する
    　請求項１５に記載の応答方法。
  17. 　前記継続監視モードにおいて、前記第一の装置及び前記第二の装置それぞれの通信ログ、並びに、前記第一の装置及び前記第二の装置それぞれの前記機能に関する状態の少なくとも一方の整合がとれない場合、セキュリティ異常であると判定する
    　請求項１６に記載の応答方法。
  18. 　前記第一の装置及び前記第二の装置の一方は、電動車両であり、
    　前記第一の装置及び前記第二の装置の他方は、充電装置であり、
    　前記機能が車両充電に関わる機能であり、かつ、電力状態がひっ迫状態である場合、前記継続監視モードに移行する
    　請求項１６に記載の応答方法。
  19. 　第二のシステムに含まれる情報処理装置であって、
    　前記第二のシステムと異なる第一のシステムに含まれる第一の装置と、前記第二のシステムに含まれる第二の装置とが通信を行う際、前記第一の装置から前記第二の装置のセキュリティ状態の取得要求を取得する取得部と、
    　前記第二の装置の前記セキュリティ状態を前記第一の装置に出力する出力部とを備える
    　情報処理装置。
  20. 　請求項９又は１０に記載の応答方法をコンピュータに実行させるためのプログラム。
PCT/JP2024/015085 2024-04-16 2024-04-16 判定方法、情報処理装置、プログラム、及び、応答方法 Pending WO2025220101A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
PCT/JP2024/015085 WO2025220101A1 (ja) 2024-04-16 2024-04-16 判定方法、情報処理装置、プログラム、及び、応答方法
PCT/JP2025/012694 WO2025220468A1 (ja) 2024-04-16 2025-03-28 判定方法、情報処理装置、プログラム、及び、応答方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2024/015085 WO2025220101A1 (ja) 2024-04-16 2024-04-16 判定方法、情報処理装置、プログラム、及び、応答方法

Publications (1)

Publication Number Publication Date
WO2025220101A1 true WO2025220101A1 (ja) 2025-10-23

Family

ID=97403129

Family Applications (2)

Application Number Title Priority Date Filing Date
PCT/JP2024/015085 Pending WO2025220101A1 (ja) 2024-04-16 2024-04-16 判定方法、情報処理装置、プログラム、及び、応答方法
PCT/JP2025/012694 Pending WO2025220468A1 (ja) 2024-04-16 2025-03-28 判定方法、情報処理装置、プログラム、及び、応答方法

Family Applications After (1)

Application Number Title Priority Date Filing Date
PCT/JP2025/012694 Pending WO2025220468A1 (ja) 2024-04-16 2025-03-28 判定方法、情報処理装置、プログラム、及び、応答方法

Country Status (1)

Country Link
WO (2) WO2025220101A1 (ja)

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2019207593A (ja) * 2018-05-30 2019-12-05 住友電気工業株式会社 スキャン処理装置、スキャン処理方法、コンピュータプログラムおよびスキャン処理システム
WO2023170995A1 (ja) * 2022-03-10 2023-09-14 日立Astemo株式会社 車両診断システム

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2019207593A (ja) * 2018-05-30 2019-12-05 住友電気工業株式会社 スキャン処理装置、スキャン処理方法、コンピュータプログラムおよびスキャン処理システム
WO2023170995A1 (ja) * 2022-03-10 2023-09-14 日立Astemo株式会社 車両診断システム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
ISOHARA, TAKAMASA; ICHIDA, CHIE; KITADA, YUKO; TAKEMORI, KEISUKE; SASASE, IWAO: "Implementation and evaluation of Security Certificate Platform for Verification of Safety Communication", IPSJ SIG TECHNICAL REPORTS, vol. 2005-CSEC-28, no. 33, 22 March 2005 (2005-03-22), JP , pages 67 - 72, XP009565704, ISSN: 0919-6072 *

Also Published As

Publication number Publication date
WO2025220468A1 (ja) 2025-10-23

Similar Documents

Publication Publication Date Title
JP7280396B2 (ja) 機器の安全なプロビジョニングと管理
EP4207110B1 (en) DEVICE AND METHOD FOR COLLECTING USER-BASED INSURANCE DATA IN VEHICLES
US9384613B2 (en) Near field communication based key sharing techniques
US8410898B1 (en) Near field communication based key sharing techniques
CN109379369A (zh) 单点登录方法、装置、服务器及存储介质
CN110324335B (zh) 一种基于电子移动证书的汽车软件升级方法及系统
JP2022529725A (ja) デジタルキー、端末デバイス、及び媒体の同一性を認証する方法
US9160723B2 (en) Framework for provisioning devices with externally acquired component-based identity data
CN103677892A (zh) 在安全电子控制单元中启用特殊优先模式的授权方案
EP2947611A1 (en) Apparatus, method for controlling apparatus, and program
CN106027467B (zh) 一种身份证读取响应系统
CN113343204B (zh) 基于区块链的数字身份管理系统及方法
CN106027477B (zh) 一种身份证读取响应方法
CN108540335B (zh) 设备分析报告的管理方法及管理装置
Harnett et al. Government fleet and public sector electric vehicle supply equipment (evse) cybersecurity best practices and procurement language report
WO2025220101A1 (ja) 判定方法、情報処理装置、プログラム、及び、応答方法
US20240413645A1 (en) Battery systems and battery management server
CN108886529B (zh) 用于远程地控制车辆的系统
CN121056870A (zh) 用于提供对车辆系统的安全访问的系统和方法
HK40000697B (en) A device and method for collecting user-based insurance data in vehicles
HK40000697A (en) A device and method for collecting user-based insurance data in vehicles

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 24936014

Country of ref document: EP

Kind code of ref document: A1