特許 6299039 車両情報収集システム、データ保安装置、車両情報収集方法、及びコンピュータプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6299039

(24)【登録日】2018年3月9日

(45)【発行日】2018年3月28日

(54)【発明の名称】車両情報収集システム、データ保安装置、車両情報収集方法、及びコンピュータプログラム

(51)【国際特許分類】

   H04L 9/32 20060101AFI20180319BHJP

   H04L 9/08 20060101ALI20180319BHJP

【ＦＩ】

   H04L9/00 675A

   H04L9/00 601C

   H04L9/00 601E

【請求項の数】4

【全頁数】17

(21)【出願番号】特願2016-185978(P2016-185978)

(22)【出願日】2016年9月23日

(65)【公開番号】特開2018-50255(P2018-50255A)

(43)【公開日】2018年3月29日

【審査請求日】2017年2月17日

【前置審査】

(73)【特許権者】

【識別番号】000208891

【氏名又は名称】ＫＤＤＩ株式会社

(74)【代理人】

【識別番号】100165179

【弁理士】

【氏名又は名称】田▲崎▼ 聡

(74)【代理人】

【識別番号】100175824

【弁理士】

【氏名又は名称】小林 淳一

(74)【代理人】

【識別番号】100114937

【弁理士】

【氏名又は名称】松本 裕幸

(72)【発明者】

【氏名】竹森 敬祐

(72)【発明者】

【氏名】溝口 誠一郎

(72)【発明者】

【氏名】窪田 歩

【審査官】 上島 拓也

(56)【参考文献】

【文献】 特開２００８−１８１４１０（ＪＰ，Ａ）

【文献】 特開２００６−２３７８６０（ＪＰ，Ａ）

【文献】 特開２０１４−２０４４４４（ＪＰ，Ａ）

【文献】 特開２０１４−２２０８０３（ＪＰ，Ａ）

【文献】 再公表特許第２０１５／１７０４５３（ＪＰ，Ａ１）

【文献】 特表２００５−５１０８１３（ＪＰ，Ａ）

【文献】 特開２０１６−１１１５８９（ＪＰ，Ａ）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｈ０４Ｌ ９／３２

Ｈ０４Ｌ ９／０８

(57)【特許請求の範囲】

【請求項1】

車両情報収集装置と、車両に搭載されるデータ保安装置とを備え、
前記データ保安装置は、
マスタ鍵と前記車両に対応する識別子とを使用して生成された前記車両の共通鍵を記憶する鍵記憶部と、
自データ保安装置の外部の装置とデータを送受するインタフェース部と、
前記車両のログを対象に前記車両の共通鍵を使用してメッセージ認証符号を生成する暗号処理部と、を備え、前記ログに前記メッセージ認証符号を付したメッセージ認証符号付きログを前記インタフェース部により前記車両情報収集装置に送信し、
前記車両情報収集装置は、
前記車両とデータを送受する車両インタフェースと、
マスタ鍵と前記車両に対応する識別子とを使用して前記車両の共通鍵を生成する鍵生成部と、
前記車両インタフェースにより前記データ保安装置から受信したメッセージ認証符号付きログのメッセージ認証符号を、前記鍵生成部が生成した前記車両の共通鍵を使用して検証する暗号処理部と、
前記メッセージ認証符号の検証が合格したログを格納する記憶部と、を備え、
前記メッセージ認証符号の生成対象のログは、前記データ保安装置が前記インタフェース部により前記車両に搭載される複数の車載コンピュータのそれぞれから受信した前記車載コンピュータのログであり、
前記メッセージ認証符号の生成対象のログは、前記データ保安装置が前記インタフェース部により前記車両の制御機能を有する車載コンピュータから受信したログである、
車両情報収集システム。

【請求項2】

車両に搭載されるデータ保安装置において、
マスタ鍵と前記車両に対応する識別子とを使用して生成された前記車両の共通鍵を記憶する鍵記憶部と、
自データ保安装置の外部の装置とデータを送受するインタフェース部と、
前記車両のログを対象に前記車両の共通鍵を使用してメッセージ認証符号を生成する暗号処理部と、を備え、
前記ログに前記メッセージ認証符号を付したメッセージ認証符号付きログを前記インタフェース部により、マスタ鍵と前記車両に対応する識別子とを使用して前記車両の共通鍵を生成する鍵生成部を備える車両情報収集装置に、送信し、
前記メッセージ認証符号の生成対象のログは、前記データ保安装置が前記インタフェース部により前記車両に搭載される複数の車載コンピュータのそれぞれから受信した前記車載コンピュータのログであり、
前記メッセージ認証符号の生成対象のログは、前記データ保安装置が前記インタフェース部により前記車両の制御機能を有する車載コンピュータから受信したログである、
データ保安装置。

【請求項3】

車両に搭載されるデータ保安装置が、マスタ鍵と前記車両に対応する識別子とを使用して生成された前記車両の共通鍵を記憶する鍵記憶部を備え、
前記データ保安装置が、前記車両のログを対象に、前記車両の共通鍵を使用してメッセージ認証符号を生成するメッセージ認証符号生成ステップと、
前記データ保安装置が、前記ログに前記メッセージ認証符号を付したメッセージ認証符号付きログを、自データ保安装置の外部の装置とデータを送受するインタフェース部により車両情報収集装置に送信する送信ステップと、
前記車両情報収集装置が、マスタ鍵と前記車両に対応する識別子とを使用して前記車両の共通鍵を生成する鍵生成ステップと、
前記車両情報収集装置が、前記車両とデータを送受する車両インタフェースにより前記データ保安装置から受信したメッセージ認証符号付きログのメッセージ認証符号を、前記鍵生成ステップにより生成した前記車両の共通鍵を使用して検証するメッセージ認証符号検証ステップと、
前記車両情報収集装置が、前記メッセージ認証符号の検証が合格したログを記憶部に格納するログ格納ステップと、を含み、
前記メッセージ認証符号の生成対象のログは、前記データ保安装置が前記インタフェース部により前記車両に搭載される複数の車載コンピュータのそれぞれから受信した前記車載コンピュータのログであり、
前記メッセージ認証符号の生成対象のログは、前記データ保安装置が前記インタフェース部により前記車両の制御機能を有する車載コンピュータから受信したログである、
車両情報収集方法。

【請求項4】

車両に搭載されるデータ保安装置であって、マスタ鍵と前記車両に対応する識別子とを使用して生成された前記車両の共通鍵を記憶する鍵記憶部を備えるデータ保安装置のコンピュータに、
前記車両のログを対象に、前記車両の共通鍵を使用してメッセージ認証符号を生成する暗号処理機能と、
前記ログに前記メッセージ認証符号を付したメッセージ認証符号付きログを、前記データ保安装置の外部の装置とデータを送受するインタフェース部により、マスタ鍵と前記車両に対応する識別子とを使用して前記車両の共通鍵を生成する鍵生成部を備える車両情報収集装置に、送信する送信機能と、を実現させるためのコンピュータプログラムであり、
前記メッセージ認証符号の生成対象のログは、前記データ保安装置が前記インタフェース部により前記車両に搭載される複数の車載コンピュータのそれぞれから受信した前記車載コンピュータのログであり、
前記メッセージ認証符号の生成対象のログは、前記データ保安装置が前記インタフェース部により前記車両の制御機能を有する車載コンピュータから受信したログである、
コンピュータプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、車両情報収集システム、データ保安装置、車両情報収集方法、及びコンピュータプログラムに関する。

【背景技術】

【0002】

従来、自動車は、ＥＣＵ（Electronic Control Unit：電子制御装置）を有し、ＥＣＵによってエンジン制御等の機能を実現する。ＥＣＵは、コンピュータの一種であり、コンピュータプログラムによって所望の機能を実現する。複数のＥＣＵをＣＡＮ（Controller Area Network）に接続して構成される車載制御システムについてのセキュリティ技術が例えば非特許文献１に記載されている。

【先行技術文献】

【非特許文献】

【0003】

【非特許文献1】竹森敬祐、“セキュアエレメントを基点とした車載制御システムの保護 −要素技術の整理と考察−”、電子情報通信学会、信学技報、vol. 114、no. 508、pp. 73-78、2015年3月

【非特許文献2】STMicroelectronics、“AN4240 Application note”、［平成２８年９月５日検索］、インターネット＜ＵＲＬ：http://www.st.com/web/en/resource/technical/document/application_note/DM00075575.pdf＞

【発明の概要】

【発明が解決しようとする課題】

【0004】

自動車の車載制御システムのＥＣＵのログを安全に収集することの実現が一つの課題であった。

【0005】

本発明は、このような事情を考慮してなされたものであり、ＥＣＵ等の車載コンピュータのログを安全に収集することができる車両情報収集システム、データ保安装置、車両情報収集方法、及びコンピュータプログラムを提供することを課題とする。

【課題を解決するための手段】

【0006】

（１）本発明の一態様は、車両情報収集装置と、車両に搭載されるデータ保安装置とを備え、前記データ保安装置は、マスタ鍵と前記車両に対応する識別子とを使用して生成された前記車両の共通鍵を記憶する鍵記憶部と、自データ保安装置の外部の装置とデータを送受するインタフェース部と、前記車両のログを対象に前記車両の共通鍵を使用してメッセージ認証符号を生成する暗号処理部と、を備え、前記ログに前記メッセージ認証符号を付したメッセージ認証符号付きログを前記インタフェース部により前記車両情報収集装置に送信し、前記車両情報収集装置は、前記車両とデータを送受する車両インタフェースと、マスタ鍵と前記車両に対応する識別子とを使用して前記車両の共通鍵を生成する鍵生成部と、前記車両インタフェースにより前記データ保安装置から受信したメッセージ認証符号付きログのメッセージ認証符号を、前記鍵生成部が生成した前記車両の共通鍵を使用して検証する暗号処理部と、前記メッセージ認証符号の検証が合格したログを格納する記憶部と、を備え、前記メッセージ認証符号の生成対象のログは、前記データ保安装置が前記インタフェース部により前記車両に搭載される複数の車載コンピュータのそれぞれから受信した前記車載コンピュータのログであり、前記メッセージ認証符号の生成対象のログは、前記データ保安装置が前記インタフェース部により前記車両の制御機能を有する車載コンピュータから受信したログである、車両情報収集システムである。
本発明の一態様においては、前記データ保安装置は、前記メッセージ認証符号の生成対象のログと、当該ログについての第２メッセージ認証符号とを前記インタフェース部により前記車載コンピュータから受信し、前記第２メッセージ認証符号を検証し、前記第２メッセージ認証符号の検証が合格したログを前記インタフェース部により前記車両情報収集装置に送信してもよい。
本発明の一態様においては、前記第２メッセージ認証符号は、前記メッセージ認証符号の生成対象のログを格納して前記車載コンピュータに伝送するパケットについてのメッセージ認証符号であってもよい。
本発明の一態様においては、前記メッセージ認証符号の生成対象のログは複数のブロックに分割され、該ブロック毎に第２メッセージ認証コードが計算され、前記データ保安装置は、該ブロックと該第２メッセージ認証コードとを前記インタフェース部により前記車載コンピュータから受信してもよい。
本発明の一態様は、上記（１）の車両情報収集システムにおいて、前記データ保安装置は、前記車両の複数の状態の記録を統合する統合ログを生成する統合ログ生成部をさらに備え、前記統合ログ生成部は、前記車両の複数の状態の記録について、順次、古い記録に新しい記録を上書きすることにより一定期間分の記録を保持し、所定の事故判定条件を満たした時に保持している前記車両の複数の状態の記録を統合する統合ログを生成し、前記データ保安装置の暗号処理部は、該統合ログのメッセージ認証符号を、自データ保安装置の署名鍵を使用して生成し、前記データ保安装置は、該統合ログに該統合ログのメッセージ認証符号を付したメッセージ認証符号付き統合ログを前記インタフェース部により前記車両情報収集装置に送信する、車両情報収集システムである。
本発明の一態様は、上記のいずれかの車両情報収集システムにおいて、前記車両は自動車であり、前記データ保安装置は、所定のログ送信条件を満たした時に、メッセージ認証符号付きログを前記インタフェース部により前記車両情報収集装置に送信し、前記ログ送信条件は、前記自動車の走行モードが「パーキング（駐車）」であること、又は、前記自動車のエンジンが始動していること、又は、前記自動車の走行モードが「パーキング（駐車）」であり且つ前記自動車のエンジンが始動していること、である、車両情報収集システムである。
本発明の一態様においては、前記車両に対応する識別子は、前記車両に搭載された装置の識別子であってもよい。
本発明の一態様においては、前記車両に対応する識別子は、前記データ保安装置の識別子であってもよい。

【0007】

本発明の一態様は、車両に搭載されるデータ保安装置において、マスタ鍵と前記車両に対応する識別子とを使用して生成された前記車両の共通鍵を記憶する鍵記憶部と、自データ保安装置の外部の装置とデータを送受するインタフェース部と、前記車両のログを対象に前記車両の共通鍵を使用してメッセージ認証符号を生成する暗号処理部と、を備え、前記ログに前記メッセージ認証符号を付したメッセージ認証符号付きログを前記インタフェース部により、マスタ鍵と前記車両に対応する識別子とを使用して前記車両の共通鍵を生成する鍵生成部を備える車両情報収集装置に、送信し、前記メッセージ認証符号の生成対象のログは、前記データ保安装置が前記インタフェース部により前記車両に搭載される複数の車載コンピュータのそれぞれから受信した前記車載コンピュータのログであり、前記メッセージ認証符号の生成対象のログは、前記データ保安装置が前記インタフェース部により前記車両の制御機能を有する車載コンピュータから受信したログである、データ保安装置である。

【0008】

（６）本発明の一態様は、車両とデータを送受する車両インタフェースと、前記車両に搭載されるデータ保安装置の署名鍵を生成する鍵生成部と、前記車両インタフェースにより前記データ保安装置から受信したメッセージ認証符号付きログのメッセージ認証符号を、前記鍵生成部が生成した前記データ保安装置の署名鍵を使用して検証する暗号処理部と、前記メッセージ認証符号の検証が合格したログを格納する記憶部と、を備える車両情報収集装置である。

【0009】

本発明の一態様は、車両に搭載されるデータ保安装置が、マスタ鍵と前記車両に対応する識別子とを使用して生成された前記車両の共通鍵を記憶する鍵記憶部を備え、前記データ保安装置が、前記車両のログを対象に、前記車両の共通鍵を使用してメッセージ認証符号を生成するメッセージ認証符号生成ステップと、前記データ保安装置が、前記ログに前記メッセージ認証符号を付したメッセージ認証符号付きログを、自データ保安装置の外部の装置とデータを送受するインタフェース部により車両情報収集装置に送信する送信ステップと、前記車両情報収集装置が、マスタ鍵と前記車両に対応する識別子とを使用して前記車両の共通鍵を生成する鍵生成ステップと、前記車両情報収集装置が、前記車両とデータを送受する車両インタフェースにより前記データ保安装置から受信したメッセージ認証符号付きログのメッセージ認証符号を、前記鍵生成ステップにより生成した前記車両の共通鍵を使用して検証するメッセージ認証符号検証ステップと、前記車両情報収集装置が、前記メッセージ認証符号の検証が合格したログを記憶部に格納するログ格納ステップと、を含み、前記メッセージ認証符号の生成対象のログは、前記データ保安装置が前記インタフェース部により前記車両に搭載される複数の車載コンピュータのそれぞれから受信した前記車載コンピュータのログであり、前記メッセージ認証符号の生成対象のログは、前記データ保安装置が前記インタフェース部により前記車両の制御機能を有する車載コンピュータから受信したログである、車両情報収集方法である。

【0010】

本発明の一態様は、車両に搭載されるデータ保安装置であって、マスタ鍵と前記車両に対応する識別子とを使用して生成された前記車両の共通鍵を記憶する鍵記憶部を備えるデータ保安装置のコンピュータに、前記車両のログを対象に、前記車両の共通鍵を使用してメッセージ認証符号を生成する暗号処理機能と、前記ログに前記メッセージ認証符号を付したメッセージ認証符号付きログを、前記データ保安装置の外部の装置とデータを送受するインタフェース部により、マスタ鍵と前記車両に対応する識別子とを使用して前記車両の共通鍵を生成する鍵生成部を備える車両情報収集装置に、送信する送信機能と、を実現させるためのコンピュータプログラムであり、前記メッセージ認証符号の生成対象のログは、前記データ保安装置が前記インタフェース部により前記車両に搭載される複数の車載コンピュータのそれぞれから受信した前記車載コンピュータのログであり、前記メッセージ認証符号の生成対象のログは、前記データ保安装置が前記インタフェース部により前記車両の制御機能を有する車載コンピュータから受信したログである、コンピュータプログラムである。

【発明の効果】

【0011】

本発明によれば、ＥＣＵ等の車載コンピュータのログを安全に収集することができるという効果が得られる。

【図面の簡単な説明】

【0012】

【図1】一実施形態に係る車両情報収集システム及び自動車１００１の構成例を示す図である。

【図2】一実施形態に係る車両情報収集装置２０００の構成例を示す図である。

【図3】一実施形態に係るデータ保安装置１０１０の構成例を示す図である。

【図4】一実施形態に係るＥＣＵ１０２０の構成例を示す図である。

【図5】一実施形態に係る車両情報収集方法の例を示すシーケンスチャートである。

【発明を実施するための形態】

【0013】

以下、図面を参照し、本発明の実施形態について説明する。なお、以下に示す実施形態では、車両として自動車を例に挙げて説明する。

【0014】

図１は、一実施形態に係る車両情報収集システム及び自動車１００１の構成例を示す図である。本実施形態では、車載コンピュータの一例として、自動車１００１に搭載されるＥＣＵ（電子制御装置）を挙げて説明する。

【0015】

図１において、自動車１００１は、データ保安装置１０１０と複数のＥＣＵ１０２０とを備える。ＥＣＵ１０２０は、自動車１００１に備わる車載コンピュータである。ＥＣＵ１０２０は、自動車１００１のエンジン制御等の制御機能を有する。ＥＣＵ１０２０として、例えば、エンジン制御機能を有するＥＣＵ、ハンドル制御機能を有するＥＣＵ、ブレーキ制御機能を有するＥＣＵなどがある。データ保安装置１０１０は、自動車１００１に搭載されたＥＣＵ１０２０のログのセキュリティ（保安）の機能を有する。なお、自動車１００１に搭載されたいずれかのＥＣＵをデータ保安装置１０１０として機能させてもよい。

【0016】

データ保安装置１０１０と複数のＥＣＵ１０２０は、自動車１００１に備わるＣＡＮ（Controller Area Network）１０３０に接続される。ＣＡＮ１０３０は通信ネットワークである。ＣＡＮは車両に搭載される通信ネットワークの一つとして知られている。データ保安装置１０１０は、ＣＡＮ１０３０を介して、各ＥＣＵ１０２０との間でデータを交換する。ＥＣＵ１０２０は、ＣＡＮ１０３０を介して、他のＥＣＵ１０２０との間でデータを交換する。

【0017】

なお、車両に搭載される通信ネットワークとして、ＣＡＮ以外の通信ネットワークを自動車１００１に備え、ＣＡＮ以外の通信ネットワークを介して、データ保安装置１０１０とＥＣＵ１０２０との間のデータの交換、及び、ＥＣＵ１０２０同士の間のデータの交換が行われてもよい。例えば、ＬＩＮ（Local Interconnect Network）を自動車１００１に備えてもよい。また、ＣＡＮとＬＩＮとを自動車１００１に備えてもよい。また、自動車１００１において、ＬＩＮに接続するＥＣＵ１０２０を備えてもよい。また、データ保安装置１０１０は、ＣＡＮとＬＩＮとに接続されてもよい。また、データ保安装置１０１０は、ＣＡＮを介して該ＣＡＮに接続されるＥＣＵ１０２０との間でデータを交換し、また、ＬＩＮを介して該ＬＩＮに接続されるＥＣＵ１０２０との間でデータを交換してもよい。また、ＥＣＵ１０２０同士が、ＬＩＮを介してデータを交換してもよい。

【0018】

自動車１００１に備わる車載コンピュータシステム１００２は、複数のＥＣＵ１０２０がＣＡＮ１０３０に接続されて構成される。本実施形態において、車載コンピュータシステム１００２は、自動車１００１の車載制御システムとして機能する。

【0019】

データ保安装置１０１０は、車載コンピュータシステム１００２の内部と外部の間の通信を監視する。データ保安装置１０１０は、車載コンピュータシステム１００２の外部の装置の例として、インフォテイメント機器１０４０、ＴＣＵ（Tele Communication Unit）１０５０及び診断ポート１０６０と接続される。ＥＣＵ１０２０は、データ保安装置１０１０を介して、車載コンピュータシステム１００２の外部の装置と通信を行う。

【0020】

なお、ＣＡＮ１０３０の構成として、ＣＡＮ１０３０が複数のバス（通信線）を備え、該複数のバスをデータ保安装置１０１０に接続してもよい。この場合、一つのバスに、一つのＥＣＵ１０２０又は複数のＥＣＵ１０２０が接続される。

【0021】

自動車１００１は診断ポート１０６０を備える。診断ポート１０６０として、例えばＯＢＤ（On-board Diagnostics）ポートを使用してもよい。診断ポート１０６０には、自動車１００１の外部の装置を接続可能である。診断ポート１０６０に接続可能な自動車１００１の外部の装置として、例えば、図１に示されるメンテナンスツール２１００などがある。データ保安装置１０１０と、診断ポート１０６０に接続された装置、例えばメンテナンスツール２１００とは、診断ポート１０６０を介して、データを交換する。メンテナンスツール２１００は、ＯＢＤポートに接続される従来の診断端末の機能を有していてもよい。

【0022】

自動車１００１はインフォテイメント（Infotainment）機器１０４０を備える。インフォテイメント機器１０４０として、例えば、ナビゲーション機能、位置情報サービス機能、音楽や動画などのマルチメディア再生機能、音声通信機能、データ通信機能、インターネット接続機能などを有するものが挙げられる。

【0023】

自動車１００１は、ＴＣＵ１０５０を備える。ＴＣＵ１０５０は通信装置である。ＴＣＵ１０５０は通信モジュール１０５１を備える。通信モジュール１０５１は、無線通信ネットワークを利用して無線通信を行う。通信モジュール１０５１は、ＳＩＭ（Subscriber Identity Module）１０５２を備える。ＳＩＭ１０５２は、無線通信ネットワークを利用するための情報が書き込まれたＳＩＭである。通信モジュール１０５１は、ＳＩＭ１０５２を使用することにより該無線通信ネットワークに接続して無線通信を行うことができる。なお、ＳＩＭ１０５２として、ｅＳＩＭ（Embedded Subscriber Identity Module）を使用してもよい。

【0024】

データ保安装置１０１０は、ＴＣＵ１０５０とデータを交換する。ＴＣＵ１０５０とデータ保安装置１０１０とのうち送信側の装置は、受信側の装置に送信するデータを一時的に蓄えるバッファを備えてもよい。

【0025】

なお、ＴＣＵ１０５０の他の接続形態として、例えば、ＴＣＵ１０５０をインフォテイメント機器１０４０に接続し、データ保安装置１０１０が、インフォテイメント機器１０４０を介して、ＴＣＵ１０５０とデータを交換してもよい。又は、ＴＣＵ１０５０を診断ポート１０６０に接続し、データ保安装置１０１０が、診断ポート１０６０を介して、該診断ポート１０６０に接続されたＴＣＵ１０５０とデータを交換してもよい。又は、データ保安装置１０１０が、ＳＩＭ１０５２を含む通信モジュール１０５１を備えてもよい。データ保安装置１０１０がＳＩＭ１０５２を含む通信モジュール１０５１を備える場合には、自動車１００１はＴＣＵ１０５０を備えなくてもよい。

【0026】

データ保安装置１０１０は、メイン演算器１０１１とＨＳＭ（Hardware Security Module）１０１２を備える。メイン演算器１０１１は、データ保安装置１０１０の機能を実現させるためのコンピュータプログラムを実行する。ＨＳＭ１０１２は暗号処理機能等を有する。ＨＳＭ１０１２は耐タンパー性（Tamper Resistant）を有する。ＨＳＭ１０１２はセキュアエレメント（Secure Element：ＳＥ）の例である。ＨＳＭ１０１２は、データを記憶する記憶部１０１３を備える。メイン演算器１０１１はＨＳＭ１０１２を使用する。

【0027】

ＥＣＵ１０２０は、メイン演算器１０２１とＳＨＥ（Secure Hardware Extension）１０２２を備える。メイン演算器１０２１は、ＥＣＵ１０２０の機能を実現させるためのコンピュータプログラムを実行する。ＳＨＥ１０２２は暗号処理機能等を有する。ＳＨＥ１０２２は耐タンパー性を有する。ＳＨＥ１０２２はセキュアエレメントの例である。ＳＨＥ１０２２は、データを記憶する記憶部１０２３を備える。メイン演算器１０２１はＳＨＥ１０２２を使用する。

【0028】

車両情報収集装置２０００は、通信回線を介して、自動車１００１のＴＣＵ１０５０の通信モジュール１０５１とデータを送受する。車両情報収集装置２０００は、自動車１００１のＴＣＵ１０５０の通信モジュール１０５１が利用する無線通信ネットワークを介して、該通信モジュール１０５１とデータを送受する。又は、車両情報収集装置２０００は、インターネット等の通信ネットワークと該無線通信ネットワークとを介して、該通信モジュール１０５１とデータを送受してもよい。また、例えば、車両情報収集装置２０００と通信モジュール１０５１との間をＶＰＮ（Virtual Private Network）回線等の専用回線で接続し、該専用回線でデータを送受してもよい。例えば、ＳＩＭ１０５２に対応する無線通信ネットワークによって、ＶＰＮ回線等の専用回線が提供されてもよい。なお、車両情報収集装置２０００と自動車１００１とを通信ケーブルで接続してもよい。例えば、車両情報収集装置２０００と自動車１００１のデータ保安装置１０１０とを通信ケーブルで接続するように構成してもよい。

【0029】

車両情報収集装置２０００は、自動車１００１に搭載されたＥＣＵ１０２０のログを収集する。ＥＣＵ１０２０のログは、ＥＣＵ１０２０の動作の記録、ＥＣＵ１０２０へのアクセスの記録、ＥＣＵ１０２０の通信の記録などのＥＣＵ１０２０に関する記録である。

【0030】

図２は、車両情報収集装置２０００の構成例を示す図である。図２において、車両情報収集装置２０００は、通信部２０１１と記憶部２０１２と鍵生成部２０１５と暗号処理部２０１６とを備える。通信部２０１１は、通信回線を介して、他の装置と通信を行う。通信部２０１１は車両インタフェースに対応する。記憶部２０１２は、データを記憶する。鍵生成部２０１５は、鍵を生成する。

【0031】

暗号処理部２０１６は、暗号処理を実行する。暗号処理部２０１６の暗号処理は、少なくとも、メッセージ認証符号の検証処理を含む。暗号処理部２０１６の暗号処理は、さらに、データの暗号化処理及び暗号化データの復号処理を含んでもよい。

【0032】

車両情報収集装置２０００の機能は、該車両情報収集装置２０００が備えるＣＰＵ（Central Processing Unit：中央演算処理装置）がコンピュータプログラムを実行することにより実現される。なお、車両情報収集装置２０００として、汎用のコンピュータ装置を使用して構成してもよく、又は、専用のハードウェア装置として構成してもよい。

【0033】

図３は、データ保安装置１０１０の構成例を示す図である。図３において、データ保安装置１０１０は、メイン演算器１０１１とＨＳＭ１０１２とインタフェース部２０とを備える。メイン演算器１０１１は、制御部２１と記憶部２２とを備える。ＨＳＭ１０１２は、記憶部１０１３と暗号処理部３２とを備える。

【0034】

インタフェース部２０は、自データ保安装置１０１０の外部の装置とデータを送受する。インタフェース部２０は、車載コンピュータシステム１００２の外部の装置とデータを送受するインタフェースと、ＣＡＮ１０３０を介してデータを送受するインタフェースとを備える。メイン演算器１０１１は、インタフェース部２０を介して、データ保安装置１０１０以外の他の装置とデータの送受を行う。

【0035】

制御部２１は、データ保安装置１０１０の制御を行う。記憶部２２は、データを記憶する。記憶部１０１３は、データを記憶する。暗号処理部３２は、暗号処理を実行する。暗号処理部３２の暗号処理は、少なくとも、メッセージ認証符号の生成処理を含む。暗号処理部３２の暗号処理は、さらに、データの暗号化処理及び暗号化データの復号処理を含んでもよい。

【0036】

制御部２１は、自己の機能部の一つとして、統合ログ生成部２３を備える。統合ログ生成部２３は、統合ログを生成する。例えば、統合ログは、複数のＥＣＵ１０２０のログを統合するログであってもよく、又は、自動車１００１の複数の状態の記録を統合するログであってもよい。

【0037】

図４は、ＥＣＵ１０２０の構成例を示す図である。図４において、ＥＣＵ１０２０は、メイン演算器１０２１とＳＨＥ１０２２とインタフェース部４０とを備える。メイン演算器１０２１は、制御部４１と記憶部４２とを備える。ＳＨＥ１０２２は、記憶部１０２３と暗号処理部５２とを備える。

【0038】

インタフェース部４０は、自ＥＣＵ１０２０の外部の装置とデータを送受する。インタフェース部４０は、ＣＡＮ１０３０を介してデータを送受するインタフェースを備える。メイン演算器１０２１は、インタフェース部４０を介して、自ＥＣＵ１０２０以外の他の装置とデータの送受を行う。

【0039】

制御部４１は、ＥＣＵ１０２０の制御を行う。記憶部４２は、データを記憶する。記憶部１０２３は、データを記憶する。暗号処理部５２は、データの暗号化及び暗号化データの復号を行う。

【0040】

なお、本実施形態では、データ保安装置１０１０にＨＳＭを使用しているが、データ保安装置１０１０においてＨＳＭの代わりにＳＨＥを使用してもよい。なお、ＳＨＥについては、例えば非特許文献２に記載されている。

【0041】

次に図５を参照して、本実施形態に係る車両情報収集方法の例を説明する。図５は、本実施形態に係る車両情報収集方法の例を示すシーケンスチャートである。図５には、説明の便宜上、自動車１００１に搭載されているＥＣＵのうち１個のＥＣＵ１０２０のみを示している。以下、自動車１００１に搭載されている１個のＥＣＵ１０２０を例に挙げて説明するが、他のＥＣＵ１０２０についても同様に適用できる。

【0042】

車両情報収集装置２０００は、マスタ鍵Ｍａｓｔｅｒ＿Ｓｅｃｒｅｔを予め記憶部２０１２に格納している。データ保安装置１０１０は、自己の署名鍵Ｋｂｃ及び暗号鍵Ｋｅｃを予めＨＳＭ１０１２の記憶部１０１３に格納している。

【0043】

また、データ保安装置１０１０は、署名鍵Ｋｂｅ及び暗号鍵Ｋｅｅを予めＨＳＭ１０１２の記憶部１０１３に格納している。ＥＣＵ１０２０は、署名鍵Ｋｂｅ及び暗号鍵Ｋｅｅを予めＳＨＥ１０２２の記憶部１０２３に格納している。署名鍵Ｋｂｅ及び暗号鍵Ｋｅｅは、データ保安装置１０１０とＥＣＵ１０２０との間で予め共有される。

【0044】

以下、車両情報収集装置２０００は、通信部２０１１により、自動車１００１のＴＣＵ１０５０と通信を行い、ＴＣＵ１０５０を介してデータ保安装置１０１０との間でデータを送受する。データ保安装置１０１０は、ＣＡＮ１０３０を介して、ＥＣＵ１０２０との間でデータを交換する。なお、車両情報収集装置２０００とデータ保安装置１０１０との間の通信路として、暗号化通信路を使用してもよい。例えば、車両情報収集装置２０００とデータ保安装置１０１０は、暗号化通信路の一例として、ｈｔｔｐｓ（hypertext transfer protocol secure）通信を行ってもよい。

【0045】

（ステップＳ１０１）車両情報収集装置２０００は、通信部２０１１により、ログ収集要求メッセージを自動車１００１のデータ保安装置１０１０に送信する。自動車１００１のデータ保安装置１０１０は、車両情報収集装置２０００から送信されたログ収集要求メッセージをインタフェース部２０により受信する。データ保安装置１０１０は、該受信したログ収集要求メッセージをインタフェース部２０によりＥＣＵ１０２０に転送する。ＥＣＵ１０２０は、該転送されたログ収集要求メッセージをインタフェース部４０により受信する。

【0046】

（ステップＳ１０２）データ保安装置１０１０の制御部２１は、車両情報収集装置２０００から受信したログ収集要求メッセージに応じて、自己の識別子ＵＮＩＴ＿ＩＤをインタフェース部２０により車両情報収集装置２０００に送信する。車両情報収集装置２０００は、データ保安装置１０１０から送信された識別子ＵＮＩＴ＿ＩＤを通信部２０１１により受信する。

【0047】

（ステップＳ１０３）車両情報収集装置２０００の鍵生成部２０１５は、自動車１００１のデータ保安装置１０１０から受信した識別子ＵＮＩＴ＿ＩＤを使用して、該データ保安装置１０１０の署名鍵Ｋｂｃ及び暗号鍵Ｋｅｃを生成する。

【0048】

鍵生成部２０１５の鍵生成方法の例を説明する。鍵生成部２０１５は、記憶部２０１２に格納されているマスタ鍵Ｍａｓｔｅｒ＿Ｓｅｃｒｅｔと、データ保安装置１０１０の識別子ＵＮＩＴ＿ＩＤと、変数Ｎｋとを使用して、次式により鍵（共通鍵）を生成する。
共通鍵＝ダイジェスト（Ｍａｓｔｅｒ＿Ｓｅｃｒｅｔ、ＵＮＩＴ＿ＩＤ、Ｎｋ）

【0049】

但し、ダイジェスト（Ｍａｓｔｅｒ＿Ｓｅｃｒｅｔ、ＵＮＩＴ＿ＩＤ、Ｎｋ）は、マスタ鍵Ｍａｓｔｅｒ＿Ｓｅｃｒｅｔと識別子ＵＮＩＴ＿ＩＤと変数Ｎｋとから生成されるダイジェスト値である。ダイジェスト値として、例えば、ハッシュ（hash）関数により算出される値、又は、排他的論理和演算により算出される値などが挙げられる。例えば、共通鍵は、マスタ鍵Ｍａｓｔｅｒ＿Ｓｅｃｒｅｔと識別子ＵＮＩＴ＿ＩＤと変数Ｎｋとを入力値に使用して算出されるハッシュ関数値である。

【0050】

変数Ｎｋの値が異なれば、ダイジェスト値は異なる。変数Ｎｋの値を変えることによって、同じマスタ鍵Ｍａｓｔｅｒ＿Ｓｅｃｒｅｔと識別子ＵＮＩＴ＿ＩＤとから、異なる共通鍵を生成することができる。例えば、署名鍵用の変数Ｎｋの値をＮｋ＿ａとし、暗号鍵用の変数Ｎｋの値をＮｋ＿ｂとする。鍵生成部２０１５は、マスタ鍵Ｍａｓｔｅｒ＿Ｓｅｃｒｅｔと、データ保安装置１０１０の識別子ＵＮＩＴ＿ＩＤと、変数Ｎｋ＿ａ，Ｎｋ＿ｂとを使用して、
署名鍵Ｋｂｃ＝ダイジェスト（Ｍａｓｔｅｒ＿Ｓｅｃｒｅｔ、ＵＮＩＴ＿ＩＤ、Ｎｋ＿ａ）、
暗号鍵Ｋｅｃ＝ダイジェスト（Ｍａｓｔｅｒ＿Ｓｅｃｒｅｔ、ＥＣＵ＿ＩＤ、Ｎｋ＿ｂ）、
により、データ保安装置１０１０の署名鍵Ｋｂｃと暗号鍵Ｋｅｃとを異なる鍵として生成する。記憶部２０１２は、データ保安装置１０１０の署名鍵Ｋｂｃ及び暗号鍵Ｋｅｃを格納する。データ保安装置１０１０のＨＳＭ１０１２の記憶部１０１３は、車両情報収集装置２０００と同じ鍵生成方法によって生成された署名鍵Ｋｂｃ及び暗号鍵Ｋｅｃを予め格納している。

【0051】

なお、本実施形態に係る鍵（共通鍵）の生成方法の他の例として、署名鍵をハッシュ関数により算出される値とし、暗号鍵を排他的論理和演算により算出される値としてもよい。又は、その逆、つまり、署名鍵を排他的論理和演算により算出される値とし、暗号鍵をハッシュ関数により算出される値としてもよい。

【0052】

（ステップＳ１０４）ＥＣＵ１０２０の制御部４１は、受信したログ収集要求メッセージに応じて、自己のログをインタフェース部４０によりデータ保安装置１０１０に送信する。ＥＣＵ１０２０のログは、制御部４１が生成して記憶部４２に格納されている。データ保安装置１０１０は、ＥＣＵ１０２０から送信されたログをインタフェース部２０により受信する。データ保安装置１０１０の記憶部２２は、該受信したＥＣＵ１０２０のログを格納する。

【0053】

（ステップＳ１０５）データ保安装置１０１０の統合ログ生成部２３は、記憶部２２に格納されている複数のＥＣＵ１０２０のログを使用して、該複数のＥＣＵ１０２０のログを統合する統合ログを生成する。

【0054】

（ステップＳ１０６）データ保安装置１０１０の制御部２１は、統合ログ生成部２３が生成した統合ログをＨＳＭ１０１２に渡して、該統合ログのメッセージ認証符号を生成させる。本実施形態では、メッセージ認証符号の一例として、ＣＭＡＣ（Cipher-based Message Authentication Code）を使用する。ＨＳＭ１０１２の暗号処理部３２は、制御部２１から受け取った統合ログのＣＭＡＣを、記憶部１０１３に格納されている署名鍵Ｋｂｃを使用して生成する。ＨＳＭ１０１２は、該生成した統合ログのＣＭＡＣを制御部２１に渡す。

【0055】

（ステップＳ１０７）データ保安装置１０１０の制御部２１は、統合ログをＨＳＭ１０１２に渡して、該統合ログの暗号化データである暗号化統合ログを生成させる。ＨＳＭ１０１２の暗号処理部３２は、記憶部１０１３に格納されている暗号鍵Ｋｅｃを使用して統合ログを暗号化し、該暗号化結果である暗号化統合ログを生成する。ＨＳＭ１０１２は、該暗号化統合ログを制御部２１に渡す。

【0056】

（ステップＳ１０８）データ保安装置１０１０の制御部２１は、統合ログのＣＭＡＣを該統合ログの暗号化データである暗号化統合ログに付したメッセージ認証符号付き暗号化統合ログをインタフェース部２０により車両情報収集装置２０００に送信する。車両情報収集装置２０００は、自動車１００１のデータ保安装置１０１０から送信されたメッセージ認証符号付き暗号化統合ログを通信部２０１１により受信する。

【0057】

（ステップＳ１０９）車両情報収集装置２０００の暗号処理部２０１６は、自動車１００１のデータ保安装置１０１０から受信したメッセージ認証符号付き暗号化統合ログの暗号化統合ログを、記憶部２０１２に格納されている該データ保安装置１０１０の暗号鍵Ｋｅｃを使用して、復号する。

【0058】

（ステップＳ１１０）車両情報収集装置２０００の暗号処理部２０１６は、自動車１００１のデータ保安装置１０１０から受信したメッセージ認証符号付き暗号化統合ログのＣＭＡＣを、記憶部２０１２に格納されている該データ保安装置１０１０の署名鍵Ｋｂｃを使用して、検証する。このＣＭＡＣの検証では、暗号処理部２０１６は、ステップＳ１０９の暗号化統合ログの復号結果である復号データに対して、ＣＭＡＣを、記憶部２０１２に格納されている該データ保安装置１０１０の署名鍵Ｋｂｃを使用して生成する。次いで、暗号処理部２０１６は、該生成結果のＣＭＡＣと、メッセージ認証符号付き暗号化統合ログのＣＭＡＣとを比較する。この比較の結果、両者が一致する場合にはメッセージ認証符号（ＣＭＡＣ）の検証が合格であり、両者が一致しない場合にはメッセージ認証符号（ＣＭＡＣ）の検証が不合格である。

【0059】

（ステップＳ１１０）車両情報収集装置２０００の記憶部２０１２は、メッセージ認証符号（ＣＭＡＣ）の検証が合格である場合に、該メッセージ認証符号（ＣＭＡＣ）の検証が合格したメッセージ認証符号付き暗号化統合ログの暗号化統合ログの復号結果として得られた統合ログを格納する。これにより、自動車１００１のＥＣＵ１０２０のログが車両情報収集装置２０００に保存される。

【0060】

一方、メッセージ認証符号（ＣＭＡＣ）の検証が不合格である場合には、車両情報収集装置２０００は、該メッセージ認証符号（ＣＭＡＣ）の検証が不合格であるメッセージ認証符号付き暗号化統合ログを破棄し、該メッセージ認証符号付き暗号化統合ログの暗号化統合ログの復号結果として得られた統合ログを保存しない。なお、メッセージ認証符号（ＣＭＡＣ）の検証が不合格である場合には、車両情報収集装置２０００は、所定のエラー処理を実行してもよい。例えば、エラー処理として、車両情報収集装置２０００は、ログの再送を、データ保安装置１０１０に要求してもよい。また、該エラー処理を、メッセージ認証符号（ＣＭＡＣ）の検証が合格になるまで繰り返す、又は、所定回数だけ繰り返してもよい。

【0061】

なお、上述した図５の例では、車両情報収集装置２０００が自動車１００１のデータ保安装置１０１０にログ収集要求メッセージを送信することによって、該自動車１００１のＥＣＵ１０２０のログを収集するが、データ保安装置１０１０が自律的にＥＣＵ１０２０にログ収集要求メッセージを送信したり、又は、ＥＣＵ１０２０が自律的にログをデータ保安装置１０１０に送信したりしてもよい。例えば、ＥＣＵ１０２０が定期的にログをデータ保安装置１０１０に送信するようにしてもよい。

【0062】

また、上述した図５の例では、データ保安装置１０１０が統合ログを暗号化して車両情報収集装置２０００に送信したが、データ保安装置１０１０は統合ログを暗号化しないでそのまま車両情報収集装置２０００に送信してもよい。

【0063】

また、上述した図５の例では、データ保安装置１０１０は統合ログのメッセージ認証符号（ＣＭＡＣ）を生成したが、データ保安装置１０１０は、暗号化統合ログのメッセージ認証符号（ＣＭＡＣ）を、自己の署名鍵Ｋｂｃを使用して生成してもよい。この場合、車両情報収集装置２０００の暗号処理部２０１６は、データ保安装置１０１０のメッセージ認証符号付き暗号化統合ログの暗号化統合ログに対して、ＣＭＡＣを、記憶部２０１２に格納している該データ保安装置１０１０の署名鍵Ｋｂｃを使用して生成する。次いで、暗号処理部２０１６は、該生成結果のＣＭＡＣと、メッセージ認証符号付き暗号化統合ログのＣＭＡＣとを比較する。この比較の結果、両者が一致する場合にはメッセージ認証符号（ＣＭＡＣ）の検証が合格であり、両者が一致しない場合にはメッセージ認証符号（ＣＭＡＣ）の検証が不合格である。

【0064】

また、上述した図５の例では、データ保安装置１０１０が複数のＥＣＵ１０２０のログを統合する統合ログを車両情報収集装置２０００に送信したが、データ保安装置１０１０は、各ＥＣＵ１０２０のログを個別に該ログのメッセージ認証符号を付して車両情報収集装置２０００に送信してもよい。

【0065】

また、上述した図５の車両情報収集方法において、以下に示す変形例が単独又は複数の組合せで適用できる。

【0066】

＜車両情報収集方法の変形例１＞
ステップＳ１０４において、ＥＣＵ１０２０は、ＳＨＥ１０２２の暗号処理部５２により、ログを記憶部１０２３に格納されている暗号鍵Ｋｅｅで暗号化して、データ保安装置１０１０に送信する。データ保安装置１０１０は、ＥＣＵ１０２０から受信した暗号化データを、ＨＳＭ１０１２の暗号処理部３２により、記憶部１０１３に格納されている暗号鍵Ｋｅｅで復号して、ログを取得する。

【0067】

＜車両情報収集方法の変形例２＞
ステップＳ１０４において、ログは、ＣＡＮ１０３０のパケットに格納されて、ＥＣＵ１０２０からデータ保安装置１０１０に伝送される。ＥＣＵ１０２０は、該パケットに、該パケットについてのメッセージ認証符号をさらに含める。本変形例２では、メッセージ認証符号の一例として、ＣＭＡＣを使用する。ＣＭＡＣの生成には、データ保安装置１０１０とＥＣＵ１０２０間で共有される署名鍵Ｋｂｅが使用される。データ保安装置１０１０は、ＥＣＵ１０２０から受信したパケットに含まれるＣＭＡＣを、自己が保持する署名鍵Ｋｂｅで検証する。データ保安装置１０１０は、ＣＭＡＣの検証が合格したパケットに含まれるログを、車両情報収集装置２０００に送信する。一方、データ保安装置１０１０は、ＣＭＡＣの検証が不合格であるパケットに含まれるログを、車両情報収集装置２０００に送信しない。

【0068】

なお、ログを格納するパケットに含めるＣＭＡＣとして、該ログの全て又は一部についてのＣＭＡＣを使用してもよい。例えば、ログを一定サイズのブロックに分割し、ブロック毎にＣＭＡＣを生成して、該ブロックと該ＣＭＡＣとをパケットに格納してもよい。データ保安装置１０１０は、ブロック毎にＣＭＡＣを検証しながらログを取得する。

【0069】

＜車両情報収集方法の変形例３＞
データ保安装置１０１０の統合ログ生成部２３は、インタフェース部２０によりＣＡＮ１０３０からデータを収集し、自動車１００１の複数の状態の記録を統合する統合ログを生成する。自動車１００１の状態として、例えば、排気ガス、燃費、エアバッグの作動、撮像装置やレーダ装置などのセンシング装置の検知結果、車速、ブレーキの作動、ハンドリングなどがある。統合ログ生成部２３は、自動車１００１の複数の状態の記録について、順次、古い記録に新しい記録を上書きすることにより、一定期間分の記録を保持する。統合ログ生成部２３は、所定の事故判定条件を満たした時に、該記録の上書きを停止する。事故判定条件は、事故が発生したこと又は事故が発生しそうな状態を判定する条件である。例えば、事故判定条件は、エアバッグが作動したことである。又は、例えば、事故判定条件は、アンチロック・ブレーキ・システム（Antilock Brake System：ＡＢＳ）が作動したことである。統合ログ生成部２３は、該事故判定条件を満たした時に保持している自動車１００１の複数の状態の記録を統合する統合ログを生成する。データ保安装置１０１０は、該統合ログに対して、図５のステップＳ１０６からステップＳ１０８までの処理を実行する。これにより、車両情報収集装置２０００は、自動車１００１が事故判定条件を満たした時点の近辺の自動車１００１の複数の状態の記録を安全に収集することができる。

【0070】

＜車両情報収集方法の変形例４＞
データ保安装置１０１０の制御部２１は、所定のログ送信条件を満たした時に、メッセージ認証符号付きログを、インタフェース部２０により車両情報収集装置２０００に送信する。ログ送信条件は、メッセージ認証符号付きログを無線通信により送信するのに適切な状態であることを判定する条件である。例えば、ログ送信条件は、自動車１００１の走行モードが「パーキング（駐車）」であることである。自動車１００１が走行中には無線通信環境が不安定になる可能性があるので、自動車１００１が駐車している時にメッセージ認証符号付きログを無線通信により送信することは、無線通信の信頼性の点から好適である。又は、例えば、ログ送信条件は、自動車１００１のエンジンが始動していることである。自動車１００１のエンジンが停止すると、データ保安装置１０１０やＥＣＵ１０２０、ＴＣＵ１０５０などの車載装置への電力の供給が不安定になる可能性がある。このため、自動車１００１のエンジンが始動している時にメッセージ認証符号付きログを無線通信により送信することは、無線通信の信頼性の点から好適である。又は、例えば、ログ送信条件は、自動車１００１の走行モードが「パーキング（駐車）」であること、且つ、自動車１００１のエンジンが始動していることである。自動車１００１の走行モードが「パーキング（駐車）」であり、且つ、自動車１００１のエンジンが始動している時にメッセージ認証符号付きログを無線通信により送信することは、無線通信の信頼性の点から好適である。

【0071】

上述した実施形態によれば、自動車１００１のデータ保安装置１０１０は、車両情報収集装置２０００と共有する署名鍵を使用してログについてのメッセージ認証符号を生成し、該メッセージ認証符号付きログを車両情報収集装置２０００に送信する。車両情報収集装置２０００は、自動車１００１のデータ保安装置１０１０から受信したメッセージ認証符号付きログのメッセージ認証符号を、該データ保安装置１０１０の署名鍵を使用して検証する。車両情報収集装置２０００は、メッセージ認証符号の検証が合格したログを保存する。これにより、車両情報収集装置２０００と自動車１００１間でログの受け渡しを安全に行うことができる。よって、本実施形態によれば、自動車１００１のＥＣＵのログを安全に収集することができるという効果が得られる。

【0072】

なお、自動車１００１のＴＣＵ１０５０が、データ保安装置１０１０の機能を有してもよい。

【0073】

以上、本発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。

【0074】

上述した実施形態では、データ保安装置１０１０やＥＣＵ１０２０にＨＳＭやＳＨＥを使用したが、ＨＳＭ及びＳＨＥ以外の暗号処理チップを使用してもよい。データ保安装置１０１０に対して、例えば「ＴＰＭ（Trusted Platform Module）ｆ」と呼ばれる暗号処理チップを使用してもよい。ＴＰＭｆは耐タンパー性を有する。ＴＰＭｆはセキュアエレメントの例である。ＥＣＵ１０２０に対して、例えば「ＴＰＭｔ」と呼ばれる暗号処理チップを使用してもよい。ＴＰＭｔは耐タンパー性を有する。ＴＰＭｔはセキュアエレメントの例である。

【0075】

また、上述した実施形態を、自動車１００１に搭載されたデータ保安装置１０１０のログの収集に適用してもよい。この場合、データ保安装置１０１０は、自動車１００１に搭載される車載コンピュータの例である。また、上述した実施形態を、自動車１００１のインフォテイメント機器１０４０やＴＣＵ１０５０等の車載装置のログの収集に適用してもよい。この場合、インフォテイメント機器１０４０やＴＣＵ１０５０は、自動車１００１に搭載される車載コンピュータの例である。

【0076】

上述した実施形態では、車両として自動車を例に挙げたが、原動機付自転車や鉄道車両等の自動車以外の他の車両にも適用可能である。

【0077】

また、上述した各装置の機能を実現するためのコンピュータプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行するようにしてもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものであってもよい。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、フラッシュメモリ等の書き込み可能な不揮発性メモリ、ＤＶＤ（Digital Versatile Disc）等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。

【0078】

さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（例えばＤＲＡＭ（Dynamic Random Access Memory））のように、一定時間プログラムを保持しているものも含むものとする。
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。

【符号の説明】

【0079】

２２，４２，２０１２…記憶部、３２，５２，２０１６…暗号処理部、２０，４０…インタフェース部、２１，４１…制御部、２３…統合ログ生成部、１００１…自動車、１００２…車載コンピュータシステム、１０１０…データ保安装置、１０１１，１０２１…メイン演算器、１０１２…ＨＳＭ、１０１３，１０２３…記憶部、１０２０…ＥＣＵ、１０２２…ＳＨＥ、１０３０…ＣＡＮ、１０４０…インフォテイメント機器、１０５０…ＴＣＵ、１０５１…通信モジュール、１０５２…ＳＩＭ、１０６０…診断ポート、２０００…車両情報収集装置、２０１１…通信部、２０１５…鍵生成部、２１００…メンテナンスツール

【図1】

【図2】

【図3】

【図4】

【図5】