特開 2023-159748 ＥＣＵ、通信装置およびアクセス管理システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023159748

(43)【公開日】2023-11-01

(54)【発明の名称】ＥＣＵ、通信装置およびアクセス管理システム

(51)【国際特許分類】

   G06F 21/60 20130101AFI20231025BHJP

   G06F 21/62 20130101ALI20231025BHJP

   H04L 9/32 20060101ALI20231025BHJP

【ＦＩ】

G06F21/60 340

G06F21/62

H04L9/32 200B

【審査請求】未請求

【請求項の数】10

【出願形態】ＯＬ

(21)【出願番号】P 2022069654

(22)【出願日】2022-04-20

(71)【出願人】

【識別番号】000005348

【氏名又は名称】株式会社ＳＵＢＡＲＵ

(74)【代理人】

【識別番号】110000383

【氏名又は名称】弁理士法人エビス国際特許事務所

(72)【発明者】

【氏名】飯波 久太郎

(72)【発明者】

【氏名】大嶋 宏典

(72)【発明者】

【氏名】横橋 卓弥

(72)【発明者】

【氏名】加庭 健司

(57)【要約】

【課題】車両整備装置や故障診断ソフトウェアは、解析されることにより鍵情報を入手され、不正ツールを作成される可能性がある。そのため、車両整備装置によるＥＣＵへのアクセスを厳しく管理する必要がある。鍵情報を管理サーバに記憶して管理すると、作業中に車両をネットワークに接続する必要があり、通信環境の準備状況等に影響される。作業者ごとに権限を設定してＥＣＵに記憶すると記憶する情報が多くなる。
【解決手段】車両に設けられた１または複数のＥＣＵであって、公開鍵を記憶し、特定作業を許可するロールリストを通信装置から受信して前記公開鍵により署名検証を行い、前記署名検証を通過した前記ロールリストを用いて、前記特定作業を示す有効リストを設定し、前記有効リストに設定されている前記特定作業を受け付けたとき、前記特定作業の処理を実行するＥＣＵを用いる。
【選択図】 図１

【特許請求の範囲】

【請求項1】

車両に設けられた１または複数のＥＣＵであって、
公開鍵を記憶し、特定作業を許可するロールリストを通信装置から受信して前記公開鍵により署名検証を行い、前記署名検証を通過した前記ロールリストを用いて、許可された前記特定作業を示す有効リストを設定し、前記有効リストに設定されている前記特定作業を受け付けたとき、前記特定作業の処理を実行することを特徴とするＥＣＵ。

【請求項2】

前記ロールリストには、複数の前記特定作業をまとめたロールコードが含まれ、
前記有効リストには、前記ロールコードの複数の前記特定作業が設定され、
前記有効リストに設定されている複数の前記特定作業の何れかを受け付けたときに、前記特定作業の処理を実行することを特徴とする請求項１に記載されたＥＣＵ。

【請求項3】

前記ロールリストには、前記有効リストの有効期間を示す制限値が含まれていることを特徴とする請求項１または２に記載されたＥＣＵ。

【請求項4】

アクセス管理ＥＣＵと車両機器ＥＣＵを含み、
前記アクセス管理ＥＣＵは、
前記公開鍵を記憶し、前記通信装置から前記ロールリストを受信して前記公開鍵により前記署名検証を行い、前記署名検証を通過した前記ロールリストを用いて、前記有効リストを設定し、
前記有効リストに設定されている前記特定作業を受信したときに、前記特定作業を前記車両機器ＥＣＵに送信し、
前記車両機器ＥＣＵは、前記特定作業を前記アクセス管理ＥＣＵから受信したときに、前記特定作業の処理を実行することを特徴とする請求項１又は２に記載されたＥＣＵ。

【請求項5】

アクセス管理ＥＣＵと車両機器ＥＣＵを含み、
前記アクセス管理ＥＣＵは、
前記公開鍵を記憶し、前記通信装置から前記ロールリストを受信して前記公開鍵により前記署名検証を行い、前記署名検証を通過した前記ロールリストを前記車両機器ＥＣＵに送信し、
前記車両機器ＥＣＵは、
前記ロールリストを用いて前記有効リストを設定し、
前記有効リストに設定されている前記特定作業を受信したときに、前記特定作業を前記車両機器ＥＣＵに送信し、前記特定作業を受信したときに、前記特定作業の処理を実行することを特徴とする請求項１又は２に記載されたＥＣＵ。

【請求項6】

ユーザ情報と対象車両情報とを紐づけた使用申請情報を生成する使用申請情報生成部と、
前記使用申請情報を管理サーバに送信するとともに、公開鍵による署名検証を通過したロールリストを用いて許可する特定作業を示す有効リストを設定するＥＣＵに、受信した前記ロールリストを送信することを特徴とする通信装置。

【請求項7】

車両整備のために車両に接続して故障診断を行う車両整備装置であることを特徴とする請求項６に記載された通信装置。

【請求項8】

車両に搭載されたＥＣＵへのアクセス管理を行うアクセス管理システムであって、
秘密鍵を記憶する管理サーバと、
車両に設けられ、公開鍵を記憶する前記ＥＣＵと、
前記管理サーバ及び前記ＥＣＵに接続可能な通信装置と、を有し、
前記管理サーバは、特定作業を許可するロールリストを作成するとともに、前記秘密鍵により前記ロールリストに署名を行い、
前記通信装置は、前記管理サーバから受信した前記ロールリストを前記ＥＣＵに送信し、
前記ＥＣＵは、
前記通信装置から署名した前記ロールリストを受信して、前記ロールリストを前記公開鍵により署名検証し、前記署名検証を通過した前記ロールリストを用いて、許可された前記特定作業を示す有効リストを設定し、
前記有効リストに設定されている前記特定作業を受け付けたときに、前記特定作業に対応する処理を実行することを特徴とするアクセス管理システム。

【請求項9】

前記ロールリストには、複数の前記特定作業をまとめたロールコードが含まれ、
前記有効リストには、前記ロールコードの複数の前記特定作業が設定され、
前記有効リストに設定されている複数の前記特定作業の何れかを受け付けたときに、前記特定作業の処理を実行することを特徴とする請求項８に記載されたアクセス管理システム。

【請求項10】

前記ＥＣＵは、アクセス管理ＥＣＵと車両機器ＥＣＵからなり、
前記アクセス管理ＥＣＵは、前記有効リストに設定されている前記特定作業を受け付けたときに、前記特定作業を前記車両機器ＥＣＵに送信し、
前記車両機器ＥＣＵは、前記特定作業を受け付けたときに、前記特定作業に対応する処理を実行することを特徴とする請求項８または９に記載されたアクセス管理システム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、車両内の電子制御装置（以下、ＥＣＵと記載する。）に記憶された情報に対する不正なアクセスを防止するＥＣＵ、通信装置およびアクセス管理システムに関するものである。

【背景技術】

【0002】

近年、エンジンを制御するエンジン制御ＥＣＵをはじめ、車両には複数のＥＣＵが搭載されている。また、複数のＥＣＵの機能をまとめた統合ＥＣＵにより車両の制御を行う技術も存在する。ＥＣＵには、書き換えが可能な不揮発性メモリにセンサ感度やルームランプの遅延作動時間など、制御情報を格納したものがある。このような制御情報は市場に供給後でも書き換え可能となっている。また、車両に生じた種々の状態データや自動診断による診断結果データをＥＣＵから出力して使用することも行われている。これらのデータは、メーカーが開発や改善のために使用するほか、ディーラ等において車両の整備を行う際に専用のタブレットなどによる点検整備装置を接続して故障診断や制御情報の調整等に使用される。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特許第６０６９０３９号

【発明の概要】

【発明が解決しようとする課題】

【0004】

車両の故障診断を行う際には、故障診断通信（ＵＤＳ）が一般的に採用されている。ディーラにおいては、車両のメンテナンスを行う際に専用のタブレット型の車両整備装置を車両に接続して、故障診断通信を行う。従来から、盗難セキュリティ性や機密性の高い診断機能については、セキュリティアクセスによりその診断機能を有効にする対応が取られている。このセキュリティアクセスに用いる鍵情報は車両整備装置の故障診断ソフトウェア内に記憶され、車両整備装置を車両に接続したときに鍵情報により車両のＥＣＵから診断情報の入手等を行うことができる。このような車両整備装置や故障診断ソフトウェアは、解析されることにより鍵情報を入手され、不正ツールを作成される可能性がある。そのため、車両整備装置によるＥＣＵへのアクセスを厳しく管理する必要がある。

【0005】

上記のような鍵情報の漏洩を防ぐため、鍵情報を車両整備装置ではなく管理サーバに記憶して管理する方法が考えられる。しかしこの方法は、故障診断の作業中に車両をネットワークに接続する必要があり、通信環境の準備状況等に影響される。

【0006】

また、鍵情報ではなく、特許文献１のように作業者ごとに権限を設定してＥＣＵに記憶する方法も考えられる。しかし、この方法では、作業者になる可能性がある全ての者の権限情報を車両のＥＣＵに記憶しておく必要がある。このため、ＥＣＵに記憶する情報が多くなってしまう。また、この方法は車両がオフラインの場合でも利用が想定されるが、ＥＣＵに記憶した作業者の権限の更新がされていないと、新しい作業者は使用することができない。

【0007】

また一方で、米国の各州やヨーロッパにおいてはＲ２Ｒ法（Right to Repair法）が制定されつつある。Ｒ２Ｒ法では、故障診断をする際に必要な車両の診断情報を、車両の所有者等のディーラ以外の者に公開する必要がある。そのため、ＥＣＵへのアクセス管理を厳しくしにくいという問題も生じている。

【課題を解決するための手段】

【0008】

本発明の一実施形態のＥＣＵは、車両に設けられた１または複数のＥＣＵであって、公開鍵を記憶し、特定作業を許可するロールリストを通信装置から受信して前記公開鍵により署名検証を行い、前記署名検証を通過した前記ロールリストを用いて、前記特定作業を示す有効リストを設定し、前記有効リストに設定されている前記特定作業を受け付けたとき、前記特定作業の処理を実行することを特徴とする。

【発明の効果】

【0009】

公開鍵により署名検証を通過したロールリストを用いて診断情報の送出等の特定作業が許可されるため、作業者毎に適切な範囲で特定作業を実行することができる。

【図面の簡単な説明】

【0010】

【図1】実施例１のアクセス管理システム。

【図2】実施例１における有効リスト設定のフロー図。

【図3】実施例１～３における使用申請情報。

【図4】実施例１～３における車両整備装置の管理サーバへの接続を示す図。

【図5】実施例１～３におけるロールリスト。

【図6】実施例１～３におけるロールコードと特定作業との対応表。

【図7】実施例１における特定作業を実行する際のフロー図。

【図8】実施例１における車両整備装置のＥＣＵへの接続を示す図。

【図9】実施例２における車両整備装置のＥＣＵへの接続を示す図。

【図10】実施例２における有効リスト設定のフロー図。

【図11】実施例２における特定作業を実行する際のフロー図。

【図12】実施例３における車両整備装置のＥＣＵへの接続を示す図。

【発明を実施するための形態】

【実施例0011】

本実施例では、車両に搭載されたＥＣＵにおいて、リクエストメッセージによる特定作業の処理を実行させるか否かというアクセス管理を行う。リクエストメッセージは、ＥＣＵに特定作業の処理を実行させる情報である。図１に実施例１のアクセス管理システムを示す。車両１に搭載されたＥＣＵ１１は制御部１１１とメモリ１１２を有し、メモリ１１２には、公開鍵ＰＫが記憶されている。ＥＣＵ１１は、１つのＥＣＵで形成されたものでもよく、複数のＥＣＵから形成されていてもよい。ＥＣＵ１１は、コネクター１２により車両整備装置２等の外部装置と接続することができる。車両整備装置２は車両整備工場で使用される。車両整備装置２は、通信機能を有した通信装置であり、故障診断装置であり、調整装置等でもある。車両整備装置２は、故障診断の際にはオフボード診断に用いられ、オンボード診断については結果出力に用いられる。車両整備装置２は、コネクター１２を介して車両１のＥＣＵ１１と接続可能であるとともに、接続装置４１とネットワーク４（インターネット）を介して管理サーバ３と接続可能である。管理サーバ３は制御部３１とメモリ３２を有し、メモリ３２に秘密鍵ＳＫを記憶している。

【0012】

実施例１では、車両整備装置２は専用のソフトウェアを搭載した専用のタブレット端末により実現され、内部に制御部２１、メモリ２２を搭載し、タッチパネル機能を有したディスプレイ２３を備えている。ディスプレイ２３は表示装置であるとともに、入力装置である。車両整備を行う作業者は車両整備装置２をＥＣＵ１１と接続して、車両１の診断や調整を行う。また、管理サーバ３からアップデートデータをダウンロードして、車両整備装置２を介してＥＣＵ１１のアップデートを行う際にも車両整備装置２を使用する。

【0013】

アクセス管理は、許可される特定作業の有効リストを、アクセス管理システムによりＥＣＵ１１に設定することにより行われる。そして、有効リストに設定された特定作業は、ＥＣＵ１１で処理を実行することができる。特定作業としては、例えば、エンジンの回転数等のエンジンデータを、ＥＣＵ１１が車両整備装置２に送信する処理などが挙げられる。

【0014】

次に、実施例１のアクセス管理システムにより、車両整備工場におけるアクセス管理を行う際の作用を、図２のフロー図等により説明する。車両整備工場では、まず、タブレット端末である車両整備装置２をタッチパネルのディスプレイ２３から操作して、使用申請情報を作成する。このとき、ディスプレイ２３から点検整備を行う車両のＥＣＵ１１に設定されている対象車両番号を入力する。この対象車両番号の入力は、車両整備装置２を対象車両のコネクター１２に接続して、ディスプレイ２３のタッチパネル操作によりＥＣＵ１１から対象車両番号を取得することによっても行うことができる。

【0015】

対象車両情報である対象車両番号を入力すると、車両整備装置２の使用申請情報生成部は、メモリ２２に記憶されているユーザ名や車両整備装置２の固有番号である接続機器番号等のユーザ情報と、入力された対象車両情報とを紐づけた使用申請情報を生成する。使用申請情報生成部は、車両整備装置２のコンピュータ構成である制御部２１と使用申請情報を生成するためのプログラムを記憶したメモリ２２により構成される。車両整備工場で生成された使用申請情報の例を図３に示す。図３の使用申請情報の例は後述の実施例２、３でも同様である。使用申請情報は、ユーザ名、接続機器番号と、対象車両番号を含む。なお、図３において、ユーザ名、接続機器番号、対象車両番号は項目番号が示す意味を記載したものであり、使用申請情報のデータとしては項目番号１～３を各内容のヘッダとして、「項目番号１○○株式会社○○営業所、項目番号２Xxxxxxxx、・・・」と記述されている。項目番号１のユーザ名は、車両整備装置２を管理する事業所の名称となっており、車両整備装置２の車両整備工場への導入時等に、メモリ２２に設定される。また、接続機器番号は、車両整備装置２の製造時にメモリ２２に設定される。

【0016】

対象車両情報を入力して使用申請情報生成部により使用申請情報を生成した後、図４に示すように車両整備装置２を接続装置４１に接続して、ネットワーク４経由で管理サーバ３に接続する（ステップＳ１）。この接続は有線でも良いが、ｗｉｆｉなどの無線でも良い。また、ネットワーク４はインターネットであるが、専用回線を使用したもの等、他のネットワークでもよい。なお、対象車両情報の入力と使用申請情報の生成は、車両整備装置２を管理サーバ３に接続した状態でも行うことができる。そして、車両整備装置２は、接続装置４１とネットワーク４を介して、使用申請情報を管理サーバ３に送信する（ステップＳ２）。

【0017】

管理サーバ３では、使用申請情報の正当性を確認して、正当性を有する使用申請情報をメモリ３２に記憶する。正当性のない使用申請情報を受信した場合には、管理サーバ３は、使用申請情報を記憶せず、不受理である旨を車両整備装置２に返信する。使用申請情報の正当性は、使用申請情報として送られたユーザ名と接続機器番号の対応情報などの、車両整備装置２に関してメモリ３２に記憶している管理情報や、車両整備装置２が接続した時に送信したパスワード等により確認する。そして、制御部３１は、メモリ３２に記憶された正当性を有する使用申請情報をもとにロールリスト(Role List)を作成し、秘密鍵ＳＫで署名する（ステップＳ３）。ロールリストは、ＥＣＵ１１に特定作業を行わせることを許可するリストである。図５にロールリストの例を示す。ロールリストも使用申請情報と同様に、ユーザ名、ロールコード等は項目番号が示す意味を記載したものである。そして、ロールリストのデータとしては、項目番号を各内容のヘッダにして、「項目番号１○○株式会社○○営業所、項目番号２市場、・・・」というように記述される。

【0018】

「ロールコード」は、行うことが可能な特定作業を規定するコードである。ステップＳ３のロールリストの作成時に「ロールコード」を何にするかは、送信された接続機器番号を管理サーバ３内のメモリ３２に記憶されている対応リストに照合することにより決められる。実施例１では、使用申請情報を送信した車両整備装置２の接続機器番号は、管理サーバ３のメモリ３２に記憶された対応リストに「市場」と対応して登録している。そして、管理サーバ３は使用申請情報の接続機器番号により、項目番号２の「ロールコード」を「市場」として図５のロールリストを作成する。

【0019】

図５のロールリストにおいて、項目番号１には「ユーザ名」として「○○株式会社○○営業所」が設定されている。項目番号２の「ロールコード」は「市場」である。項目番号３の「接続機器番号」と項目番号４の「対象車両番号」は、使用申請情報として管理サーバ３が受信したものが設定される。項目番号５の「有効期限」は、ロールリストの有効期限であり、有効期限後は、ロールリストのロールコードに対応する作業をＥＣＵ１１が受け付けなくなる。項目番号６の「走行距離制限」、項目番号７の「車両起動回数制限」、項目番号８の「作業指示回数制限」は、ロールリストを受け付けて設定した後に、制限の設定値を越えるとＥＣＵ１１が作業を受け付けなくなる。

【0020】

図５のロールリストにおいて、項目番号２のロールコードは、整備用の特定作業を可能とする「市場」と設定される。ロールコードにより、ＥＣＵ１１が処理を実行できる特定作業を設定する。項目番号３の接続機器番号は、ＥＣＵ１１に許可する特定作業を設定する際に車両１に接続する機器の番号であり、特定作業を行わせる際に車両１に接続する機器の番号でもある。実施例１の場合には、車両整備装置２の番号となる。接続機器番号が異なる他の車両整備機器等では許可する特定作業を設定することはできない。また、設定された特定作業を行わせることもできない。項目番号４の対象車両番号は、特定作業を行わせるＥＣＵ１１が搭載されている車両１の番号である。対象車両番号は、ＥＣＵ１１のメモリ１１２に記憶されている。対象車両番号が異なるＥＣＵでは、特定作業の設定を行うことができない。

【0021】

項目番号５～８は、有効期間を示す制限値を示す。全ての制限値を越えない場合に特定作業を行うことができ、いずれかの制限値を越えると、特定作業を行うことができなくなる。項目番号５の有効期限は、特定作業を行うことができる期限である。有効期限を過ぎると特定作業を行うことはできなくなる。項目番号６の走行距離制限は、特定作業がＥＣＵ１１に設定されてから、車両１が制限値の距離を走行すると、特定作業を行うことができなくなるものである。項目番号７の車両起動回数制限は、特定作業がＥＣＵ１１に設定されてから、車両１が制限値の回数を超えて起動されると、特定作業を行うことができなくなるものである。項目番号８の作業指示回数制限は、特定作業がＥＣＵ１１に設定されてから、ＥＣＵ１１に所定回数を越える特定作業の指示を行うと、特定作業を行うことができなくなるものである。

【0022】

図２において、ステップＳ３で秘密鍵ＳＫにより署名されたロールリストは、管理サーバ３からネットワーク４を経由して、接続装置４１に接続した車両整備装置２に送信される（ステップＳ４）。車両整備装置２は、メモリ２２に記憶している接続機器番号が項目番号３と一致する場合には、管理サーバ３から送信されたロールリストをメモリ２２に記憶する（ステップＳ５）。一致しない場合には、記憶せずに不適切受信としてディスプレイ２３に表示して処理を終了する。

【0023】

接続機器番号が項目番号３と一致してロールリストを記憶した後、車両整備装置２は管理サーバ３との接続を切断し（ステップＳ６）、接続装置４１から切り離される。そして、点検整備の作業前に、コネクター１２を介して車両整備装置２を車両１のＥＣＵ１１に接続する（ステップＳ７）。接続すると、車両整備装置２は、ロールリストをＥＣＵ１１に送信する（ステップＳ８）。車両整備装置２は、管理サーバ３から受信したロールリストをＥＣＵ１１に送信する通信装置として機能する。

【0024】

ＥＣＵ１１では、メモリ１１２に記憶した対象車両番号が項目番号４の内容と一致しなければ、不適切受信である旨を車両整備装置２に表示させて処理を終了する。一致した場合、ＥＣＵ１１では、メモリ１１２に記憶している公開鍵ＰＫを用いて、ロールリストを署名検証する。そして、ロールリストが署名検証を通過したら、ＥＣＵ１１は、許可する特定作業を示す有効リストを設定する（ステップＳ９）。ロールリストが署名検証を通過しなかったら、不適切受信である旨を車両整備装置２に表示させて処理を終了する。許可された特定作業は、受付可能なリクエストメッセージにより処理を実行することができる。許可されていない特定作業のリクエストメッセージを受信しても受付可能でなく、処理の実行は行われない。

【0025】

図６に、各ロールコードに対応して設定される特定作業の例を示す。ＤＩＤ読出しとＤＴＣ読出しでは、予め設定した機能アドレスによりメモリ１１２の内容を読み出す。ＤＴＣ読み出しは、オンボード診断の結果の読み出しである。これらの読出しを特定作業の一つとする。図６では「ＤＩＤ読出し／ＤＴＣ読出し」と記載している。「メモリ指定読出し」では、物理アドレスを指定してメモリ１１２の内容を読み出す。また、「メモリ指定書込み」では物理アドレスを指定してメモリ１１２に書込みを行う。「アクティブテスト」では、エンジン等の車両１の装置を実際に駆動して、テストを行う。「製造時トータルテスト」は、車両１の製造時において、出荷前に行うテストである。「プログラミング」は、ＥＣＵ１１のメモリ１１２に記憶されたプログラムを書き換える特定作業である。上記以外の特定作業は記載を省略する。

【0026】

ロールコードが「市場」の場合には、「ＤＩＤ読出し／ＤＴＣ読出し」と「アクティブテスト」が特定作業としてメモリ１１２に設定される。これにより車両整備装置２は、ＤＩＤ読出しとＤＴＣ読出しとアクティブテストを特定作業としてＥＣＵ１１に行わせることが可能となる。図６では、ＤＩＤ読出しとＤＴＣ読出しを「ＤＩＤ読出し／ＤＴＣ読出し」と記載している。しかしながら、物理アドレスを指定して行う「メモリ指定読出し」、「メモリ指定書込み」は特定作業として設定されない。ロールコードが「市場」の場合に「メモリ指定読出し」を特定作業として処理が実行されると、暗号鍵やパスワード、個人情報などの重要情報などが抜き取られる可能性がある。また、ロールコードが「市場」の場合に「メモリ指定書込み」を特定作業として処理が実行されると、メモリ内容を操作されることにより、意図しない動作をしてしまう可能性がある。これらの特定作業は「市場」では設定されない。また、「製造時トータルテスト」や「プログラミング」も整備の際に必要ないため、ロールコードが「市場」の場合には設定されない。

【0027】

一方、メーカーが開発の際に用いる「開発」のロールコードである場合は、全ての特定作業が可能である。また、メーカーが製造の際に用いる「製造」のロールコードである場合には、「市場」の特定作業に加えて「製造時トータルテスト」を行うことができる。車両１に不具合が生じた際にメーカーが解析する時に用いる「解析」のロールコードでは、「市場」の特定作業に加えて「メモリ指定読出し」、「メモリ指定書込み」を行うことができる。「解析」のロールコードはメーカーにしか設定されないため、「メモリ指定読出し」による重要情報の抜き取りや、「メモリ指定書込み」による意図しない動作は生じない。「製造時トータルテスト」や「プログラミング」は、解析の際に必要ないため、「解析」のロールコードでは設定されない。ロールコードが「廃棄」や、ロールコードが指定されていない場合は、ＤＩＤ読出しとＤＴＣ読出しのみが設定される。

【0028】

本実施例１では、図５に示すようにロールリストの「ロールコード」が「市場」であるため、「ＤＩＤ読出し／ＤＴＣ読出し」、「アクティブテスト」を有効な特定作業として有効リストに設定する。「ＤＩＤ読出し／ＤＴＣ読出し」、「アクティブテスト」は許可された特定作業として有効リストに記憶される。このように、ロールコードによって実行できる特定作業が決まっており、ＥＣＵ１１では受信したロールコードに対応した特定作業が有効リストとして設定される。

【0029】

図５における項目番号５以降もメモリ１１２に記憶される。項目番号５の「有効期限」は「2022/03/05 12:00」と設定されている。この時間を過ぎると特定作業は受け付けられない。項目番号５の「走行距離制限」は「なし」と設定されており、走行距離に関する制限はない。仮に「１０ｋｍ」となっている場合には、ＥＣＵ１１がロールリストを受け付けてから車両１が１０ｋｍ進むまで、ロールコードに対応する特定作業は許可された状態である。「作業指示回数制限」は、作業指示の回数の制限であり、たとえば、特定作業としてエンジンデータ送信を作業指示した場合は作業指示回数１回としてカウントされる。また、別の特定作業を作業指示した場合も作業指示回数１回としてカウントされる。「有効期限」、「走行距離制限」、「車両起動回数制限」、「作業指示回数制限」は、有効期間を示す制限値である。

【0030】

次に、車両整備装置２からＥＣＵ１１に特定作業の処理を実行させる際の作用を図７のフロー図を用いて説明する。ここでは、エンジンデータ送信を特定作業として処理を実行させる例を示す。車両整備を行う作業者は、図８に示すように車両整備装置２を車両１のＥＣＵ１１に接続する。そして車両整備装置２で、「エンジンデータ送信」の実行を入力することによりエンジンデータ送信という特定作業をセットする（ステップＳ１１）。「エンジンデータ送信」は、エンジンデータに関してＤＩＤ読み出しを行う特定作業である。したがって、図６の「ＤＩＤ読出し／ＤＴＣ読出し」の特定作業に該当する。特定作業をセットした後、車両整備装置２は、ＥＣＵ１１に複数のエンジンデータ送信の処理を実行させるリクエストメッセージを、ＥＣＵ１１に送信する（ステップＳ１２）。

【0031】

ＥＣＵ１１は、車両整備装置２の接続機器番号に対応した有効リストにより、受信したリクエストメッセージで指示する「エンジンデータ送信」という特定作業が有効リストにあるかチェックする（ステップＳ１３）。「エンジンデータ送信」は有効リストとしてメモリ１１２に記憶され、許可されている「ＤＩＤ読出し／ＤＴＣ読出し」に該当する。そのため、「エンジンデータ送信」という特定作業が有効リストにあることになり、有効である。また、有効期間内であるかもチェックする（ステップＳ１４）。リクエストメッセージを受信した時が、図５の項目番号５における「2022/03/05 12:00」との制限値よりも前の有効期間内である場合には、有効である。また、項目番号６から７の制限値内よりも前の有効期間内であるかもチェックされる。図５では、項目番号６は「なし」であるため、走行距離制限はない。また、項目番号７に関して、特定作業がＥＣＵ１１の有効リストに設定されてから、車両１が５回を超えて起動されると、特定作業を行うことができない。項目番号８に関しては、特定作業がＥＣＵ１１の有効リストに設定されてから、ＥＣＵ１１に１０を越える特定作業の指示を行われると、特定作業を行うことができない。

【0032】

ステップＳ１３とステップＳ１４は、順序が逆であってもよい。ステップＳ１４の有効期間は、図５に示したロールリストから規定される。有効期間チェックではロールリストの内容により、有効期限のみのチェックや車両起動回数のみのチェックとすることができ、これらの制限を複数用いたチェックとすることもできる。

【0033】

有効リストに「エンジンデータ送信」のリクエストメッセージを受け付ける記載があり、全ての制限値について有効期間内である場合には、ＥＣＵ１１はエンジンデータを車両整備装置２に送信することにより、特定作業を実行する（ステップＳ１５）。このように、ＥＣＵ１１は、有効リストで許可された特定作業のリクエストメッセージを有効期間内に受け付けたときに、対応する特定作業の処理を実行する。一方、有効リストで許可されていない特定作業のリクエストメッセージを受け付けたときや、有効期間でないときには特定作業を実行しない。たとえば、特定アドレスを指定してメモリ指定読出しのリクエストメッセージを受信したときには特定作業の処理を実行しない。リクエストメッセージを受信した特定作業の処理を実行しない場合には、ＥＣＵ１１は不実行のレスポンスメッセージを送出する。

【0034】

実施例１のＥＣＵ１１は、複数のＥＣＵにより構成されてもよく、複数のＥＣＵの一部又は全部を統合した統合ＥＣＵを用いて構成されてもよい。複数のＥＣＵにより構成される場合には、有効リストは、各ＥＣＵに設定されていても良い。

【実施例0035】

実施例１のＥＣＵ１１を複数のＥＣＵにより構成した場合の例を実施例２、３に示す。実施例２では、図９に示すように、車両５にアクセス管理ＥＣＵ５１と複数の車両機器ＥＣＵ５２とを備えている。アクセス管理ＥＣＵ５１は、コネクター５３と車両機器ＥＣＵ５２の間に介在する。アクセス管理ＥＣＵ５１は、制御部５１１と、公開鍵ＰＫを記憶したメモリ５１２を有する。そして、アクセス管理ＥＣＵ５１は、コネクター５３を介して受付可能なリクエストメッセージを受信したときに、通信線５４を介して車両機器ＥＣＵ５２にリクエストメッセージを転送するゲートウェイとして機能する。受付可能でないリクエストメッセージを受信したときには、車両機器ＥＣＵ５２にリクエストメッセージを転送しない。車両機器ＥＣＵ５２は、制御部５２１とメモリ５２２を有する。通信装置である車両整備装置２の構成は、実施例１と同様である。また、車両整備装置２の管理サーバ３への接続は、図４に示すように実施例１と同様である。

【0036】

実施例２において、車両整備工場でアクセス管理システムにより、ＥＣＵ処理を実行することができる受付可能なリクエストメッセージの有効リストを設定する際の作用を、図１０のフロー図に示す。実施例２では、ステップＳ８におけるロールリストの送信先がアクセス管理ＥＣＵ５１であり、ステップＳ９におけるロールリストの署名検証、有効リストの設定がアクセス管理ＥＣＵ５１で行われる。その他のフローは実施例１の図２と同様である。使用申請情報も図３に示すように実施例１と同様であり、ロールリストも図５に示すように実施例１と同様である。また、車両整備装置２による管理サーバ３への接続も、図４に示されたものであって実施例１と同様であり、各ロールコードと特定作業との対応も図６に示されたものであって実施例１と同様である。実施例２では、ステップＳ８において車両整備装置２がロールリストをアクセス管理ＥＣＵ５１に送信する際に、ＥＣＵ間を接続する通信線５４を介さない。

【0037】

実施例２において、車両整備装置２から車両機器ＥＣＵ５２に特定作業の処理を実行させる際の作用を図１１のフロー図を用いて説明する。車両整備を行う作業者は、図９に示すように車両整備装置２を車両５のコネクター５３に接続する。これにより、車両整備装置２がアクセス管理ＥＣＵ５１に接続される。この接続は通信線５４を介さない。そして車両整備装置２で、例えば、「エンジンデータ送信」の実行を入力することによりエンジンデータ送信という特定作業をセットする（ステップＳ２１）。そうすると、車両整備装置２は、車両機器ＥＣＵ５２に複数のエンジンデータの送信を指示するリクエストメッセージを、アクセス管理ＥＣＵ５１に送信する（ステップＳ２２）。

【0038】

アクセス管理ＥＣＵ５１は、受信したリクエストメッセージに対応する特定作業が、車両整備装置２の接続機器番号に対応した有効リストにあるかチェックし（ステップＳ２３）、有効期間内であるかもチェックする（ステップＳ２４）。有効リストでリクエストメッセージが受付可能であり、有効期間内である場合には、リクエストメッセージを受け付けて、通信線５４を介してリクエストメッセージを車両機器ＥＣＵ５２に転送する（ステップＳ２５）。アクセス管理ＥＣＵ５１は、有効リストで受付可能なリクエストメッセージを有効期間内に受け付けたときに、対応する特定作業の処理を実行する。一方、受付可能でないリクエストメッセージを受け付けたときや、有効期間を過ぎていたときには作業コマンドを車両機器ＥＣＵ５２に送信しない。リクエストメッセージを受信した車両機器ＥＣＵ５２は、エンジンデータを、アクセス管理ＥＣＵ５１を介して車両整備装置２に送信して、特定作業を実行する（ステップＳ２６）。このように、実施例２では、アクセス管理ＥＣＵ５１は、有効リストで許可された特定作業のリクエストメッセージを受信したときにリクエストメッセージを受け付けて、リクエストメッセージを車両機器ＥＣＵ５２に送信する。アクセス管理ＥＣＵ５１は、ゲートウェイとして機能する。