ホーム > 特許ランキング > 株式会社デンソーテン
知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2025031380
(43)【公開日】2025-03-07
(54)【発明の名称】充電制御装置、充電制御方法、およびプログラム
(51)【国際特許分類】
H02J 7/00 20060101AFI20250228BHJP
B60L 53/65 20190101ALI20250228BHJP
B60L 53/14 20190101ALI20250228BHJP
【ＦＩ】
H02J7/00 P
H02J7/00 Z
B60L53/65
B60L53/14
【審査請求】未請求
【請求項の数】9
【出願形態】ＯＬ
(21)【出願番号】P 2023137573
(22)【出願日】2023-08-25
(71)【出願人】
【識別番号】000237592
【氏名又は名称】株式会社デンソーテン
(74)【代理人】
【識別番号】110002860
【氏名又は名称】弁理士法人秀和特許事務所
(72)【発明者】
【氏名】長岡 義矩
【テーマコード（参考）】
5G503
5H125
【Ｆターム（参考）】
5G503AA01
5G503BA01
5G503BB01
5G503CB09
5G503CC02
5G503EA01
5G503FA03
5G503FA06
5G503GD04
5G503GD06
5H125AA01
5H125AC12
5H125AC24
5H125BC21
5H125BE01
5H125CC04
5H125CC06
5H125DD02
(57)【要約】
【課題】車両の充電において、複数の証明書情報を適切に管理する。
【解決手段】充電制御装置は、証明書を用いて充電設備との認証処理を行い、車両の充電を制御するコントローラを備える。コントローラは、証明書識別情報によってそれぞれ識別される複数の証明書をメモリに記憶し、充電を行う際に、複数の証明書の中で優先的に使用される証明書を指定する優先度情報に基づいてメモリから車両のユーザの証明書を読み出すことと、優先度情報に基づくユーザの有効な証明書が存在しない場合に、ユーザの新規証明書を取得することと、取得した新規証明書がメモリに記憶されていない場合に、新規証明書を前記メモリに記憶すること、を実行する。
【選択図】図９
【解決手段】充電制御装置は、証明書を用いて充電設備との認証処理を行い、車両の充電を制御するコントローラを備える。コントローラは、証明書識別情報によってそれぞれ識別される複数の証明書をメモリに記憶し、充電を行う際に、複数の証明書の中で優先的に使用される証明書を指定する優先度情報に基づいてメモリから車両のユーザの証明書を読み出すことと、優先度情報に基づくユーザの有効な証明書が存在しない場合に、ユーザの新規証明書を取得することと、取得した新規証明書がメモリに記憶されていない場合に、新規証明書を前記メモリに記憶すること、を実行する。
【選択図】図９
【特許請求の範囲】
【請求項1】
証明書を用いて充電設備との認証処理を行い、車両の充電を制御するコントローラを備える充電制御装置であって、
前記コントローラは、
証明書識別情報によってそれぞれ識別される複数の証明書をメモリに記憶し、
前記充電を行う際に、前記複数の証明書の中で優先的に使用される証明書を指定する優先度情報に基づいて前記メモリから前記車両のユーザの証明書を読み出すことと、
前記優先度情報に基づく前記ユーザの有効な証明書が存在しない場合に、前記ユーザの新規証明書を取得することと、
取得した前記新規証明書が前記メモリに記憶されていない場合に、前記新規証明書を前記メモリに記憶すること、を実行する
充電制御装置。
前記コントローラは、
証明書識別情報によってそれぞれ識別される複数の証明書をメモリに記憶し、
前記充電を行う際に、前記複数の証明書の中で優先的に使用される証明書を指定する優先度情報に基づいて前記メモリから前記車両のユーザの証明書を読み出すことと、
前記優先度情報に基づく前記ユーザの有効な証明書が存在しない場合に、前記ユーザの新規証明書を取得することと、
取得した前記新規証明書が前記メモリに記憶されていない場合に、前記新規証明書を前記メモリに記憶すること、を実行する
充電制御装置。
【請求項2】
前記優先度情報は、前記充電設備を利用する前記ユーザを識別するユーザ情報に対応付けられ、前記ユーザ情報で特定される前記ユーザに対して優先的に使用される証明書を指定する請求項１に記載の充電制御装置。
【請求項3】
前記コントローラは、前記新規証明書を識別する証明書識別情報と同一の証明書識別情報によって識別される既存証明書が前記メモリに記憶されている場合には、前記新規証明書を前記既存証明書の記憶先に上書きして前記メモリに記憶する請求項１に記載の充電制御装置。
【請求項4】
前記コントローラは、前記新規証明書を識別する証明書識別情報と同一の証明書識別情報によって識別される既存証明書が前記メモリに記憶されていない場合には、前記新規証明書を前記メモリ上の新規の記憶先に記憶する請求項１に記載の充電制御装置。
【請求項5】
前記コントローラは、前記新規証明書を識別する証明書識別情報と同一の証明書識別情報によって識別される有効な既存証明書が前記メモリに記憶されている場合には、前記新規証明書を前記メモリ上の新規の記憶先に記憶し、さらに、前記既存証明書が無効となったことを検知した後に前記既存証明書を削除する請求項１に記載の充電制御装置。
【請求項6】
前記コントローラは、前記ユーザ情報と前記優先度情報との対応関係を前記メモリに記憶し、前記ユーザ情報を取得する取得装置から取得された前記ユーザ情報に基づき、前記優先度情報を特定する請求項２に記載の充電制御装置。
【請求項7】
前記ユーザ情報と前記優先度情報との対応関係は、前記車両外の管理装置に管理され、前記ユーザのユーザ認証処理に基づき前記優先度情報が特定され、
前記コントローラは、前記管理装置での前記ユーザ認証処理の結果から、前記優先度情報を取得する請求項２に記載の充電制御装置。
前記コントローラは、前記管理装置での前記ユーザ認証処理の結果から、前記優先度情報を取得する請求項２に記載の充電制御装置。
【請求項8】
証明書を用いて充電設備との認証処理を行い、車両の充電を制御するコンピュータが実行する充電制御方法であって、
前記コンピュータは、
証明書識別情報によってそれぞれ識別される複数の証明書をメモリに記憶し、
前記充電を行う際に、前記複数の証明書の中で優先的に使用される証明書を指定する優先度情報に基づいて前記メモリから前記車両のユーザの証明書を読み出すことと、
前記優先度情報に基づく前記ユーザの有効な証明書が存在しない場合に、前記ユーザの新規証明書を取得することと、
取得した前記新規証明書が前記メモリに記憶されていない場合に、前記新規証明書を前
記メモリに記憶すること、を実行する
充電制御方法。
前記コンピュータは、
証明書識別情報によってそれぞれ識別される複数の証明書をメモリに記憶し、
前記充電を行う際に、前記複数の証明書の中で優先的に使用される証明書を指定する優先度情報に基づいて前記メモリから前記車両のユーザの証明書を読み出すことと、
前記優先度情報に基づく前記ユーザの有効な証明書が存在しない場合に、前記ユーザの新規証明書を取得することと、
取得した前記新規証明書が前記メモリに記憶されていない場合に、前記新規証明書を前
記メモリに記憶すること、を実行する
充電制御方法。
【請求項9】
証明書を用いて充電設備との認証処理を行い、車両の充電を制御するコンピュータに、
証明書識別情報によってそれぞれ識別される複数の証明書をメモリに記憶し、
前記充電を行う際に、前記複数の証明書の中で優先的に使用される証明書を指定する優先度情報に基づいて前記メモリから前記車両のユーザの証明書を読み出すことと、
前記優先度情報に基づく前記ユーザの有効な証明書が存在しない場合に、前記ユーザの新規証明書を取得することと、
取得した前記新規証明書が前記メモリに記憶されていない場合に、前記新規証明書を前記メモリに記憶すること、を実行させるための
プログラム。
証明書識別情報によってそれぞれ識別される複数の証明書をメモリに記憶し、
前記充電を行う際に、前記複数の証明書の中で優先的に使用される証明書を指定する優先度情報に基づいて前記メモリから前記車両のユーザの証明書を読み出すことと、
前記優先度情報に基づく前記ユーザの有効な証明書が存在しない場合に、前記ユーザの新規証明書を取得することと、
取得した前記新規証明書が前記メモリに記憶されていない場合に、前記新規証明書を前記メモリに記憶すること、を実行させるための
プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、充電制御装置、充電制御方法、およびプログラムに関するものである。
【背景技術】
【0002】
電動自動車等の車両に充電に関する証明書情報をインストールしておき、充電時に充電スタンド（充電設備ともいう）と通信を行って、支払処理が行われる技術がある（下記特許文献１参照）。
【先行技術文献】
【特許文献】
【0003】
【特許文献1】特開２０１６－９３０７８号公報
【発明の概要】
【発明が解決しようとする課題】
【0004】
しかしながら、車両に備えた装置内で複数の証明書情報が扱われる場合、上記従来技術では、証明書情報がインストールされる際に、どの証明書情報を更新すべきかあるいは追加すべきかを特定する仕組みがない。このため、例えば、複数の証明書情報の取り扱いにおいて混乱が生じる虞があった。開示の実施の形態の側面は、車両の充電において、複数の証明書情報を適切に管理できるようにすることである。
【課題を解決するための手段】
【0005】
開示の実施の形態は、充電制御装置によって例示される。本充電制御装置は、証明書を用いて充電設備との認証処理を行い、車両の充電を制御するコントローラを備える。本コントローラは、証明書識別情報によってそれぞれ識別される複数の証明書をメモリに記憶し、充電を行う際に、前記複数の証明書の中で優先的に使用される証明書を指定する優先度情報に基づいて前記メモリから前記車両のユーザの証明書を読み出すことと、前記優先度情報に基づく前記ユーザの有効な証明書が存在しない場合に、前記ユーザの新規証明書を取得することと、取得した前記新規証明書が前記メモリに記憶されていない場合に、前記新規証明書を前記メモリに記憶すること、を実行する。
【発明の効果】
【0006】
本充電制御装置は、車両の充電において、複数の証明書情報を適切に管理できる。
【図面の簡単な説明】
【0007】
【発明を実施するための形態】
【0008】
以下、図面を参照して、一実施の形態に係る充電制御装置、充電制御方法、およびプログラムが説明される。
【0009】
＜実施の形態＞（構成）
図１は、本実施の形態の充電システムの構成を例示する図である。本充電システムは、車両の一例としての電動車１と、電動車１のバッテリ（二次電池、蓄電池ともいう）に電力を供給する充電設備（Electric Vehicle Supply Equipment、ＥＶＳＥ）２を有する。
なお、図１では、認証局ＣＡ１、ＣＡ２および中間認証局（ＳＵＢ－ＣＡ１１、ＳＵＢ－ＣＡ１２、ＳＵＢ－ＣＡ２１、ＳＵＢ－ＣＡ２２）と、サーバ５、６も記載されている。認証局ＣＡ１は、ユーザ認証用のContract証明書等の証明書を発行する。認証局ＣＡ２はVehicle to Grid(V2G) ＲＯＯＴ証明書等の証明書を発行する。サーバ５は、例えば、サ
ービス提供事業者（ＭＯ（Mobility Operator））（ｅＭＳＰ（e-mobility service provider）、ＥＭＰ（e-mobility provider）ともいう）によって管理されるセンタのコンピ
ュータである。また、サーバ６は、電動車１の製造元（ＯＥＭ（Original Equipment Manufacturer））または販売元によって管理されるセンタのコンピュータである。サーバ５
、６等は、ユーザにContract証明書等の証明書を発行し、または、電動車１へのインストールを実行する。
図１は、本実施の形態の充電システムの構成を例示する図である。本充電システムは、車両の一例としての電動車１と、電動車１のバッテリ（二次電池、蓄電池ともいう）に電力を供給する充電設備（Electric Vehicle Supply Equipment、ＥＶＳＥ）２を有する。
なお、図１では、認証局ＣＡ１、ＣＡ２および中間認証局（ＳＵＢ－ＣＡ１１、ＳＵＢ－ＣＡ１２、ＳＵＢ－ＣＡ２１、ＳＵＢ－ＣＡ２２）と、サーバ５、６も記載されている。認証局ＣＡ１は、ユーザ認証用のContract証明書等の証明書を発行する。認証局ＣＡ２はVehicle to Grid(V2G) ＲＯＯＴ証明書等の証明書を発行する。サーバ５は、例えば、サ
ービス提供事業者（ＭＯ（Mobility Operator））（ｅＭＳＰ（e-mobility service provider）、ＥＭＰ（e-mobility provider）ともいう）によって管理されるセンタのコンピ
ュータである。また、サーバ６は、電動車１の製造元（ＯＥＭ（Original Equipment Manufacturer））または販売元によって管理されるセンタのコンピュータである。サーバ５
、６等は、ユーザにContract証明書等の証明書を発行し、または、電動車１へのインストールを実行する。
【0010】
本充電システムによる処理の前提として、電動車１がＯＥＭから出荷されるときなど事前に、電動車１の記憶装置（例えば図７の外部記憶部１３）には、少なくとも１つの認証局ＣＡ２が発行するＶ２Ｇ ＲＯＯＴ証明書が保存されている。また、電動車１は、サーバ６等にアクセスすることで、Ｖ２Ｇ ＲＯＯＴ証明書を更新することができる。また、電動車１は、サーバ６等にアクセスすることで、認証局ＣＡ２以外の認証局が発行するＶ２Ｇ ＲＯＯＴ証明書を取得することができる。なお、認証局の数が、１つに限定される訳ではない。
【0011】
一方、証明書チェーンは、例えば、Charge Point Operator SUB-Certificate Authorities 11（ＣＰＯ ＳＵＢ－ＣＡ１１）、ＣＰＯ ＳＵＢ－ＣＡ１２、ＥＶＳＶ Ｌｅａｆ証明書等を含む。
【0012】
第１の認証手続として、プラグアンドチャージ（ＰｎＣ）と呼ばれる手順では、充電設備２の充電プラグ２Ｂが電動車１の接続部（受電部ともいう）に挿入されると、充電設備２と電動車１との間で認証が実施される。そして、認証後に電動車１への充電と、充電に対する課金が実施される。ＰｎＣのため、電動車１と、充電設備２は、それぞれ、Ｖ２Ｇ
ＲＯＯＴ証明書を記憶装置に保存している。なお、充電設備２は、充電設備２からアクセス可能なコンピュータ上に保存されたＶ２Ｇ ＲＯＯＴ証明書を参照するようにしてもよい。ＰｎＣは、第１の課金方式ということもできる。
ＲＯＯＴ証明書を記憶装置に保存している。なお、充電設備２は、充電設備２からアクセス可能なコンピュータ上に保存されたＶ２Ｇ ＲＯＯＴ証明書を参照するようにしてもよい。ＰｎＣは、第１の課金方式ということもできる。
【0013】
ＰｎＣでは、充電プラグ２Ｂによる充電設備２と電動車１との接続後、ユーザのＶ２Ｇ
ＲＯＯＴ証明書が充電設備２に通知される（矢印Ｐ１）。次に、Ｖ２Ｇ ＲＯＯＴ証明書に関連付けされた階層的な構成を有する事業者の証明書チェーンが電動車１に応答される（矢印Ｐ２）。矢印Ｐ１と矢印Ｐ２による通信手順は、Transport Layer Security（ＴＬＳ）ハンドシェークと呼ばれる。Ｖ２Ｇ ＲＯＯＴ証明書は、電動車１と充電設備２との間の通信の安全を確保するための第１の証明書ということができる。
ＲＯＯＴ証明書が充電設備２に通知される（矢印Ｐ１）。次に、Ｖ２Ｇ ＲＯＯＴ証明書に関連付けされた階層的な構成を有する事業者の証明書チェーンが電動車１に応答される（矢印Ｐ２）。矢印Ｐ１と矢印Ｐ２による通信手順は、Transport Layer Security（ＴＬＳ）ハンドシェークと呼ばれる。Ｖ２Ｇ ＲＯＯＴ証明書は、電動車１と充電設備２との間の通信の安全を確保するための第１の証明書ということができる。
【0014】
証明書チェーンは、認証局の階層に対応する。図１のように、各認証局ＣＡ１、ＣＡ２等は、下位の認証局である中間認証局（ＳＵＢ－ＣＡ１１、ＳＵＢ－ＣＡ１２、ＳＵＢ－ＣＡ２１、ＳＵＢ－ＣＡ２２等）を持つことができる。最上位にある認証局ＣＡ２はＲＯＯＴ認証局と呼ばれ、Ｖ２Ｇ ＲＯＯＴ証明書を発行する。また、下位の中間認証局の認証局証明書（ＣＰＯ ＳＵＢ－ＣＡ１１証明書等）は、上位の認証局によって署名がされる。図１の例の証明書チェーンでは、ＣＰＯ ＳＵＢ－ＣＡ１１証明書、ＣＰＯ ＳＵＢ－ＣＡ１２証明書、ＥＶＳＶ Ｌｅａｆ証明書が例示されている。
【0015】
電動車１は、ユーザのＶ２Ｇ ＲＯＯＴ証明書を基に証明書チェーンを上位から下位に順に認証することで、最終的には、ＥＶＳＶ Ｌｅａｆ証明書を認証できる。電動車１は、ＥＶＳＶ Ｌｅａｆ証明書の認証に成功すると、充電設備２との通信に使用する秘密鍵を得ることができ、以降は秘密鍵により暗号化された通信が実施される。これにより、ＴＬＳハンドシェークが完了する。
【0016】
ＴＬＳハンドシェークの完了後は、秘密鍵を用いて暗号化されたＶ２Ｇ通信が実行される。Ｖ２Ｇ通信では、電動車１からの要求（Ｐ３）と、充電設備２からの応答（Ｐ４）が相互に送信され、充電と課金が実施される。このＶ２Ｇ通信では、充電供給の契約、例えば、課金の詳細が定義されたContract証明書が充電設備２と電動車１との間で参照される。例えば、Contract証明書（およびその秘密鍵）は、事前に電動車１内にインストールされる。電動車１が充電セッション中にContract証明書を充電設備２に送りこれを用いて充電設備２が認証を行うことでＰｎＣが成立する。
【0017】
Contract証明書は、電動車１が事前に電動車１の製造元、販売元であるＯＥＭのサーバ６、または電力を供給するモビリティサービス提供事業者であるＭＯのサーバ５にインストールを求めることができる。ただし、電動車１が充電を受けるときに、充電設備２にContract証明書のインストールを要求することもできる。この場合、電動車１は、充電設備２に対して、電動車１の製造元、販売元から発行された証明書（ＯＥＭ プロビジョニング証明書）を提示する。充電設備２は、電動車１から通知されたＯＥＭ プロビジョニング証明書に関連付けられた有効なContract証明書を有している場合もしくはサーバ５から取得可能な場合には、Contract証明書を電動車１に提供できる。
【0018】
図２は、ユーザ識別情報（ＵＩＤ）と、各証明書の関係を例示する図である。本実施の形態では、ＰｎＣのセッションによる充電の実行時において、電動車１は、一例として、図２で例示されるContract証明書および秘密鍵と、ユーザ識別情報（ＵＩＤ Ａ、ＵＩＤ
Ｂ等）とを対応づけて記憶している。電動車１は、例えば、ユーザ識別情報（ＵＩＤ）がＵＩＤ Ａであるユーザに対して、Contract証明書の識別情報（ＥＭＡＩＤ）Ａと、秘密鍵をＵＩＤＡに対応づけて保持する。また、電動車１は、例えば、ユーザ識別情報（ＵＩＤ）とは無関係に車両によって固有のＯＥＭＰｒｏｖｉｓｉｏｎｉｎｇ証明書の識別情報（ＰＣＩＤ）と、秘密鍵とを保持する。すでに述べたように、充電制御装置１０は、Contract証明書を有しない場合には、充電設備２を介して、ＯＥＭＰｒｏｖｉｓｉｏｎｉｎｇ証明書をセンタのサーバ５等に提示することで、Contract証明書の取得が可能となる。以上の点は、ユーザ識別情報（ＵＩＤ）がＵＩＤ Ｂであるユーザに対しても同様である
。
Ｂ等）とを対応づけて記憶している。電動車１は、例えば、ユーザ識別情報（ＵＩＤ）がＵＩＤ Ａであるユーザに対して、Contract証明書の識別情報（ＥＭＡＩＤ）Ａと、秘密鍵をＵＩＤＡに対応づけて保持する。また、電動車１は、例えば、ユーザ識別情報（ＵＩＤ）とは無関係に車両によって固有のＯＥＭＰｒｏｖｉｓｉｏｎｉｎｇ証明書の識別情報（ＰＣＩＤ）と、秘密鍵とを保持する。すでに述べたように、充電制御装置１０は、Contract証明書を有しない場合には、充電設備２を介して、ＯＥＭＰｒｏｖｉｓｉｏｎｉｎｇ証明書をセンタのサーバ５等に提示することで、Contract証明書の取得が可能となる。以上の点は、ユーザ識別情報（ＵＩＤ）がＵＩＤ Ｂであるユーザに対しても同様である
。
【0019】
なお、図２は、各証明書の階層も例示している。すなわち、少なくとも１つの認証局ＣＡ２が発行するＶ２Ｇ ＲＯＯＴ証明書を基に、中間の認証局から下位の認証局であるＭＯ＿ＳＵＢ１の証明書、ＭＯ＿ＳＵＢ２の証明書、Contract証明書の順で各証明書が発行される。ＭＯおよびＯＥＭはＶ２Ｇ ＲＯＯＴ証明書の代りにそれぞれが発行するＭＯ ＲＯＯＴ証明書、ＯＥＭ ＲＯＯＴ証明書を持つこともできる。なお、上述のように、Contract証明書は、例えば、モビリティサービス提供事業者（ＭＯ）から発行される。
【0020】
Contract証明書は、ＥＭＡＩＤ（E-Mobility Account Identifier）としても知られる
一意の識別子を介してユーザの請求アカウントにリンクされている。電動車１の所有者は、請求アカウントを作成するためにサービス提供事業者（ＭＯ）と事前に契約を締結する。ＭＯは、一連の手順を通じて電動車１にContract証明書を提供する。電動車１がContract証明書を充電設備２に提示し、充電設備２に提示されたContract証明書がさらにContract証明書を発行したＭＯによって承認された後、充電が開始する。そして、電動車１は、充電設備２と交渉した充電スケジュールに従ってバッテリ１９（図７参照）の充電を開始できる。
一意の識別子を介してユーザの請求アカウントにリンクされている。電動車１の所有者は、請求アカウントを作成するためにサービス提供事業者（ＭＯ）と事前に契約を締結する。ＭＯは、一連の手順を通じて電動車１にContract証明書を提供する。電動車１がContract証明書を充電設備２に提示し、充電設備２に提示されたContract証明書がさらにContract証明書を発行したＭＯによって承認された後、充電が開始する。そして、電動車１は、充電設備２と交渉した充電スケジュールに従ってバッテリ１９（図７参照）の充電を開始できる。
【0021】
同様に、Ｖ２Ｇ ＲＯＯＴ証明書（またはＯＥＭ ＲＯＯＴ証明書）を基に、中間の認証局から下位の認証局であるＯＥＭ＿ＳＵＢ１の証明書、ＯＥＭ＿ＳＵＢ２の証明書、ＯＥＭＰｒｏｖｉｓｉｏｎｉｎｇ証明書の順で各証明書が発行される。図２では、ＯＥＭＰｒｏｖｉｓｉｏｎｉｎｇ証明書は省略されて、ＯＥＭ Ｐｒｏｖ証明書等で例示されている。なお、ＯＥＭＰｒｏｖｉｓｉｏｎｉｎｇ証明書は、例えば、電動車１の製造元（ＯＥＭ）または販売元のサーバ６から発行される。
【0022】
（比較例の処理）
上述の通り、図３から図６を参照して、比較例に係る電動車５０１の処理が例示される。なお、図３から図６では、電動車５０１には、ＥＶの文字列が付されている。また、図３から図６では、電動車５０１の他、電動車５０１の充電のために電力を供給する充電設備５０２、充電サービスを提供する第三者機関であるＭＯのサーバ５、ＯＥＭのサーバ６も記載されている。
上述の通り、図３から図６を参照して、比較例に係る電動車５０１の処理が例示される。なお、図３から図６では、電動車５０１には、ＥＶの文字列が付されている。また、図３から図６では、電動車５０１の他、電動車５０１の充電のために電力を供給する充電設備５０２、充電サービスを提供する第三者機関であるＭＯのサーバ５、ＯＥＭのサーバ６も記載されている。
【0023】
ＩＳＯ１５１１８－２では、充電のための通信においてユーザ認証を行うＰｎＣが定義されている。上述のように、ＰｎＣでは、Contract証明書（およびその秘密鍵）が電動車５０１内にＰｎＣ実行前にインストールされ、電動車５０１が充電セッション中にContract証明書を充電設備５０２との間で授受することが想定される。しかしながら、ＩＳＯ１５１１８－２ではContract証明書の所持数は１つしか想定されておらず、必ずしもすべてのユースケースに対応できない。例えば、１つの電動車５０１が複数のContract証明書を扱う場合に以下のような問題が発生する。
【0024】
図３は、比較例での第１の問題を例示する図である。図３の例では、例えば、ユーザＡが、ＭＯとの契約に基づいて、Contract証明書（CONTRACT A）を発行される。図３では、例えば、Contract証明書（CONTRACT A）は、ＭＯのサーバ５からＯＥＭのサーバ６を介して、電動車５０１の不揮発性メモリのスロットＳＬ１にインストールされる（Ｓ５０１）。ここで、不揮発性メモリのスロットＳＬ１等は、Contract証明書（CONTRACT A）の格納先である。同様に、例えば、ユーザＢが、ＭＯとの契約に基づいて、Contract証明書（CONTRACT B）を発行される。ユーザＢがユーザＡと同一の電動車５０１を利用する場合には、ユーザＢは、Contract証明書（CONTRACT B）を電動車５０１の不揮発性メモリにインストールすることを望む。
【0025】
しかし、図３の例では、ユーザＡが、すでに、スロットＳＬ１のContract証明書（CONTRACT A）と同一のものを重複して不揮発性メモリのスロットＳＬ２にもインストール済みである。図３の例では、ユーザＡは、ＯＥＭのサーバ６ではなく、充電設備５０２からスロットＳＬ２に２つ目のContract証明書（CONTRACT A）をインストールしている場合が想定される（Ｓ５０２）。また、図３の例では、電動車５０１の不揮発性メモリには、Contract証明書を格納するためにスロットＳＬ１、ＳＬ２の２個だけが用意されたと仮定されている。すると、ユーザＢは、自身に発行されたContract証明書（CONTRACT B）を電動車５０１にインストールすることができない場合が生じ得る（Ｓ５０３）。
【0026】
図４は、比較例での第２の問題を例示する図である。図４の例においても、ユーザＡが、ＭＯとの契約に基づいて、Contract証明書（CONTRACT A）を発行される。Contract証明書（CONTRACT A）は、充電設備５０２を介して電動車５０１の不揮発性メモリのスロットＳＬ１にインストールされる（Ｓ５１１）。図４は、その後、スロットＳＬ１にインストールされた、Contract証明書（CONTRACT A）の有効期限が切れた場合を例示する。Contract証明書（CONTRACT A）の有効期限が切れると、ユーザＡは、再度ＭＯから、更新された新規なContract証明書（CONTRACT A Update）の発行を受けることが可能である。
【0027】
しかし、図４の例では、新規なContract証明書（CONTRACT A Update）は、充電設備５
０２を介して電動車５０１の不揮発性メモリのスロットＳＬ２にインストールされる（Ｓ５１２）。すると、スロットＳＬ１には、有効期限が切れたContract証明書（CONTRACT A）が残存することになる。したがって、不揮発性メモリのスロットＳＬ１が不要なContract証明書（CONTRACT A）で占有される結果となる。このような場合、図３の場合と同様に、次のContract証明書（CONTRACT B）を電動車５０１にインストールすることができない場合が生じ得る。
０２を介して電動車５０１の不揮発性メモリのスロットＳＬ２にインストールされる（Ｓ５１２）。すると、スロットＳＬ１には、有効期限が切れたContract証明書（CONTRACT A）が残存することになる。したがって、不揮発性メモリのスロットＳＬ１が不要なContract証明書（CONTRACT A）で占有される結果となる。このような場合、図３の場合と同様に、次のContract証明書（CONTRACT B）を電動車５０１にインストールすることができない場合が生じ得る。
【0028】
図５は、比較例での第３の問題を例示する図である。図５の例においても、ユーザＡが、ＭＯとの契約に基づいて、Contract証明書（CONTRACT A）を発行される。Contract証明書（CONTRACT A）は、充電設備５０２を介して電動車５０１の不揮発性メモリのスロットＳＬ１にインストールされる（Ｓ５２１）。図５の例も図３の例と同様、例えば、ユーザＢが、ＭＯとの契約に基づいて、Contract証明書（CONTRACT B）を発行される。また、ユーザＢは、Contract証明書（CONTRACT B）を電動車５０１の不揮発性メモリにインストールすることを望むとする。
【0029】
しかし、図５の例では、ユーザＢのContract証明書（CONTRACT B）は、充電設備５０２を介して電動車５０１の不揮発性メモリのスロットＳＬ１にインストールされる（Ｓ５２２）。すると、図５の例では、スロットＳＬ１にインストール済みのContract証明書（CONTRACT A）は、ユーザＢに発行されたContract証明書（CONTRACT B）によって上書きされることになる。したがって、その後、ユーザＡが電動車５０１への充電を受けようとすると、電動車５０１には、Contract証明書（CONTRACT A）がインストールされておらず、充電設備５０２において充電を受けることができない場合が生じる得る。
【0030】
図６は、比較例での第４の問題を例示する図である。図６の例においても、ユーザＡが、ＭＯとの契約に基づいて、Contract証明書（CONTRACT A）を発行される。Contract証明書（CONTRACT A）は、充電設備５０２を介して電動車５０１の不揮発性メモリのスロットＳＬ１にインストールされる（Ｓ５３１）。図６の例においても、図３の例と同様、例えば、ユーザＢが、ＭＯとの契約に基づいて、Contract証明書（CONTRACT B）を発行されると仮定する。また、ユーザＢは、Contract証明書（CONTRACT B）を電動車１の不揮発性メモリにインストールすることを望むとする。
【0031】
図６の例では、ユーザＡのContract証明書（CONTRACT A）がすでに電動車５０１の不揮
発性メモリのスロットＳＬ１にインストールされている。すなわち、ユーザＢがContract証明書（CONTRACT B）を電動車１の不揮発性メモリにインストールするとき、既存のContract証明書（CONTRACT A）が存在する。すると、電動車１において、Contract証明書を管理するシステムが、ユーザＢのContract証明書（CONTRACT B）のインストール処理を起動しないか、中断させてしまうことが想定される。このような場合には、最初にContract証明書（CONTRACT A）の電動車５０１へのインストールを受けたユーザＡ以外のユーザが、Contract証明書を電動車５０１にインストールできない場合が生じる得る。以上のような問題は、ＩＳＯ１５１１８－２において、車両ごとのContract証明書の所持数が１つしか想定されていないことに起因する。そこで、図３から図６のような問題を解決するための電動車１の実施の形態が以下に例示される。
発性メモリのスロットＳＬ１にインストールされている。すなわち、ユーザＢがContract証明書（CONTRACT B）を電動車１の不揮発性メモリにインストールするとき、既存のContract証明書（CONTRACT A）が存在する。すると、電動車１において、Contract証明書を管理するシステムが、ユーザＢのContract証明書（CONTRACT B）のインストール処理を起動しないか、中断させてしまうことが想定される。このような場合には、最初にContract証明書（CONTRACT A）の電動車５０１へのインストールを受けたユーザＡ以外のユーザが、Contract証明書を電動車５０１にインストールできない場合が生じる得る。以上のような問題は、ＩＳＯ１５１１８－２において、車両ごとのContract証明書の所持数が１つしか想定されていないことに起因する。そこで、図３から図６のような問題を解決するための電動車１の実施の形態が以下に例示される。
【0032】
（実施の形態の構成）
図７は、本充電システムのハードウェアの構成を例示する図である。上述のように、本充電システムは、電動車１と、電動車１に搭載されたバッテリ１９を充電する充電設備２と、サーバ５、６によって例示される。電動車１は、充電制御装置１０と、充電制御装置１０によって制御されるバッテリ１９とを有している。
図７は、本充電システムのハードウェアの構成を例示する図である。上述のように、本充電システムは、電動車１と、電動車１に搭載されたバッテリ１９を充電する充電設備２と、サーバ５、６によって例示される。電動車１は、充電制御装置１０と、充電制御装置１０によって制御されるバッテリ１９とを有している。
【0033】
充電制御装置１０は、ＣＰＵ１１と、主記憶部１２と、外部インターフェース（Ｉ／Ｆ）に接続される外部機器を有し、プログラムにより情報処理を実行する。外部機器としては、外部記憶部１３、外部通信部１６Ａ、通信部１６Ｂが例示される。ＣＰＵ１１と主記憶部１２を合わせて制御部またはコントローラということができる。充電制御装置１０が電動車１等の車両に搭載される場合には、制御部は、Electronic Control Unit（ＥＣＵ
）とも呼ばれる。
）とも呼ばれる。
【0034】
ＣＰＵ１１は、主記憶部１２に実行可能に展開されたコンピュータプログラムを実行し、充電制御装置１０の機能を提供する。主記憶部１２は、単にメモリとも呼ばれ、ＣＰＵ１１が実行するコンピュータプログラム、ＣＰＵ１１が処理するデータ等を記憶する。ＣＰＵ１１はプロセッサとも呼ばれる。
【0035】
主記憶部１２は、Dynamic Random Access Memory（ＤＲＡＭ）、Static Random Access
Memory（ＳＲＡＭ）、Read Only Memory（ＲＯＭ）等である。さらに、外部記憶部１３
は、例えば、主記憶部１２を補助する記憶領域として使用され、ＣＰＵ１１が実行するコンピュータプログラム、ＣＰＵ１１が処理するデータ等を記憶する。外部記憶部１３は、ハードディスクドライブ、Solid State Drive（ＳＳＤ）等である。
Memory（ＳＲＡＭ）、Read Only Memory（ＲＯＭ）等である。さらに、外部記憶部１３
は、例えば、主記憶部１２を補助する記憶領域として使用され、ＣＰＵ１１が実行するコンピュータプログラム、ＣＰＵ１１が処理するデータ等を記憶する。外部記憶部１３は、ハードディスクドライブ、Solid State Drive（ＳＳＤ）等である。
【0036】
外部通信部１６Ａは、公衆ネットワーク上の他の装置とデータを授受する。例えば、ＣＰＵ１１は、外部通信部１６Ａを通じて公衆ネットワーク上の事業者のコンピュータと通信する。外部通信部１６Ａは、携帯電話網にアクセスする無線通信装置であってもよい。また、外部通信部１６Ａは、無線ＬＡＮ(Local Area Network)にアクセスする通信装置であってもよい。外部通信部１６Ａは、例えば、ＴＣＵ（Telematics Control Unit）と呼
ばれるものである。外部通信部１６Ａは、内部にＣＰＵと、メモリと、入出力インターフェース、通信インターフェース等を有してもよい。
ばれるものである。外部通信部１６Ａは、内部にＣＰＵと、メモリと、入出力インターフェース、通信インターフェース等を有してもよい。
【0037】
通信部１６Ｂは、通信部２６Ｂと信号を送受信する。ここで、通信部１６Ｂは、充電設備２とPower Line Communications（ＰＬＣ）を実行してもよい。本実施の形態で、ＰＬ
Ｃは、充電設備２の電源回路２９から電力供給を受ける電力線を介して通信するものに限定される訳ではない。すなわち、通信部１６Ｂは、電力線以外の通信線を介して充電設備２とＰＬＣ類似の通信手順を実行するものでもよい。また無線ＬＡＮ(Local Area Network)やイーサネット等を用いてもよい。なお、通信部１６Ｂは内部にＣＰＵと、メモリと、入出力インターフェース、通信インターフェース等を有してもよい。このように、本実施
の形態では、充電制御装置１０は、外部通信部１６Ａまたは通信部１６Ｂにより、充電設備２と通信し、充電の要求および課金処理を実行する。
Ｃは、充電設備２の電源回路２９から電力供給を受ける電力線を介して通信するものに限定される訳ではない。すなわち、通信部１６Ｂは、電力線以外の通信線を介して充電設備２とＰＬＣ類似の通信手順を実行するものでもよい。また無線ＬＡＮ(Local Area Network)やイーサネット等を用いてもよい。なお、通信部１６Ｂは内部にＣＰＵと、メモリと、入出力インターフェース、通信インターフェース等を有してもよい。このように、本実施
の形態では、充電制御装置１０は、外部通信部１６Ａまたは通信部１６Ｂにより、充電設備２と通信し、充電の要求および課金処理を実行する。
【0038】
また、充電制御装置１０は、さらに、表示部、操作部を有してもよい。表示部は、例えば、液晶ディスプレイ、エレクトロルミネッセンスパネル等である。操作部は、例えば、キーボード、ポインティングデバイス、操作ボタン等である。ポインティングデバイスは、表示部の画面に設けられたタッチセンサ等のタッチパネルを含む。また、操作部は、ユーザのモバイル端末、スマートフォンを介して充電制御装置１０と情報を授受するものでもよい。
【0039】
充電設備２の構成は、電動車１の充電制御装置１０と同様である。充電設備２は、ＣＰＵ２１と、主記憶部２２と、外部インターフェース（Ｉ／Ｆ）に接続される外部機器を有し、プログラムにより情報処理を実行する。外部機器としては、外部記憶部２３、外部通信部２６Ａおよび通信部２６Ｂが例示される。充電設備２のこれらの構成は、電動車１の充電制御装置１０と同様であるので、その説明を省略する。
【0040】
電動車１の充電制御装置１０と充電設備２は、電源回路２９のプラグ２Ｂ（図１参照）がバッテリ１９を充電する電力回路に接続されると、例えば、通信部１６Ｂ、２６Ｂによって相互に通信し、ＴＬＳ認証およびＶ２Ｇ通信を実行する。電動車１の充電制御装置１０と充電設備２は、ＴＬＳ認証およびＶ２Ｇ通信により、相互に認証し、電動車１のバッテリ１９への充電と、充電に対する課金処理を実行する。ただし、電動車１の充電制御装置１０と充電設備２は、電源回路２９のプラグ２Ｂがバッテリ１９を充電する電力回路に接続されると、外部通信部１６Ａ、２６Ａを介して通信するようにしてもよい。
【0041】
サーバ５、６は通常のコンピュータであり、ＣＰＵ１１、主記憶部１２、外部記憶部１３、外部通信部１６Ａと同様の構成をする。サーバ５、６は、ネットワークＮ１により電動車１に搭載された充電制御装置１０と通信する。ネットワークＮ１は、例えば、携帯網等の無線通信網を含む公衆ネットワークである。ネットワークＮ１は、インターネットに接続されるものでもよい。また、ネットワークＮ１は、Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ
Ｎｅｔｗｏｒｋ（ＶＰＮ）等の特定の関係者が利用できる専用ネットワークを含むものでもよい。サーバ５、６は、ユーザ識別情報（ＵＩＤ）とともに、ユーザに対する課金を可能にする課金情報等を記憶する。
Ｎｅｔｗｏｒｋ（ＶＰＮ）等の特定の関係者が利用できる専用ネットワークを含むものでもよい。サーバ５、６は、ユーザ識別情報（ＵＩＤ）とともに、ユーザに対する課金を可能にする課金情報等を記憶する。
【0042】
図８は、一例として、電動車１が複数のユーザに使用される場合に、電動車１に搭載された充電制御装置１０（図７参照）の処理を実施する構成要素を例示する図である。充電制御装置１０は、上述の通り、例えば、車載のコンピュータであり、充電設備２からの充電の制御、充電に必要なContract証明書の管理等を実行する。図８では、Contract証明書をインストールするＯＥＭのサーバ６および電動車１に給電する充電設備２も併せて記載されている。充電制御装置１０は、主記憶部１２（図７参照）に実行可能に展開されたコンピュータプログラムにより、図８の各構成要素の処理を実現する。充電制御装置１０は、その構成要素として、ユーザ識別部１０１、証明書選択部１０２、通信部１０３、鍵管理部１０４および証明書保管部１０５を有する。本実施の形態では、充電制御装置１０は、これらの構成要素により、以下の要領で複数のContract証明書を電動車１内に保持する。そして、図８の充電制御装置１０は、一例として複数のユーザそれぞれが単一の電動車１を共同または分担して利用する場合に、電動車１への充電を実現する。
【0043】
ユーザ識別部１０１は、取得装置の一例であり、電動車１を使用しているユーザを識別する。ユーザ識別部１０１は、例えば、電動車１に搭載された指紋認証装置、カメラ等を含む顔認証装置、車載器またはナビゲーション装置等に例示される情報入力装置等である。ここで、情報入力装置は、ユーザを識別するための文字列の識別情報、パスワードまた
はその両方を入力するための装置である。すなわち、ユーザ識別部１０１は、電動車１が充電されるときの現在のユーザ（運転者等）を識別し、ユーザを識別するユーザ識別情報（ＵＩＤ）を証明書選択部１０２に引き渡す。ここで、ユーザ識別情報（ＵＩＤ）は、例えば、ユーザから取得された指紋の画像から得られるハッシュ値、ユーザの顔の画像から得られるハッシュ値、文字列の識別情報とパスワードそのものである。ただし、ユーザ識別情報（ＵＩＤ）が文字列の識別情報とパスワードから得られるハッシュ値であってもよい。
はその両方を入力するための装置である。すなわち、ユーザ識別部１０１は、電動車１が充電されるときの現在のユーザ（運転者等）を識別し、ユーザを識別するユーザ識別情報（ＵＩＤ）を証明書選択部１０２に引き渡す。ここで、ユーザ識別情報（ＵＩＤ）は、例えば、ユーザから取得された指紋の画像から得られるハッシュ値、ユーザの顔の画像から得られるハッシュ値、文字列の識別情報とパスワードそのものである。ただし、ユーザ識別情報（ＵＩＤ）が文字列の識別情報とパスワードから得られるハッシュ値であってもよい。
【0044】
証明書選択部１０２は、ユーザ識別部１０１から引き渡されるユーザ識別情報（ＵＩＤ）により、該当するContract証明書を証明書保管部１０５から検索し、該当するContract証明書を選択する。証明書保管部１０５は、例えば、セキュアメモリと呼ばれる、保護機能を有するメモリである。セキュアメモリは、例えば、特定のマイクロコンローラまたはマイクロコンピュータ（以下、マイコン）と連携して動作する。本実施の形態では、ユーザ識別部１０１がマイコンとして証明書保管部１０５にアクセスする。セキュアメモリは、例えば、このマイコンによる特定のプログラムの処理以外での特定のアドレスへのアクセスを不正アクセスとして検知する。そして、セキュアメモリは、不正アクセスを検知すると、マイコンをリセットし、当該アクセスを抑止する。
【0045】
証明書保管部１０５は、ユーザ識別情報（ＵＩＤ）と、Contract証明書の識別情報（ｅ－Ｍｏｂｉｌｉｔｙ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ（ＥＭＡＩＤ））とを対応づけて記憶している。また、証明書保管部１０５は、ＥＭＡＩＤに対応するContract証明書を記憶している。さらに、本実施の形態では、証明書保管部１０５は、ユーザ識別情報（ＵＩＤ）に対応するContract証明書が複数種類存在する場合には、複数種類のContract証明書の優先度（ＥＭＡＩＤ優先度という）を記憶している。したがって、証明書選択部１０２は、ユーザ識別情報（ＵＩＤ）を証明書保管部１０５に入力することで、ＥＭＡＩＤ優先度で最優先されるＥＭＡＩＤを決定し、最優先されるＥＭＡＩＤに対応するContract証明書を取得する。このとき、証明書選択部１０２は、Contract証明書と整合する秘密鍵識別子を鍵管理部１０４に送る。以上の手順で、証明書選択部１０２は、ユーザ識別情報（ＵＩＤ）に対応する複数のContract証明書のうち、最優先される該当のContract証明書を証明書保管部１０５より取得し、一時バッファ１２Ｃ（図９参照）に保持する。そして、証明書選択部１０２は、取得したContract証明書を通信部１０３に引き渡す。ユーザ識別情報（ＵＩＤ）に対応するContract証明書は、識別したユーザに対応する証明書情報の一例である。証明書保管部１０５は、メモリ、例えば、図５の主記憶部１２または外部記憶部１３に構築されてもよい。
【0046】
通信部１０３は、無線通信または有線通信で充電設備２と通信する。通信部１０３は、外部通信部１６Ａにより充電設備２と通信するものでもよい。また、通信部１０３は、通信部１６Ｂにより、充電設備２と通信するものでもよい。通信部１０３は、証明書選択部１０２から引き渡されたContract証明書を認証要求1により充電設備２に送信する。通信
部１０３は、認証要求1に対する応答として認証応答1を充電設備２から受信する。
部１０３は、認証要求1に対する応答として認証応答1を充電設備２から受信する。
【0047】
鍵管理部１０４は、ＰｎＣで使用される鍵を管理し、種々の証明処理を実行する。上述のように、鍵管理部１０４は、ユーザ識別情報（ＵＩＤ）を基に取得されるContract証明書と整合する秘密鍵を有する。鍵管理部１０４は、認証応答１で受信したデータに、当該Contract証明書と整合する秘密鍵で署名する。秘密鍵で署名されたデータは、通信部１０３を介して、充電設備２に送信される。充電設備２は、Contract証明書と整合する秘密鍵で署名されたデータにより、ユーザを認証する。以上の手順で、ユーザ識別情報（ＵＩＤ）を基に取得されるContract証明書と秘密鍵により、認証が実行され、ＰｎＣによる充電が実施される。
【0048】
なお、証明書選択部１０２は、証明書保管部１０５において、ＥＭＡＩＤ優先度で最優先されるＥＭＡＩＤに該当するContract証明書が見つからない場合には、サーバ５への問い合わせによりContract証明書のインストールを試行する。そして、証明書選択部１０２は、Contract証明書のインストールが完了すると、ユーザ識別情報（ＵＩＤ）と、Contract証明書の識別情報（ＥＭＡＩＤ）とを対応づけて、最優先のＥＭＡＩＤ優先度とし、証明書保管部１０５に記憶する。したがって、以降、証明書選択部１０２は、ユーザ識別情報（ＵＩＤ）とＥＭＡＩＤ優先度に基づいて、最優先されるContract証明書の識別情報（ＥＭＡＩＤ）を特定できる。その結果、証明書選択部１０２は、ユーザ識別情報（ＵＩＤ）に対応する、ＥＭＡＩＤ優先度に基づいて最優先されるContract証明書と秘密鍵（および秘密鍵で署名されたデータ）を証明書保管部１０５から取得できる。
【0049】
また、証明書選択部１０２は、充電設備２からContract証明書をインストールするためにＯＥＭＰｒｏｖｉｓｉｏｎｉｎｇ証明書を充電設備２（またはＭＯのサーバ５）に引き渡す。そして、証明書選択部１０２は、車両ごとに固有のＯＥＭＰｒｏｖｉｓｉｏｎｉｎｇ証明書の発行を受け、証明書保管部１０５で保管する。
【0050】
以上のように、図８は、電動車１が複数のユーザに使用される場合に、電動車１に搭載された充電制御装置１０の処理を実施する構成要素を例示する。しかし、図８のユーザ識別部１０１、証明書選択部１０２、および証明書保管部１０５が充電制御装置１０以外の装置にあってもよい。例えば、ユーザ識別部１０１、証明書選択部１０２、および証明書保管部１０５は、例えば、図３乃至図６に例示したＯＥＭのサーバ６にあってもよい。ユーザが電動車１の充電処理を起動すると、充電制御装置１０がＯＥＭのサーバ６にアクセスし、サーバ６が図８と同様の手順でユーザ認証と、ユーザ識別情報（ＵＩＤ）に対応するＥＭＡＩＤ優先度の特定を実行してもよい。
【0051】
また、サーバ５に同等のＥＭＡＩＤ優先度情報をもち、サーバ６から直接またはサーバ５を介して、サーバ５のＥＭＡＩＤ優先度と充電制御装置１０のもつＥＭＡＩＤ優先度を連動させてもよい。
【0052】
また、電動車１が複数のユーザに使用されない場合、すなわち、電動車１が単一のユーザによって使用される場合には、ユーザ識別部１０１は、なくてもよい。電動車１が単一のユーザによって使用される場合も、証明書保管部１０５は、複数種類のContract証明書の優先度（ＥＭＡＩＤ優先度という）を記憶する。この場合には、証明書選択部１０２は、証明書保管部１０５から当該ユーザのＥＭＡＩＤ優先度をそのまま読み出し、最優先されるＥＭＡＩＤを決定し、最優先されるＥＭＡＩＤに対応するContract証明書を取得すればよい。このように、充電制御装置１０は、単独のユーザによる電動車１の使用の場合も、単独のユーザが複数のContract証明書を使い分けて電動車１へ充電することを支援する。
【0053】
図９は、充電制御装置１０が複数のContract証明書を扱う方法を例示する図である。図９の手順により、充電制御装置１０は、Contract証明書の更新および新規追加時にどの証明書を更新するべきなのかという課題を解決する。図９は、充電制御装置１０によって処理される主記憶部１２に保持されるデータの関係を例示する。主記憶部１２は、例えば、不揮発性メモリ１２Ａと、揮発性メモリ１２Ｂと、一時バッファ１２Ｃを有している。なお、不揮発性メモリ１２Ａは、図７の外部記憶部１３にあってもよい。すでに述べたように、不揮発性メモリ１２Ａは、セキュアメモリの一部であってもよい。
【0054】
揮発性メモリ１２Ｂおよび一時バッファ１２Ｃは、セキュアメモリである不揮発性メモリ１２Ａ外に設けられる。揮発性メモリ１２Ｂは、例えば、充電制御装置１０のＣＰＵ１１のアドレス空間にあり、充電制御装置１０によって直接アクセス可能なメモリである。
一時バッファ１２Ｃは、充電制御装置１０にレジスタまたはキャッシュとしての機能を提供する。
一時バッファ１２Ｃは、充電制御装置１０にレジスタまたはキャッシュとしての機能を提供する。
【0055】
充電制御装置１０が複数のユーザによる電動車１の使用を許容するシステムにおいては、不揮発性メモリ１２Ａには、ユーザ識別情報（ＵＩＤ）に対応付けたＥＭＡＩＤ優先度、および、ユーザ識別情報（ＵＩＤ）に対応付けたContract証明書が記憶されている。充電設備２との充電処理においては、充電制御装置１０は、ユーザ識別情報（ＵＩＤ）を基に、不揮発性メモリ１２ＡからＥＭＡＩＤ優先度と、Contract証明書ＡのＥＭＡＩＤを揮発性メモリ１２Ｂに読み出す（Ｒ１、Ｒ２）。そして、充電制御装置１０は、読み出したＥＭＡＩＤ優先度で指定されるＥＭＡＩＤと、Contract証明書Ａを識別するＥＭＡＩＤとを比較し、２つのＥＭＡＩＤが整合するか否かを判定する。２つのＥＭＡＩＤが整合する場合、充電制御装置１０は、読み出したContract証明書Ａを一時バッファ１２Ｃに保持する（Ｒ３）。そして、充電制御装置１０は、充電セッション中で、読み出したContract証明書Ａを使用し、充電設備２とのＰｎＣにしたがった手順を実行する。
【0056】
ただし、充電制御装置１０が複数のユーザによる電動車１の使用を許容しないシステムにおいては、不揮発性メモリ１２Ａには、当該ユーザのＥＭＡＩＤ優先度が記憶されている。このようなシステムでは、ユーザは単独であるので、ユーザ識別情報（ＵＩＤ）に対応付けてＥＭＡＩＤ優先度を記憶する必要はない。この場合には、充電設備２との充電処理においては、充電制御装置１０は、不揮発性メモリ１２Ａから、当該ユーザのＥＭＡＩＤ優先度と、Contract証明書ＡのＥＭＡＩＤを揮発性メモリ１２Ｂに読み出せばよい（Ｒ１、Ｒ２）。そして、充電制御装置１０は、読み出したＥＭＡＩＤ優先度で指定されるＥＭＡＩＤと、Contract証明書Ａを識別するＥＭＡＩＤとを比較し、２つのＥＭＡＩＤが整合するか否かを判定すればよい。
【0057】
なお、図９において、読み出したＥＭＡＩＤ優先度で指定されるＥＭＡＩＤと、Contract証明書を識別するＥＭＡＩＤとの比較の結果、２つのＥＭＡＩＤが整合しない場合、充電制御装置１０は、充電設備２を介してＭＯのサーバ５（またはＯＥＭのサーバ６等）に、新規のContract証明書のインストールを求める。
【0058】
図１０は、不揮発性メモリ１２Ａに保存されたＥＭＡＩＤ優先度を例示する図である。図１０（Ａ）は、電動車１が単一のユーザに使用され、単一のユーザが複数のＥＭＡＩＤに対応するContract証明書を使用する場合を例示する。このような場合、充電制御装置１０は、優先度順に、ＥＭＡＩＤを不揮発性メモリ１２Ａに保存する。例えば、優先度ＮＯ．１のContract証明書は、ＥＭＡＩＤＡで識別される証明書であり、優先度ＮＯ．２のContract証明書は、ＥＭＡＩＤＢで識別される証明書である。
【0059】
図１０（Ｂ）は、電動車１が複数のユーザに使用され、複数のユーザがそれぞれ１以上のＥＭＡＩＤに対応するContract証明書を使用する場合を例示する。このような場合、充電制御装置１０は、ユーザごとに、優先度順にＥＭＡＩＤを不揮発性メモリ１２Ａに保存する。例えば、ユーザ識別情報がＵＩＤ１のユーザについては、優先度ＮＯ．１のContract証明書は、ＥＭＡＩＤＡで識別される証明書であり、優先度ＮＯ．２のContract証明書は、ＥＭＡＩＤＢで識別される証明書である。また、例えば、ユーザ識別情報がＵＩＤ２のユーザについては、優先度ＮＯ．１のContract証明書は、ＥＭＡＩＤＰで識別される証明書であり、優先度ＮＯ．２のContract証明書は、ＥＭＡＩＤＱで識別される証明書である。図１０では、優先度ＮＯ．３以下が省略されるが、ＮＯ．２までと同様に、優先度ＮＯ．３以降のＥＭＡＩＤが順次記憶されればよい。ここで、優先度ＮＯ．２以降のContract証明書は、例えば、優先度が上位のContract証明書が使用できない場合、あるいは、優先度が上位のContract証明書がインストールできない場合などに使用されればよい。
【0060】
（処理手順）
図１１から図１３は、本実施の形態におけるContract証明書の管理手順を例示するシーケンス図である。図１１から図１３では、複数のユーザが電動車１を使用する場合の処理が例示される。図１１と図１２とは、記号Ａ１、Ｂ１、Ｂ２、Ｃ１およびＤ１で接続される。また、図１３は、図１２のＳ２２の詳細を例示する。図１１から図１３のシーケンス図の処理は、ＯＥＭのサーバ６、電動車１の充電制御装置１０、充電設備２およびＭＯのサーバ５の間で実行される。
図１１から図１３は、本実施の形態におけるContract証明書の管理手順を例示するシーケンス図である。図１１から図１３では、複数のユーザが電動車１を使用する場合の処理が例示される。図１１と図１２とは、記号Ａ１、Ｂ１、Ｂ２、Ｃ１およびＤ１で接続される。また、図１３は、図１２のＳ２２の詳細を例示する。図１１から図１３のシーケンス図の処理は、ＯＥＭのサーバ６、電動車１の充電制御装置１０、充電設備２およびＭＯのサーバ５の間で実行される。
【0061】
この処理では、まず、ユーザがユーザ装置を用いてＥＭＡＩＤ優先度をＯＥＭのサーバ６等に登録する。ユーザ装置は、例えば、スマートフォン等のモバイル端末、パーソナルコンピュータ、電動車１に搭載されたコンピュータ等である。ユーザ装置は、ユーザ操作に応じて、ユーザ識別情報（ＵＩＤ）に対応づけてＥＭＡＩＤ優先度の登録を受け付ける（Ｓ１）。ＯＥＭのサーバ６は、ＥＭＡＩＤ優先度の登録をユーザ装置から受け付けると、自身のメモリにユーザ識別情報（ＵＩＤ）とＥＭＡＩＤ優先度とを保存する。さらに、ＯＥＭのサーバ６は、受け付けたユーザ識別情報（ＵＩＤ）とＥＭＡＩＤ優先度とを充電制御装置１０に確認のため通知する（Ｓ２）。また、ＯＥＭのサーバ６は、受け付けたユーザ識別情報（ＵＩＤ）とＥＭＡＩＤ優先度とをＭＯのサーバ５に通知する（Ｓ３）。そして、充電制御装置１０は、ＯＥＭのサーバ６に登録されたユーザ識別情報（ＵＩＤ）とＥＭＡＩＤ優先度とを対応付けて主記憶部１２の不揮発性メモリに保存する（Ｓ４）。なお、すでに図１０（Ａ）で述べたように、単独のユーザが電動車１を使用するシステムでは、充電制御装置１０は、ユーザ識別情報（ＵＩＤ）とＥＭＡＩＤ優先度とを対応付ける必要はない。すなわち、充電制御装置１０は、ＥＭＡＩＤ優先度を主記憶部１２の不揮発性メモリに保存すればよい。
【0062】
次に、ユーザの操作、例えば、図１のプラグ２Ｂの電動車１への装着により、充電制御装置１０は、充電設備２との接続を実行する（Ｓ５）。もしくは無線通信の場合、アクセスポイント等への接続であってもよい。Ｓ５の接続では、例えば、ＴＬＳのハンドシェークが実行される。また、Ｓ５の接続では、充電制御装置１０は、取得装置であるユーザ識別部１０１（図８参照）によって、電動車１の現在のユーザのユーザ識別情報（ＵＩＤ）を特定するとともに、ユーザ識別情報（ＵＩＤ）に対応する優先ＥＭＡＩＤを取得しておく。ここで、優先ＥＭＡＩＤは、図１０で例示されたＥＭＡＩＤ優先度の情報で、最優先されるＥＭＡＩＤである。充電制御装置１０がユーザ識別情報（ＵＩＤ）を取得する手順は、図９で述べた通りである。また、単独のユーザが電動車１を使用するシステムでは、充電制御装置１０は、Ｓ５の処理において、当該ユーザの優先ＥＭＡＩＤを取得すればよい。
【0063】
次に、充電制御装置１０は、不揮発性メモリから、すべてのContract証明書を読み出す（Ｓ６）。また、充電制御装置１０は、電動車１の現在のユーザの優先ＥＭＡＩＤで識別されるContract証明書の有無を確認する（Ｓ７）。
【0064】
そして、Ｓ６で読み出されContract証明書の中に、優先ＥＭＡＩＤで識別されるContract証明書が存在する場合、充電制御装置１０は、優先ＥＭＡＩＤで識別されるContract証明書を一時バッファ１２Ｃにコピーする（Ｓ８）。一方、Ｓ７の確認で、Contract証明書の中に、優先ＥＭＡＩＤで識別されるContract証明書が存在しない場合、充電制御装置１０は、図１２のＳ２２のCertificate Installation処理に進む。
【0065】
次に、図１２にしたがって処理が続行される。例えば、充電制御装置１０は、Ｓ７でありと判定した後、一時バッファ１２Ｃに有効なContract証明書があるか否かを判定する（Ｓ２１）。ここで、有効なContract証明書は、例えば、電動車１の現在のユーザのユーザ識別情報（ＵＩＤ）に対応する優先ＥＭＡＩＤで識別されるContract証明書であって、か
つ、有効期限が切れていないものである。
つ、有効期限が切れていないものである。
【0066】
一時バッファ１２Ｃに有効なContract証明書がない場合、充電制御装置１０は、Certificate Installation処理を実行する（Ｓ２２）。なお、Ｓ２２の処理は、図１１のＳ７
の確認の結果、Contract証明書の中に優先ＥＭＡＩＤで識別されるContract証明書が存在しない場合にも実行される。一方、Ｓ２１の判定で、一時バッファ１２Ｃに有効なContract証明書がある場合、充電制御装置１０は、Certificate Installation処理をスキップ
する（Ｓ２３）。
の確認の結果、Contract証明書の中に優先ＥＭＡＩＤで識別されるContract証明書が存在しない場合にも実行される。一方、Ｓ２１の判定で、一時バッファ１２Ｃに有効なContract証明書がある場合、充電制御装置１０は、Certificate Installation処理をスキップ
する（Ｓ２３）。
【0067】
そして、充電制御装置１０は、サービスの選択、支払い選択等の要求を充電設備２に送信し、充電設備２からその応答を受信する。そして、充電制御装置１０は、充電設備２においてContract証明書等の承認を受けて、例えば、ＰｎＣによる充電処理を実行する（Ｓ２４）。
【0068】
図１３は、図１２のCertificate Installation処理（図１２のＳ２２）の詳細を例示
するシーケンス図である。この処理では、充電制御装置１０は、メッセージCertificateInstallation.Reqを充電設備２に送信する（Ｓ２２１）。すると、充電設備２は、CertificateInstallation.ReqをＭＯのサーバ５に送信する（Ｓ２２２）。CertificateInstallation.Reqには、例えば、車両を識別する車両識別情報（ＰＣＩＤ）が指定される。すると
、ＭＯのサーバ５は、例えば図１１のＳ３で取得した情報から、Contract証明書を特定し、CertificateInstallation.Resとともに、充電設備２に返信する（Ｓ２２３）。さらに
、充電設備２は、返信されたContract証明書をCertificateInstallation.Resとともに充
電制御装置１０に返信する（Ｓ２２４）。なお、CertificateInstallation.Reqは、新規
な、あるいは改訂されたContract証明書を要求することができる。しかし、ＥＭＡＩＤを特定してContract証明書を要求することは、ＩＳＯ１５１１８の規格には規定されていない。また、ＭＯのサーバ５は、ＥＭＡＩＤで指定されたContract証明書を返信することは、ＩＳＯ１５１１８の規格において規定されていない。
するシーケンス図である。この処理では、充電制御装置１０は、メッセージCertificateInstallation.Reqを充電設備２に送信する（Ｓ２２１）。すると、充電設備２は、CertificateInstallation.ReqをＭＯのサーバ５に送信する（Ｓ２２２）。CertificateInstallation.Reqには、例えば、車両を識別する車両識別情報（ＰＣＩＤ）が指定される。すると
、ＭＯのサーバ５は、例えば図１１のＳ３で取得した情報から、Contract証明書を特定し、CertificateInstallation.Resとともに、充電設備２に返信する（Ｓ２２３）。さらに
、充電設備２は、返信されたContract証明書をCertificateInstallation.Resとともに充
電制御装置１０に返信する（Ｓ２２４）。なお、CertificateInstallation.Reqは、新規
な、あるいは改訂されたContract証明書を要求することができる。しかし、ＥＭＡＩＤを特定してContract証明書を要求することは、ＩＳＯ１５１１８の規格には規定されていない。また、ＭＯのサーバ５は、ＥＭＡＩＤで指定されたContract証明書を返信することは、ＩＳＯ１５１１８の規格において規定されていない。
【0069】
そこで、本実施の形態では、充電制御装置１０は、CertificateInstallation.Resとと
もに受信したContract証明書が所望のものであるか否かを判定する。まず、充電制御装置１０は、Ｓ２２４において受信したContract証明書と、すべてのデータが一致するContract証明書がすでに不揮発性メモリ１２Ａに保存されているか否かを判定する（Ｓ２２５）。ここで、すべてのデータが一致するとは、例えば、有効期限も含めて、受信したContract証明書と不揮発性メモリ１２Ａに保存されているContract証明書が一致することをいう。すなわち、充電制御装置１０は、受信したContract証明書が、不揮発性メモリ１２Ａに保存済みであるか否かを判定する（Ｓ２２５）。なお、Ｓ２２５の判定の仕方は、Ｓ２２４において受信したContract証明書と、すべてのデータが一致するか否かを判定することに限定されない。例えば、充電制御装置１０は、受信したContract証明書のハッシュ値と、不揮発性メモリ１２Ａに保存されているContract証明書のハッシュ値を比較してもよい。すなわち、充電制御装置１０は、ハッシュ値の一致の成否によって、Ｓ２２５の判定を行ってもよい。
もに受信したContract証明書が所望のものであるか否かを判定する。まず、充電制御装置１０は、Ｓ２２４において受信したContract証明書と、すべてのデータが一致するContract証明書がすでに不揮発性メモリ１２Ａに保存されているか否かを判定する（Ｓ２２５）。ここで、すべてのデータが一致するとは、例えば、有効期限も含めて、受信したContract証明書と不揮発性メモリ１２Ａに保存されているContract証明書が一致することをいう。すなわち、充電制御装置１０は、受信したContract証明書が、不揮発性メモリ１２Ａに保存済みであるか否かを判定する（Ｓ２２５）。なお、Ｓ２２５の判定の仕方は、Ｓ２２４において受信したContract証明書と、すべてのデータが一致するか否かを判定することに限定されない。例えば、充電制御装置１０は、受信したContract証明書のハッシュ値と、不揮発性メモリ１２Ａに保存されているContract証明書のハッシュ値を比較してもよい。すなわち、充電制御装置１０は、ハッシュ値の一致の成否によって、Ｓ２２５の判定を行ってもよい。
【0070】
Ｓ２２５の判定で、受信したContract証明書が、不揮発性メモリ１２Ａに保存済みのいずれかのContract証明書と全データにおいて一致する場合もしくは前記ハッシュ値が一致する場合には、充電制御装置１０は、不揮発性メモリを更新しない（Ｓ２２６）。すなわち、受信したContract証明書と同一のContract証明書が、すでに不揮発性メモリ１２Ａに保存済みである場合には、充電制御装置１０は、不揮発性メモリを更新しない。
【0071】
一方、Ｓ２２５の判定で、受信したContract証明書が、不揮発性メモリ１２Ａに保存済みでない場合には、充電制御装置１０は、受信したContract証明書のＥＭＡＩＤと一致す
るContract証明書が不揮発性メモリ１２Ａに保存済みであるか否かを判定する（Ｓ２２７）。Ｓ２２７で、受信したContract証明書のＥＭＡＩＤが、保存済みのContract証明書のＥＭＡＩＤと一致する場合には、受信したContract証明書は、同一のＥＭＡＩＤで識別される保存済みのContract証明書が改訂されたものであるといえる。
るContract証明書が不揮発性メモリ１２Ａに保存済みであるか否かを判定する（Ｓ２２７）。Ｓ２２７で、受信したContract証明書のＥＭＡＩＤが、保存済みのContract証明書のＥＭＡＩＤと一致する場合には、受信したContract証明書は、同一のＥＭＡＩＤで識別される保存済みのContract証明書が改訂されたものであるといえる。
【0072】
そこで、Ｓ２２７の判定で、受信したContract証明書のＥＭＡＩＤが、保存済みのContract証明書のＥＭＡＩＤと一致する場合には、充電制御装置１０は、保存済みのContract証明書を受信したContract証明書によって上書きする（Ｓ２２９）。すなわち、充電制御装置１０は、保存済みのContract証明書のスロットに対して、受信したContract証明書を上書きする。これによって、充電制御装置１０は、ＥＭＡＩＤで識別されるContract証明書を更新する。
【0073】
また、Ｓ２２７の判定で、受信したContract証明書のＥＭＡＩＤが、保存済みのContract証明書のＥＭＡＩＤと一致しない場合には、充電制御装置１０は、受信したContract証明書を不揮発性メモリの新規スロットに追加する（Ｓ２２８）。これによって、充電制御装置１０は、現在、電動車１を使用しているユーザのユーザ識別情報（ＵＩＤ）で特定される契約でのContract証明書を新規にインストールできる。
【0074】
（実施の形態の効果）
以上述べたように、本実施の形態によれば、充電制御装置１０は、証明書識別情報（ＥＭＡＩＤ）によってそれぞれ識別される複数のContract証明書を不揮発性メモリ１２Ａに記憶する。そして、充電制御装置１０は、充電設備２を利用するユーザのＥＭＡＩＤ優先度を不揮発性メモリ１２Ａに記憶する。そして、充電制御装置１０は、充電を行う際に、ユーザのＥＭＡＩＤ優先度によって優先されることが指定された証明書識別情報（ＥＭＡＩＤ）を特定する。そして、充電制御装置１０は、優先されることが指定された証明書識別情報（ＥＭＡＩＤ）に基づいて不揮発性メモリ１２ＡからユーザのContract証明書を読み出す。そして、充電制御装置１０は、優先されることが指定された証明書識別情報（ＥＭＡＩＤ）で特定されるContract証明書で有効なものが存在しない場合に、該当するContract証明書で新規なContract証明書を取得する。さらに、充電制御装置１０は、さらに取得したユーザの新規なContract証明書がすでに不揮発性メモリ１２Ａに記憶されているか否かを判定する。そして、取得したユーザの新規なContract証明書がすでに不揮発性メモリ１２Ａに記憶されている場合には、充電制御装置１０は、取得したContract証明書を不揮発性メモリ１２Ａの記憶先（スロット）に記憶しない。
以上述べたように、本実施の形態によれば、充電制御装置１０は、証明書識別情報（ＥＭＡＩＤ）によってそれぞれ識別される複数のContract証明書を不揮発性メモリ１２Ａに記憶する。そして、充電制御装置１０は、充電設備２を利用するユーザのＥＭＡＩＤ優先度を不揮発性メモリ１２Ａに記憶する。そして、充電制御装置１０は、充電を行う際に、ユーザのＥＭＡＩＤ優先度によって優先されることが指定された証明書識別情報（ＥＭＡＩＤ）を特定する。そして、充電制御装置１０は、優先されることが指定された証明書識別情報（ＥＭＡＩＤ）に基づいて不揮発性メモリ１２ＡからユーザのContract証明書を読み出す。そして、充電制御装置１０は、優先されることが指定された証明書識別情報（ＥＭＡＩＤ）で特定されるContract証明書で有効なものが存在しない場合に、該当するContract証明書で新規なContract証明書を取得する。さらに、充電制御装置１０は、さらに取得したユーザの新規なContract証明書がすでに不揮発性メモリ１２Ａに記憶されているか否かを判定する。そして、取得したユーザの新規なContract証明書がすでに不揮発性メモリ１２Ａに記憶されている場合には、充電制御装置１０は、取得したContract証明書を不揮発性メモリ１２Ａの記憶先（スロット）に記憶しない。
【0075】
このため、充電制御装置１０は、複数のユーザが同一の電動車１で、それぞれのユーザごとにContract証明書を利用する場合、複数のContract証明書間で、一方の証明書が他方の証明書によって上書きされることを抑止できる。また、同一のユーザによって、証明書識別情報（ＥＭＡＩＤ）で識別される同一のContract証明書が重複して不揮発性メモリ１２Ａの複数の記憶先（スロット）に記憶されてしまうことを抑止できる。また、充電制御装置１０は、単一のユーザが同一の電動車１で複数のContract証明書を利用する場合も、同様の問題を抑制できる。すなわち、充電制御装置１０は、単一のユーザにおいても、複数のContract証明書間での上書き、あるいは、証明書識別情報（ＥＭＡＩＤ）で識別される同一のContract証明書が重複して不揮発性メモリ１２Ａに記憶されてしまうことを抑止できる。したがって、不揮発性メモリ１２Ａにおいて、Contract証明書を記憶する記憶先である複数のスロットが、同一のContract証明書で占有されることが抑止できる。
【0076】
また、本実施の形態では、充電制御装置１０は、証明書識別情報（ＥＭＡＩＤ）によって識別される既存のContract証明書が不揮発性メモリ１２Ａに記憶されている場合には、新規なContract証明書を同一スロットに上書きする。ここで、同一スロットは、上述の通り、既存のContract証明書の記憶先である。このため、充電制御装置１０は、例えば、証
明書識別情報（ＥＭＡＩＤ）で識別される複数のContract証明書で、有効期限が経過したものが不揮発性メモリ１２Ａに残存することを抑止できる。
明書識別情報（ＥＭＡＩＤ）で識別される複数のContract証明書で、有効期限が経過したものが不揮発性メモリ１２Ａに残存することを抑止できる。
【0077】
また、本実施の形態では、充電制御装置１０は、同一の証明書識別情報（ＥＭＡＩＤ）によって識別される既存のContract証明書が不揮発性メモリ１２Ａに記憶されていない場合には、新規なContract証明書を不揮発性メモリ１２Ａ上の新規の記憶先（スロット）に記憶する。このため、充電制御装置１０は、証明書識別情報（ＥＭＡＩＤ）で識別される複数のContract証明書が重複することなく、新規なContract証明書を不揮発性メモリ１２Ａにインストールできる。
【0078】
また、本実施の形態では、充電制御装置１０は、ユーザ情報（ＵＩＤ）とＥＭＡＩＤ優先度との対応関係を主記憶部１２に記憶し、ユーザ情報を取得するユーザ識別部１０１から取得されたユーザ情報（ＵＩＤ）に基づき、ＥＭＡＩＤ優先度を特定する。したがって、充電制御装置１０は、複数のユーザが電動車１を使用する場合も、ユーザごとのＥＭＡＩＤ優先度にしたがって、複数のContract証明書を管理できる。
【0079】
＜変形例１＞
上記実施の形態では、図１１のＳ１からＳ４の処理に例示されるように、ユーザ装置とＯＥＭのサーバ６の処理によってユーザ識別情報（ＵＩＤ）とＥＭＡＩＤ優先度とが管理された。すなわち、ＯＥＭのサーバ６は、ユーザ装置でのユーザ操作に応じて、ユーザ識別情報（ＵＩＤ）に対応づけてＥＭＡＩＤ優先度の登録を受け付ける。ＯＥＭのサーバ６は、ＥＭＡＩＤ優先度の登録をユーザ装置から受け付けると、自身のメモリにユーザ識別情報（ＵＩＤ）とＥＭＡＩＤ優先度とを保存する。さらに、ＯＥＭのサーバ６は、受け付けたユーザ識別情報（ＵＩＤ）とＥＭＡＩＤ優先度とを充電制御装置１０に確認のため通知する。また、ＯＥＭのサーバ６は、受け付けたユーザ識別情報（ＵＩＤ）とＥＭＡＩＤ優先度とをＭＯのサーバ５に通知する。
上記実施の形態では、図１１のＳ１からＳ４の処理に例示されるように、ユーザ装置とＯＥＭのサーバ６の処理によってユーザ識別情報（ＵＩＤ）とＥＭＡＩＤ優先度とが管理された。すなわち、ＯＥＭのサーバ６は、ユーザ装置でのユーザ操作に応じて、ユーザ識別情報（ＵＩＤ）に対応づけてＥＭＡＩＤ優先度の登録を受け付ける。ＯＥＭのサーバ６は、ＥＭＡＩＤ優先度の登録をユーザ装置から受け付けると、自身のメモリにユーザ識別情報（ＵＩＤ）とＥＭＡＩＤ優先度とを保存する。さらに、ＯＥＭのサーバ６は、受け付けたユーザ識別情報（ＵＩＤ）とＥＭＡＩＤ優先度とを充電制御装置１０に確認のため通知する。また、ＯＥＭのサーバ６は、受け付けたユーザ識別情報（ＵＩＤ）とＥＭＡＩＤ優先度とをＭＯのサーバ５に通知する。
【0080】
しかし、このような処理に代えて、電動車１の充電制御装置１０がスタンドアロンで、ユーザ識別情報（ＵＩＤ）とＥＭＡＩＤ優先度とを管理してもよい。すなわち、図１１において、ユーザ装置によってＳ１の処理、ＯＥＭのサーバ６によってＳ２、Ｓ３の処理を実行する代わりに、ユーザが充電制御装置１０に接続される車載の操作部を介して、ユーザ識別情報（ＵＩＤ）とＥＭＡＩＤ優先度とを入力し、充電制御装置１０が入力されたユーザ識別情報（ＵＩＤ）とＥＭＡＩＤ優先度とを対応付けて主記憶部１２の不揮発メモリに保存すればよい（Ｓ４）。これによって、充電制御装置１０は、ＯＥＭのサーバ６との通信なしに、ＥＭＡＩＤ優先度を設定し、保存できる。また、単一のユーザが同一の電動車１で複数のContract証明書を利用する場合も、同様である。すなわち、ユーザが充電制御装置１０に接続される車載の操作部を介して、ＥＭＡＩＤ優先度を入力し、充電制御装置１０が入力されたＥＭＡＩＤ優先度を図１０（Ａ）の形式で主記憶部１２の不揮発メモリに保存すればよい。
【0081】
＜変形例２＞
図１４は、変形例２に係るContract証明書の管理手順を例示するシーケンス図である。上記実施の形態では、ユーザの操作、例えば、図１のプラグ２Ｂの電動車１への装着により、充電制御装置１０は、充電設備２との接続を実行する（上記Ｓ５）。この接続では、充電制御装置１０は、電動車１の現在のユーザのユーザ識別情報（ＵＩＤ）を特定するとともに、ユーザ識別情報（ＵＩＤ）に対応する優先ＥＭＡＩＤを取得しておく。充電制御装置１０がユーザ識別情報（ＵＩＤ）を取得する手順は、図９で述べた通りである。しかし、本実施の形態において、充電制御装置１０がこのような手順に限定される訳ではない。例えば、図１のプラグ２Ｂの電動車１への装着により、電動車１の車載の情報処理装置からＯＥＭのサーバ６への接続がなされ、ＯＥＭのサーバ６等の電動車１の外部の装置が
ユーザ認証を実行してもよい。例えば、サーバ６は、電動車１の現在のユーザのユーザ識別情報（ＵＩＤ）を特定し、ユーザ識別情報（ＵＩＤ）に対応する優先ＥＭＡＩＤを取得してもよい。
図１４は、変形例２に係るContract証明書の管理手順を例示するシーケンス図である。上記実施の形態では、ユーザの操作、例えば、図１のプラグ２Ｂの電動車１への装着により、充電制御装置１０は、充電設備２との接続を実行する（上記Ｓ５）。この接続では、充電制御装置１０は、電動車１の現在のユーザのユーザ識別情報（ＵＩＤ）を特定するとともに、ユーザ識別情報（ＵＩＤ）に対応する優先ＥＭＡＩＤを取得しておく。充電制御装置１０がユーザ識別情報（ＵＩＤ）を取得する手順は、図９で述べた通りである。しかし、本実施の形態において、充電制御装置１０がこのような手順に限定される訳ではない。例えば、図１のプラグ２Ｂの電動車１への装着により、電動車１の車載の情報処理装置からＯＥＭのサーバ６への接続がなされ、ＯＥＭのサーバ６等の電動車１の外部の装置が
ユーザ認証を実行してもよい。例えば、サーバ６は、電動車１の現在のユーザのユーザ識別情報（ＵＩＤ）を特定し、ユーザ識別情報（ＵＩＤ）に対応する優先ＥＭＡＩＤを取得してもよい。
【0082】
すなわち、図１４の処理でも、まず、ユーザがユーザ装置を用いてＥＭＡＩＤ優先度をＯＥＭのサーバ６等に登録する。ユーザ装置は、例えば、スマートフォン等のモバイル端末、パーソナルコンピュータ、電動車１に搭載されたコンピュータ等である。ユーザ装置は、ユーザ操作に応じて、ユーザ識別情報（ＵＩＤ）に対応づけてＥＭＡＩＤ優先度の登録を受け付ける（Ｓ１）。ＯＥＭのサーバ６は、ＥＭＡＩＤ優先度の登録をユーザ装置から受け付けると、自身のメモリにユーザ識別情報（ＵＩＤ）とＥＭＡＩＤ優先度とを記憶する（Ｓ１Ａ）。
【0083】
次に、ユーザの操作、例えば、図１のプラグ２Ｂの電動車１への装着により、充電制御装置１０は、充電設備２との接続を実行する（Ｓ１Ｂ）。そして、例えば、ＴＬＳのハンドシェークが実行される。このとき、さらに、電動車１の車載の情報処理装置からＯＥＭのサーバ６への接続がなされ、ユーザ認証を要求する（Ｓ１Ｃ）。ただし、Ｓ１Ｃの処理は、充電設備２がユーザからの操作を受け付けて実行してもよい。そして、ＯＥＭのサーバ６は、ユーザ識別情報（ＵＩＤ）を受け付け、認証処理を実行する。そして、ユーザ認証が成功すると、ＯＥＭのサーバ６は、ユーザ識別情報（ＵＩＤ）を特定できる。したがって、ＯＥＭのサーバ６は、例えば、特定されたユーザ識別情報（ＵＩＤ）に対応するＥＭＡＩＤ優先度を読み出し、充電制御装置１０に通知する（Ｓ２）。また、ＯＥＭのサーバ６は、特定されたユーザ識別情報（ＵＩＤ）とＥＭＡＩＤ優先度とをＭＯのサーバ５に通知する（Ｓ３）。
【0084】
次に、充電制御装置１０は、不揮発性メモリ（セキュアメモリ）から、すべてのContract証明書を読み出す（Ｓ６）。Ｓ６以降の手順は、図１１乃至図１３の場合と同様である。なお、Ｓ２、Ｓ３で、特定されたユーザ識別情報（ＵＩＤ）とＥＭＡＩＤ優先度とが、充電制御装置１０およびＭＯのサーバ５に通知され、情報が共有される。その結果、図１３で例示したCertificate Installation処理が実施される場合も、優先ＥＭＡＩＤに対
応するContract証明書が電動車１にインストールされる。
応するContract証明書が電動車１にインストールされる。
【0085】
以上述べたように、充電制御装置１０または充電設備２は、ＯＥＭのサーバ６への接続によって、柔軟かつ確実に、最新のＥＭＡＩＤ優先度を取得できる。変形例２によれば、ＥＭＡＩＤ優先度がＯＥＭのサーバ６等の外部サーバによって一元的に管理される。
【0086】
＜変形例３＞
図１５は、変形例３に係るContract証明書の管理手順を例示するシーケンス図である。上記実施の形態では、図１３のように、Ｓ２２７の判定で、受信したContract証明書のＥＭＡＩＤが、保存済みのContract証明書のＥＭＡＩＤと一致する場合には、充電制御装置１０は、保存済みのContract証明書を受信したContract証明書によって上書きする（図１３のＳ２２９）。これによって、充電制御装置１０は、ＥＭＡＩＤで識別されるContract証明書を更新する。また、Ｓ２２７の判定で、受信したContract証明書のＥＭＡＩＤが、保存済みのContract証明書のＥＭＡＩＤと一致しない場合には、充電制御装置１０は、受信したContract証明書を不揮発性メモリの新規スロットに追加する（図１３のＳ２２８）。これによって、充電制御装置１０は、現在、電動車１を使用しているユーザのユーザ識別情報（ＵＩＤ）で特定される契約でのContract証明書を新規にインストールできる。
図１５は、変形例３に係るContract証明書の管理手順を例示するシーケンス図である。上記実施の形態では、図１３のように、Ｓ２２７の判定で、受信したContract証明書のＥＭＡＩＤが、保存済みのContract証明書のＥＭＡＩＤと一致する場合には、充電制御装置１０は、保存済みのContract証明書を受信したContract証明書によって上書きする（図１３のＳ２２９）。これによって、充電制御装置１０は、ＥＭＡＩＤで識別されるContract証明書を更新する。また、Ｓ２２７の判定で、受信したContract証明書のＥＭＡＩＤが、保存済みのContract証明書のＥＭＡＩＤと一致しない場合には、充電制御装置１０は、受信したContract証明書を不揮発性メモリの新規スロットに追加する（図１３のＳ２２８）。これによって、充電制御装置１０は、現在、電動車１を使用しているユーザのユーザ識別情報（ＵＩＤ）で特定される契約でのContract証明書を新規にインストールできる。
【0087】
しかし、本実施の形態において、充電制御装置１０の処理がこのような手順に限定される訳ではない。例えば、受信したContract証明書のＥＭＡＩＤが、保存済のContract証明書のＥＭＡＩＤと一致する場合で、有効期限が更新されている場合でも、保存済みのCont
ract証明書の有効期限が切れておらず、有効である場合がある。本実施の形態では、充電制御装置１０は、保存済みのContract証明書の有効期限が切れるのを待って、保存済みのContract証明書を削除する。
ract証明書の有効期限が切れておらず、有効である場合がある。本実施の形態では、充電制御装置１０は、保存済みのContract証明書の有効期限が切れるのを待って、保存済みのContract証明書を削除する。
【0088】
すなわち、図１５のＳ２２７の判定で、受信したContract証明書のＥＭＡＩＤが、保存済み、すなわち既存Contract証明書のＥＭＡＩＤと一致する場合には、充電制御装置１０は、既存のContract証明書が有効か否かを判定する（Ｓ２２Ａ）。既存のContract証明書の有効期限が切れており、すでに無効である場合には、充電制御装置１０は、既存のContract証明書を受信したContract証明書によって上書きする（Ｓ２２Ｂ）。すなわち、充電制御装置１０は、既存のContract証明書のスロットに受信したContract証明書を上書きする。これによって、充電制御装置１０は、ＥＭＡＩＤで識別されるContract証明書を更新する。
【0089】
一方、既存のContract証明書の有効期限が切れておらず、有効である場合には、充電制御装置１０は、受信したContract証明書を不揮発性メモリ１２Ａの新規スロットに追加するとともに無効管理処理の起動を設定する（Ｓ２２Ｃ）。ここで、無効管理処理とは、既存のContract証明書の有効期限を監視し、有効期限が切れる等の理由で、既存のContract証明書が無効となった場合に、不揮発性メモリ１２ＡからContract証明書を削除する処理である。無効管理処理は、例えば、バックグランドプロセスとして実行されればよい。
【0090】
以上述べたように、変形例３によれば、保存済みのContract証明書の有効期限が切れておらず、有効である場合には、とりあえず、受信したContract証明書を不揮発性メモリ１２Ａの新規スロットに追加するとともに無効管理処理を起動する。このような処理によって、有効な既存のContract証明書を削除することなく、有効期限まで十分に活用できる。
【0091】
＜その他の変形例＞
上記実施の形態では、Contract証明書は、不揮発性メモリ１２Ａのスロットにインストールされた。しかし、充電制御装置１０の処理は、不揮発性メモリ１２ＡのスロットのContract証明書のインストールに限定される訳ではない。要するに、充電制御装置１０は、充電設備２を利用するユーザを識別するユーザ情識別情報（ＵＩＤ）とＥＭＡＩＤ優先度で有される証明書識別情報（ＥＭＡＩＤ）との対応関係を特定し、Contract証明書をインストールできればよい。したがって、Contract証明書は、揮発性メモリ１２Ｂ等にインストールされてもよい。
上記実施の形態では、Contract証明書は、不揮発性メモリ１２Ａのスロットにインストールされた。しかし、充電制御装置１０の処理は、不揮発性メモリ１２ＡのスロットのContract証明書のインストールに限定される訳ではない。要するに、充電制御装置１０は、充電設備２を利用するユーザを識別するユーザ情識別情報（ＵＩＤ）とＥＭＡＩＤ優先度で有される証明書識別情報（ＥＭＡＩＤ）との対応関係を特定し、Contract証明書をインストールできればよい。したがって、Contract証明書は、揮発性メモリ１２Ｂ等にインストールされてもよい。
【0092】
＜コンピュータが読み取り可能な記録媒体＞
コンピュータその他の機械、装置（以下、コンピュータ等）に上記いずれかの機能を実現させるプログラムをコンピュータ等が読み取り可能な記録媒体に記録することができる。そして、コンピュータ等に、この記録媒体のプログラムを読み込ませて実行させることにより、その機能を提供させることができる。
コンピュータその他の機械、装置（以下、コンピュータ等）に上記いずれかの機能を実現させるプログラムをコンピュータ等が読み取り可能な記録媒体に記録することができる。そして、コンピュータ等に、この記録媒体のプログラムを読み込ませて実行させることにより、その機能を提供させることができる。
【0093】
ここで、コンピュータ等が読み取り可能な記録媒体とは、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学的作用によって蓄積し、コンピュータ等から読み取ることができる記録媒体をいう。このような記録媒体のうちコンピュータ等から取り外し可能なものとしては、例えばフレキシブルディスク、光磁気ディスク、ＣＤ－ＲＯＭ、ＣＤ－Ｒ／Ｗ、ＤＶＤ、ブルーレイディスク、ＤＡＴ、８ｍｍテープ、フラッシュメモリなどのメモリカード等がある。また、コンピュータ等に固定された記録媒体としてハードディスク、ＲＯＭ（リードオンリーメモリ）等がある。さらに、ＳＳＤ（Solid State Drive）は、コンピュータ等から取り外し可能な記録媒体としても、コンピュータ
等に固定された記録媒体としても利用可能である。
等に固定された記録媒体としても利用可能である。
【0094】
＜その他＞
さらに、本実施の形態は、以下のような実施の態様（以下、付記という）を含む。
（付記１）
証明書を用いて充電設備との認証処理を行い、車両の充電を制御するコントローラを備える充電制御装置であって、
前記コントローラは、
証明書識別情報によってそれぞれ識別される複数の証明書をメモリに記憶し、
前記充電を行う際に、前記複数の証明書の中で優先的に使用される証明書を指定する優先度情報に基づいて前記メモリから前記車両のユーザの証明書を読み出すことと、
前記優先度情報に基づく前記ユーザの有効な証明書が存在しない場合に、前記ユーザの新規証明書を取得することと、
取得した前記新規証明書が前記メモリに記憶されていない場合に、前記新規証明書を前記メモリに記憶すること、を実行する
充電制御装置。
さらに、本実施の形態は、以下のような実施の態様（以下、付記という）を含む。
（付記１）
証明書を用いて充電設備との認証処理を行い、車両の充電を制御するコントローラを備える充電制御装置であって、
前記コントローラは、
証明書識別情報によってそれぞれ識別される複数の証明書をメモリに記憶し、
前記充電を行う際に、前記複数の証明書の中で優先的に使用される証明書を指定する優先度情報に基づいて前記メモリから前記車両のユーザの証明書を読み出すことと、
前記優先度情報に基づく前記ユーザの有効な証明書が存在しない場合に、前記ユーザの新規証明書を取得することと、
取得した前記新規証明書が前記メモリに記憶されていない場合に、前記新規証明書を前記メモリに記憶すること、を実行する
充電制御装置。
【0095】
（付記２）
前記優先度情報は、前記充電設備を利用するユーザを識別するユーザ情報に対応付けられ、前記ユーザ情報で特定されるユーザに対して優先的に使用される証明書を指定する付記１に記載の充電制御装置。
前記優先度情報は、前記充電設備を利用するユーザを識別するユーザ情報に対応付けられ、前記ユーザ情報で特定されるユーザに対して優先的に使用される証明書を指定する付記１に記載の充電制御装置。
【0096】
（付記３）
前記コントローラは、前記新規証明書を識別する証明書識別情報と同一の証明書識別情報によって識別される既存証明書が前記メモリに記憶されている場合には、前記新規証明書を前記既存証明書の記憶先に上書きして前記メモリに記憶する付記１または２に記載の充電制御装置。
前記コントローラは、前記新規証明書を識別する証明書識別情報と同一の証明書識別情報によって識別される既存証明書が前記メモリに記憶されている場合には、前記新規証明書を前記既存証明書の記憶先に上書きして前記メモリに記憶する付記１または２に記載の充電制御装置。
【0097】
（付記４）
前記コントローラは、前記新規証明書を識別する証明書識別情報と同一の証明書識別情報によって識別される既存証明書が前記メモリに記憶されていない場合には、前記新規証明書を前記メモリ上の新規の記憶先に記憶する付記１乃至３のいずれか１項に記載の充電制御装置。
前記コントローラは、前記新規証明書を識別する証明書識別情報と同一の証明書識別情報によって識別される既存証明書が前記メモリに記憶されていない場合には、前記新規証明書を前記メモリ上の新規の記憶先に記憶する付記１乃至３のいずれか１項に記載の充電制御装置。
【0098】
（付記５）
前記コントローラは、前記新規証明書を識別する証明書識別情報と同一の証明書識別情報によって識別される有効な既存証明書が前記メモリに記憶されている場合には、前記新規証明書を前記メモリ上の新規の記憶先に記憶し、さらに、前記既存証明書が無効となったことを検知した後に前記既存証明書を削除する付記１乃至４のいずれか１項に記載の充電制御装置。
前記コントローラは、前記新規証明書を識別する証明書識別情報と同一の証明書識別情報によって識別される有効な既存証明書が前記メモリに記憶されている場合には、前記新規証明書を前記メモリ上の新規の記憶先に記憶し、さらに、前記既存証明書が無効となったことを検知した後に前記既存証明書を削除する付記１乃至４のいずれか１項に記載の充電制御装置。
【0099】
（付記６）
前記コントローラは、前記ユーザ情報と前記優先度情報との対応関係を前記メモリに記憶し、前記ユーザ情報を取得する取得装置から取得された前記ユーザ情報に基づき、前記優先度情報を特定する付記２に記載の充電制御装置。
前記コントローラは、前記ユーザ情報と前記優先度情報との対応関係を前記メモリに記憶し、前記ユーザ情報を取得する取得装置から取得された前記ユーザ情報に基づき、前記優先度情報を特定する付記２に記載の充電制御装置。
【0100】
（付記７）
前記ユーザ情報と前記優先度情報との対応関係は、前記車両外の管理装置に管理され、前記ユーザのユーザ認証処理に基づき前記優先度情報が特定され、
前記コントローラは、前記管理装置での前記ユーザ認証処理の結果から、前記優先度情報を取得する付記２に記載の充電制御装置。
前記ユーザ情報と前記優先度情報との対応関係は、前記車両外の管理装置に管理され、前記ユーザのユーザ認証処理に基づき前記優先度情報が特定され、
前記コントローラは、前記管理装置での前記ユーザ認証処理の結果から、前記優先度情報を取得する付記２に記載の充電制御装置。
【0101】
（付記８）
証明書を用いて充電設備との認証処理を行い、車両の充電を制御するコンピュータが実行する充電制御方法であって、
前記コンピュータは、
証明書識別情報によってそれぞれ識別される複数の証明書をメモリに記憶し、
前記充電を行う際に、前記複数の証明書の中で優先的に使用される証明書を指定する優先度情報に基づいて前記メモリから前記車両のユーザの証明書を読み出すことと、
前記優先度情報に基づく前記ユーザの有効な証明書が存在しない場合に、前記ユーザの新規証明書を取得することと、
取得した前記新規証明書が前記メモリに記憶されていない場合に、前記新規証明書を前記メモリに記憶すること、を実行する
充電制御方法。
証明書を用いて充電設備との認証処理を行い、車両の充電を制御するコンピュータが実行する充電制御方法であって、
前記コンピュータは、
証明書識別情報によってそれぞれ識別される複数の証明書をメモリに記憶し、
前記充電を行う際に、前記複数の証明書の中で優先的に使用される証明書を指定する優先度情報に基づいて前記メモリから前記車両のユーザの証明書を読み出すことと、
前記優先度情報に基づく前記ユーザの有効な証明書が存在しない場合に、前記ユーザの新規証明書を取得することと、
取得した前記新規証明書が前記メモリに記憶されていない場合に、前記新規証明書を前記メモリに記憶すること、を実行する
充電制御方法。
【0102】
（付記９）
証明書を用いて充電設備との認証処理を行い、車両の充電を制御するコンピュータに、
証明書識別情報によってそれぞれ識別される複数の証明書をメモリに記憶し、
前記充電を行う際に、前記複数の証明書の中で優先的に使用される証明書を指定する優先度情報に基づいて前記メモリから前記車両のユーザの証明書を読み出すことと、
前記優先度情報に基づく前記ユーザの有効な証明書が存在しない場合に、前記ユーザの新規証明書を取得することと、
取得した前記新規証明書が前記メモリに記憶されていない場合に、前記新規証明書を前記メモリに記憶すること、を実行させるための
プログラム。
証明書を用いて充電設備との認証処理を行い、車両の充電を制御するコンピュータに、
証明書識別情報によってそれぞれ識別される複数の証明書をメモリに記憶し、
前記充電を行う際に、前記複数の証明書の中で優先的に使用される証明書を指定する優先度情報に基づいて前記メモリから前記車両のユーザの証明書を読み出すことと、
前記優先度情報に基づく前記ユーザの有効な証明書が存在しない場合に、前記ユーザの新規証明書を取得することと、
取得した前記新規証明書が前記メモリに記憶されていない場合に、前記新規証明書を前記メモリに記憶すること、を実行させるための
プログラム。
【符号の説明】
【0103】
１ 電動車
２ 充電設備
２Ｂ プラグ
５ サーバ
１０ 充電制御装置
１１、２１ ＣＰＵ
１２、２２ メモリ
１２Ａ 不揮発性メモリ
１２Ｂ 揮発性メモリ
１２Ｃ 一時バッファ
１３、２３ 外部記憶部
１６Ａ、２６Ａ 外部通信部
１６Ｂ、２６Ｂ 電力線通信部
１０１ ユーザ識別部
１０２ 証明書選択部
１０３ 通信部
１０４ 鍵管理部
１０５ 証明書保管部
２ 充電設備
２Ｂ プラグ
５ サーバ
１０ 充電制御装置
１１、２１ ＣＰＵ
１２、２２ メモリ
１２Ａ 不揮発性メモリ
１２Ｂ 揮発性メモリ
１２Ｃ 一時バッファ
１３、２３ 外部記憶部
１６Ａ、２６Ａ 外部通信部
１６Ｂ、２６Ｂ 電力線通信部
１０１ ユーザ識別部
１０２ 証明書選択部
１０３ 通信部
１０４ 鍵管理部
１０５ 証明書保管部
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】