特許 7683472 認証システム、サーバ、車載装置、認証方法および認証プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2025-05-19

(45)【発行日】2025-05-27

(54)【発明の名称】認証システム、サーバ、車載装置、認証方法および認証プログラム

(51)【国際特許分類】

   H04L 9/32 20060101AFI20250520BHJP

   B60R 16/02 20060101ALI20250520BHJP

   G06F 21/44 20130101ALI20250520BHJP

   G08G 1/09 20060101ALI20250520BHJP

【ＦＩ】

H04L9/32 200D

B60R16/02 660Z

G06F21/44

G08G1/09 F

H04L9/32 200B

【請求項の数】 14

(21)【出願番号】P 2021198535

(22)【出願日】2021-12-07

(65)【公開番号】P2023084379

(43)【公開日】2023-06-19

【審査請求日】2024-07-05

(73)【特許権者】

【識別番号】000004260

【氏名又は名称】株式会社デンソー

(74)【代理人】

【識別番号】110000578

【氏名又は名称】名古屋国際弁理士法人

(72)【発明者】

【氏名】小池 真一

【審査官】青木 重徳

(56)【参考文献】

【文献】国際公開第２０２１／２０２６０１（ＷＯ，Ａ１）

【文献】中国特許出願公開第１１３２５６８４５（ＣＮ，Ａ）

【文献】特開２０１８－１１６５４４（ＪＰ，Ａ）

【文献】特開２０２０－０８８８３６（ＪＰ，Ａ）

【文献】特開２０２０－０４８２０３（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ ９／３２

Ｂ６０Ｒ １６／０２

Ｇ０６Ｆ ２１／４４

Ｇ０８Ｇ １／０９

(57)【特許請求の範囲】

【請求項1】

複数の車両のそれぞれに搭載されて、搭載されている前記車両に関する車両データを送信するように構成された複数の車載装置（２）と、
複数の前記車両の外部に設置され、複数の前記車載装置との間でデータ通信を行うことによって複数の前記車載装置から前記車両データを取得するように構成されたサーバ（３）とを備え、
複数の前記車載装置の少なくとも１つへのアクセスを要求するアクセス要求に対する認証を行う認証システム（１）であって、
前記サーバは、
前記アクセス要求を行ったアクセス要求元が収集する対象となる少なくとも１つの前記車両データである少なくとも１つの収集対象データと、少なくとも１つの前記収集対象データのそれぞれについての少なくとも１つの収集条件とを規定し、前記収集条件が成立した場合に、前記収集条件に対応する前記収集対象データを前記サーバへ送信させるプログラムであるデータ収集プログラムを前記アクセス要求元から受信すると、前記アクセス要求元の種別に基づいて、前記収集対象データへのアクセスに関する第１セキュリティレベルを決定するように構成された第１セキュリティレベル決定部（Ｓ７０）と、
前記データ収集プログラムの前記プログラムに関連した値を、前記第１セキュリティレベルに応じて予め設定された第１暗号鍵で暗号化することによって、第１コード署名を生成するように構成された第１署名生成部（Ｓ８０，Ｓ９０）とを備え、
複数の前記車載装置は、
前記データ収集プログラムを前記サーバから受信すると、少なくとも１つの前記収集対象データの種別に基づき、前記収集対象データの種別のそれぞれについて、前記収集対象データへのアクセスに関する第２セキュリティレベルを決定するように構成された第２セキュリティレベル決定部（Ｓ２３０）と、
前記データ収集プログラムの前記プログラムに関連した値を、前記第２セキュリティレベルに応じて予め設定された第２暗号鍵で暗号化することによって、前記収集対象データの種別のそれぞれについて第２コード署名を生成するように構成された第２署名生成部（Ｓ４５０）と、
前記第１コード署名と前記第２コード署名とを用いて、前記収集対象データの種別のそれぞれについて、前記認証を行うように構成された認証部（Ｓ４２０，Ｓ４３０，Ｓ４６０，Ｓ４８０）と、
前記認証部による前記認証に成功した場合には、前記データ収集プログラムを実行することによる前記収集対象データの収集を許可し、前記認証に失敗した場合には、前記データ収集プログラムを実行することによる前記収集対象データの収集を禁止するように構成された実行制御部（Ｓ４９０，Ｓ５００）と
を備える認証システム。

【請求項2】

請求項１に記載の認証システムであって、
少なくとも１つの前記収集対象データは、複数の前記収集対象データであり、
前記実行制御部は、複数の前記収集対象データのうち、前記認証に成功したと判断された前記収集対象データの種別に対応する前記収集対象データの収集を許可するように構成される認証システム。

【請求項3】

請求項１に記載の認証システムであって、
少なくとも１つの前記収集対象データは、複数の前記収集対象データであり、
前記実行制御部は、前記認証に失敗したと判断された前記収集対象データの種別が存在する場合には、複数の前記収集対象データの全てについて前記収集対象データの収集を禁止するように構成される認証システム。

【請求項4】

請求項３に記載の認証システムであって、
前記第２署名生成部は、前記第２セキュリティレベル決定部で決定された前記第２セキュリティレベルの中から最もレベルが高い前記第２セキュリティレベルの前記第２暗号鍵で暗号化することによって、前記第２コード署名を生成するように構成される認証システム。

【請求項5】

請求項１～請求項４の何れか１項に記載の認証システムであって、
少なくとも１つの前記収集対象データは、複数の前記収集対象データであり、
前記データ収集プログラムの前記プログラムは、スクリプト言語を用いて、種別が同一の前記収集対象データ毎に分類されて記述されている認証システム。

【請求項6】

請求項１～請求項５の何れか１項に記載の認証システムであって、
前記サーバは、
前記データ収集プログラムと、前記収集対象データの種別を示すデータ種別情報と、前記第１コード署名とを含む配信パッケージを生成し、生成した前記配信パッケージを、前記アクセス要求の対象となる前記車両の前記車載装置へ送信するように構成されたパッケージ送信部（Ｓ１００，Ｓ１１０）を備える認証システム。

【請求項7】

請求項１～請求項６の何れか１項に記載の認証システムであって、
前記プログラムに関連した値は、前記プログラムのハッシュ値である認証システム。

【請求項8】

請求項１～請求項７の何れか１項に記載の認証システムであって、
前記認証に成功したと前記認証部が判断した場合に、前記車載装置を搭載する前記車両において前記データ収集プログラムを実行させるように構成された許可実行部（Ｓ６１０，Ｓ６２０）を備える認証システム。

【請求項9】

請求項１～請求項８の何れか１項に記載の認証システムであって、
前記認証に失敗したと前記認証部が判断した場合に、前記認証に失敗した旨を、前記車載装置を搭載する前記車両において報知するように構成された認証報知部（Ｓ７４０）を備える認証システム。

【請求項10】

複数の車両のそれぞれに搭載されて、搭載されている前記車両に関する車両データを送信するように構成された複数の車載装置（２）と、
複数の前記車両の外部に設置され、複数の前記車載装置との間でデータ通信を行うことによって複数の前記車載装置から前記車両データを取得するように構成されたサーバ（３）とを備え、
複数の前記車載装置の少なくとも１つへのアクセスを要求するアクセス要求に対する認証を行う認証システム（１）の前記サーバであって、
前記アクセス要求を行ったアクセス要求元が収集する対象となる少なくとも１つの前記車両データである少なくとも１つの収集対象データと、少なくとも１つの前記収集対象データのそれぞれについての少なくとも１つの収集条件とを規定し、前記収集条件が成立した場合に、前記収集条件に対応する前記収集対象データを前記サーバへ送信させるプログラムであるデータ収集プログラムを前記アクセス要求元から受信すると、前記アクセス要求元の種別に基づいて、前記収集対象データへのアクセスに関する第１セキュリティレベルを決定するように構成された第１セキュリティレベル決定部（Ｓ７０）と、
前記データ収集プログラムの前記プログラムに関連した値を、前記第１セキュリティレベルに応じて予め設定された第１暗号鍵で暗号化することによって、第１コード署名を生成するように構成された第１署名生成部（Ｓ８０，Ｓ９０）と
を備えるサーバ。

【請求項11】

複数の車両のそれぞれに搭載されて、搭載されている前記車両に関する車両データを送信するように構成された複数の車載装置（２）と、
複数の前記車両の外部に設置され、複数の前記車載装置との間でデータ通信を行うことによって複数の前記車載装置から前記車両データを取得するように構成され、更に、複数の前記車載装置の少なくとも１つへのアクセスを要求するアクセス要求を行ったアクセス要求元が収集する対象となる少なくとも１つの前記車両データである少なくとも１つの収集対象データと、少なくとも１つの前記収集対象データのそれぞれについての少なくとも１つの収集条件とを規定し、前記収集条件が成立した場合に、前記収集条件に対応する前記収集対象データを送信させるプログラムであるデータ収集プログラムを前記アクセス要求元から受信すると、前記アクセス要求元の種別に基づいて、前記収集対象データへのアクセスに関する第１セキュリティレベルを決定し、前記データ収集プログラムの前記プログラムに関連した値を、前記第１セキュリティレベルに応じて予め設定された第１暗号鍵で暗号化することによって、第１コード署名を生成するように構成されたサーバ（３）とを備え、
前記アクセス要求に対する認証を行う認証システム（１）の前記車載装置であって、
前記データ収集プログラムを前記サーバから受信すると、少なくとも１つの前記収集対象データの種別に基づき、前記収集対象データの種別のそれぞれについて、前記収集対象データへのアクセスに関する第２セキュリティレベルを決定するように構成された第２セキュリティレベル決定部（Ｓ２３０）と、
前記データ収集プログラムの前記プログラムに関連した値を、前記第２セキュリティレベルに応じて予め設定された第２暗号鍵で暗号化することによって、前記収集対象データの種別のそれぞれについて第２コード署名を生成するように構成された第２署名生成部（Ｓ４５０）と、
前記第１コード署名と前記第２コード署名とを用いて、前記収集対象データの種別のそれぞれについて、前記認証を行うように構成された認証部（Ｓ４２０，Ｓ４３０，Ｓ４６０，Ｓ４８０）と、
前記認証部による前記認証に成功した場合には、前記データ収集プログラムを実行することによる前記収集対象データの収集を許可し、前記認証に失敗した場合には、前記データ収集プログラムを実行することによる前記収集対象データの収集を禁止するように構成された実行制御部（Ｓ４９０，Ｓ５００）と
を備える車載装置。

【請求項12】

複数の車両のそれぞれに搭載されて、搭載されている前記車両に関する車両データを送信するように構成された複数の車載装置（２）と、
複数の前記車両の外部に設置され、複数の前記車載装置との間でデータ通信を行うことによって複数の前記車載装置から前記車両データを取得するように構成されたサーバ（３）とを備え、
複数の前記車載装置の少なくとも１つへのアクセスを要求するアクセス要求に対する認証を行う認証システム（１）の前記サーバで実行される認証方法であって、
前記アクセス要求を行ったアクセス要求元が収集する対象となる少なくとも１つの前記車両データである少なくとも１つの収集対象データと、少なくとも１つの前記収集対象データのそれぞれについての少なくとも１つの収集条件とを規定し、前記収集条件が成立した場合に、前記収集条件に対応する前記収集対象データを前記サーバへ送信させるプログラムであるデータ収集プログラムを前記アクセス要求元から受信すると、前記アクセス要求元の種別に基づいて、前記収集対象データへのアクセスに関する第１セキュリティレベルを決定し、
前記データ収集プログラムの前記プログラムに関連した値を、前記第１セキュリティレベルに応じて予め設定された第１暗号鍵で暗号化することによって、第１コード署名を生成する認証方法。

【請求項13】

複数の車両のそれぞれに搭載されて、搭載されている前記車両に関する車両データを送信するように構成された複数の車載装置（２）と、
複数の前記車両の外部に設置され、複数の前記車載装置との間でデータ通信を行うことによって複数の前記車載装置から前記車両データを取得するように構成されたサーバ（３）とを備え、
複数の前記車載装置の少なくとも１つへのアクセスを要求するアクセス要求に対する認証を行う認証システム（１）の前記サーバのコンピュータを、
前記アクセス要求を行ったアクセス要求元が収集する対象となる少なくとも１つの前記車両データである少なくとも１つの収集対象データと、少なくとも１つの前記収集対象データのそれぞれについての少なくとも１つの収集条件とを規定し、前記収集条件が成立した場合に、前記収集条件に対応する前記収集対象データを前記サーバへ送信させるプログラムであるデータ収集プログラムを前記アクセス要求元から受信すると、前記アクセス要求元の種別に基づいて、前記収集対象データへのアクセスに関する第１セキュリティレベルを決定するように構成された第１セキュリティレベル決定部（Ｓ７０）、および、
前記データ収集プログラムの前記プログラムに関連した値を、前記第１セキュリティレベルに応じて予め設定された第１暗号鍵で暗号化することによって、第１コード署名を生成するように構成された第１署名生成部（Ｓ８０，Ｓ９０）
として機能させるための認証プログラム。

【請求項14】

複数の車両のそれぞれに搭載されて、搭載されている前記車両に関する車両データを送信するように構成された複数の車載装置（２）と、
複数の前記車両の外部に設置され、複数の前記車載装置との間でデータ通信を行うことによって複数の前記車載装置から前記車両データを取得するように構成されたサーバ（３）とを備え、
複数の前記車載装置の少なくとも１つへのアクセスを要求するアクセス要求に対する認証を行う認証システム（１）の前記車載装置で実行される認証プログラムであって、
前記サーバは、
前記アクセス要求を行ったアクセス要求元が収集する対象となる少なくとも１つの前記車両データである少なくとも１つの収集対象データと、少なくとも１つの前記収集対象データのそれぞれについての少なくとも１つの収集条件とを規定し、前記収集条件が成立した場合に、前記収集条件に対応する前記収集対象データを前記サーバへ送信させるプログラムであるデータ収集プログラムを前記アクセス要求元から受信すると、前記アクセス要求元の種別に基づいて、前記収集対象データへのアクセスに関する第１セキュリティレベルを決定するように構成された第１セキュリティレベル決定部（Ｓ７０）と、
前記データ収集プログラムの前記プログラムに関連した値を、前記第１セキュリティレベルに応じて予め設定された第１暗号鍵で暗号化することによって、第１コード署名を生成するように構成された第１署名生成部（Ｓ８０，Ｓ９０）とを備え、
前記認証プログラムは、前記車載装置のコンピュータを、
前記データ収集プログラムを前記サーバから受信すると、少なくとも１つの前記収集対象データの種別に基づき、前記収集対象データの種別のそれぞれについて、前記収集対象データへのアクセスに関する第２セキュリティレベルを決定するように構成された第２セキュリティレベル決定部（Ｓ２３０）、
前記データ収集プログラムの前記プログラムに関連した値を、前記第２セキュリティレベルに応じて予め設定された第２暗号鍵で暗号化することによって、前記収集対象データの種別のそれぞれについて第２コード署名を生成するように構成された第２署名生成部（Ｓ４５０）、
前記第１コード署名と前記第２コード署名とを用いて、前記収集対象データの種別のそれぞれについて、前記認証を行うように構成された認証部（Ｓ４２０，Ｓ４３０，Ｓ４６０，Ｓ４８０）、および、
前記認証部による前記認証に成功した場合には、前記データ収集プログラムを実行することによる前記収集対象データの収集を許可し、前記認証に失敗した場合には、前記データ収集プログラムを実行することによる前記収集対象データの収集を禁止するように構成された実行制御部（Ｓ４９０，Ｓ５００）
として機能させるための認証プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、アクセス要求に対する認証を行う技術に関する。

【背景技術】

【0002】

特許文献１には、暗号化した車両データを復号する際の復号条件を、車両が走行している国または地域に応じて設定する車載装置が記載されている。これにより、特許文献１に記載の車載装置は、車両が走行している国または地域が変化することによって、車両データの読み出しが許可されるデータ利用者が変化する場合であっても、車両データの読み出しが許可されるデータ利用者を適切に設定することができる。

【先行技術文献】

【特許文献】

【0003】

【文献】特開２０２１－１００１５３号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

車載装置内の電子制御装置の処理能力が向上したことによって、広範囲の車両データを適切なタイミングでクラウドへ送信することが可能になる。また、読み出し対象の車両データが増えると、個人情報保護などの法規的な観点により、読み出し対象の車両データ毎に適切なアクセス権を設定する必要がある。

【0005】

発明者の詳細な検討の結果、読み出し対象の車両データが増加すると、適切なアクセス権を設定するために行われる認証の処理負荷が増大するという課題が見出された。
本開示は、車両データを収集するための認証の処理負荷を低減することを目的とする。

【課題を解決するための手段】

【0006】

本開示の一態様は、複数の車載装置（２）と、サーバ（３）とを備え、複数の車載装置の少なくとも１つへのアクセスを要求するアクセス要求に対する認証を行う認証システム（１）である。

【0007】

複数の車載装置は、複数の車両のそれぞれに搭載されて、搭載されている車両に関する車両データを送信するように構成される。サーバは、複数の車両の外部に設置され、複数の車載装置との間でデータ通信を行うことによって複数の車載装置から車両データを取得するように構成される。

【0008】

サーバは、第１セキュリティレベル決定部（Ｓ７０）と、第１署名生成部（Ｓ８０，Ｓ９０）とを備える。複数の車載装置は、第２セキュリティレベル決定部（Ｓ２３０）と、第２署名生成部（Ｓ４５０）と、認証部（Ｓ４２０，Ｓ４３０，Ｓ４６０，Ｓ４８０）と、実行制御部（Ｓ４９０，Ｓ５００）とを備える。

【0009】

第１セキュリティレベル決定部は、データ収集プログラムをアクセス要求元から受信すると、アクセス要求元の種別に基づいて、収集対象データへのアクセスに関する第１セキュリティレベルを決定するように構成される。データ収集プログラムは、少なくとも１つの収集対象データと、少なくとも１つの収集対象データのそれぞれについての少なくとも１つの収集条件とを規定し、収集条件が成立した場合に、収集条件に対応する収集対象データをサーバへ送信させるプログラムである。少なくとも１つの収集対象データは、アクセス要求を行ったアクセス要求元が収集する対象となる少なくとも１つの車両データである。

【0010】

第１署名生成部は、データ収集プログラムのプログラムに関連した値を、第１セキュリティレベルに応じて予め設定された第１暗号鍵で暗号化することによって、第１コード署名を生成するように構成される。

【0011】

第２セキュリティレベル決定部は、データ収集プログラムをサーバから受信すると、少なくとも１つの収集対象データの種別に基づき、収集対象データの種別のそれぞれについて、収集対象データへのアクセスに関する第２セキュリティレベルを決定するように構成される。

【0012】

第２署名生成部は、データ収集プログラムのプログラムに関連した値を、第２セキュリティレベルに応じて予め設定された第２暗号鍵で暗号化することによって、収集対象データの種別のそれぞれについて第２コード署名を生成するように構成される。

【0013】

認証部は、第１コード署名と第２コード署名とを用いて、収集対象データの種別のそれぞれについて、認証を行うように構成される。

【0014】

実行制御部は、認証部による認証に成功した場合には、データ収集プログラムを実行することによる収集対象データの収集を許可し、認証に失敗した場合には、データ収集プログラムを実行することによる収集対象データの収集を禁止するように構成される。

【0015】

このように構成された本開示の認証システムは、受信したデータ収集プログラムを実行する前に認証を一度行えば、データ収集プログラムに規定されている収集条件が成立する毎に、収集条件に対応する収集対象データを車載装置からサーバへ送信することができる。すなわち、本開示の認証システムは、収集条件が成立する度にアクセス要求元がサーバへアクセス要求を送信する必要がなくなり、収集条件が成立する度に認証を行う必要が無い。このため、本開示の認証システムは、車両データを収集するための認証の処理負荷を低減することができる。

【0016】

さらに、本開示の認証システムは、暗号鍵で暗号化することによって生成されるコード署名を用いて認証を行っているため、アクセス要求元が収集対象データに関し正当なアクセス権を有しているか否かを各車両にて検証することができる。

【0017】

本開示の別の態様は、認証システムのサーバであって、第１セキュリティレベル決定部と、第１署名生成部とを備える。
本開示のサーバは、本開示の認証システムが備えるサーバであり、本開示の認証システムと同様の効果を得ることができる。

【0018】

本開示の更に別の態様は、認証システムの車載装置であって、第２セキュリティレベル決定部と、第２署名生成部と、レベル判断部と、認証部とを備える。
本開示の車載装置は、本開示の認証システムが備える車載装置であり、本開示の認証システムと同様の効果を得ることができる。

【0019】

本開示の更に別の態様は、認証システムのサーバで実行される認証方法であって、データ収集プログラムをアクセス要求元から受信すると、アクセス要求元の種別に基づいて、収集対象データへのアクセスに関する第１セキュリティレベルを決定し、データ収集プログラムのプログラムに関連した値を、第１セキュリティレベルに応じて予め設定された第１暗号鍵で暗号化することによって、第１コード署名を生成する。

【0020】

本開示の認証方法は、本開示の認証システムにて実行される方法であり、当該方法を実行することで、本開示の認証システムと同様の効果を得ることができる。
本開示の更に別の態様は、サーバのコンピュータを、第１セキュリティレベル決定部、および、第１署名生成部として機能させるための認証プログラムである。

【0021】

本開示の認証プログラムによって制御されるコンピュータは、本開示の認証システムの一部を構成することができ、本開示の認証システムと同様の効果を得ることができる。
本開示の更に別の態様は、車載装置のコンピュータを、第２セキュリティレベル決定部、第２署名生成部、認証部、および、実行制御部として機能させるための認証プログラムである。

【0022】

本開示の認証プログラムによって制御されるコンピュータは、本開示の認証システムの一部を構成することができ、本開示の認証システムと同様の効果を得ることができる。

【図面の簡単な説明】

【0023】

【図1】認証システムの構成を示すブロック図である。

【図2】車載装置の構成を示すブロック図である。

【図3】認証サーバの構成を示すブロック図である。

【図4】車載装置および認証サーバの機能的な構成を示す機能ブロック図である。

【図5】車載装置および認証サーバのテーブルの構成を示す図である。

【図6】サーバ認証処理を示すフローチャートである。

【図7】配信パッケージの構成を示す図である。

【図8】車両認証処理を示すフローチャートである。

【図9】署名認証処理を示すフローチャートである。

【図10】解除処理を示すフローチャートである。

【図11】認証失敗処理を示すフローチャートである。

【発明を実施するための形態】

【0024】

以下に本開示の実施形態を図面とともに説明する。
本実施形態の認証システム１は、図１に示すように、複数の車載装置２と、認証サーバ３とを備える。

【0025】

車載装置２は、車両に搭載され、広域無線通信網ＮＷを介して認証サーバ３とデータ通信を行う機能を有する。
認証サーバ３は、広域無線通信網ＮＷを介して車載装置２とデータ通信を行う機能を有する。

【0026】

認証サーバ３には、広域無線通信網ＮＷを介してアクセス可能なデータ収集ウェブサイトが設置されている。データ収集ウェブサイトは、パーソナルコンピュータまたはタブレット端末等の通信機器を用いてデータ収集ウェブサイトにアクセスしたサービス対象者に、車両のデータ収集サービスを提供する。

【0027】

車載装置２は、図２に示すように、制御部１１と、ＣＡＮ通信部１２と、記憶部１３と、通信部１４とを備える。ＣＡＮは、Controller Area Networkの略である。ＣＡＮは登録商標である。

【0028】

制御部１１は、ＣＰＵ２１、ＲＯＭ２２およびＲＡＭ２３等を備えたマイクロコンピュータを中心に構成された電子制御装置である。マイクロコンピュータの各種機能は、ＣＰＵ２１が非遷移的実体的記録媒体に格納されたプログラムを実行することにより実現される。この例では、ＲＯＭ２２が、プログラムを格納した非遷移的実体的記録媒体に該当する。また、このプログラムの実行により、プログラムに対応する方法が実行される。なお、ＣＰＵ２１が実行する機能の一部または全部を、一つあるいは複数のＩＣ等によりハードウェア的に構成してもよい。また、制御部１１を構成するマイクロコンピュータの数は１つでも複数でもよい。

【0029】

ＣＡＮ通信部１２は、ＣＡＮバスを介して複数のＥＣＵとの間でデータ通信可能に接続されており、ＣＡＮ通信プロトコルに従ってデータの送受信を行う。ＣＡＮ通信部１２に接続されている複数のＥＣＵ１１１，１１２，１１３，１１４，…は、具体的には、エンジン制御を行うエンジンＥＣＵ１１１、ブレーキ制御を行うブレーキＥＣＵ１１２、ステアリング制御を行うステアリングＥＣＵ１１３、インストルメントパネルに設けられて車両の各種状態を表示するメータを制御するメータＥＣＵ１１４等である。図２では、ＣＡＮ通信部１２に接続されているＥＣＵとして、ＥＣＵ１１１，１１２，１１３，１１４のみを示している。

【0030】

記憶部１３は、各種データを記憶するための記憶装置である。
通信部１４は、広域無線通信網ＮＷを介して、認証サーバ３との間でデータ通信を行う。

【0031】

認証サーバ３は、図３に示すように、制御部３１と、通信部３２と、記憶部３３とを備える。
制御部３１は、ＣＰＵ４１、ＲＯＭ４２およびＲＡＭ４３等を備えたマイクロコンピュータを中心に構成された電子制御装置である。マイクロコンピュータの各種機能は、ＣＰＵ４１が非遷移的実体的記録媒体に格納されたプログラムを実行することにより実現される。この例では、ＲＯＭ４２が、プログラムを格納した非遷移的実体的記録媒体に該当する。また、このプログラムの実行により、プログラムに対応する方法が実行される。なお、ＣＰＵ４１が実行する機能の一部または全部を、一つあるいは複数のＩＣ等によりハードウェア的に構成してもよい。また、制御部３１を構成するマイクロコンピュータの数は１つでも複数でもよい。

【0032】

通信部３２は、広域無線通信網ＮＷを介して、複数の車載装置２との間でデータ通信を行う。
記憶部３３は、各種データを記憶するための記憶装置である。

【0033】

認証サーバ３は、図４に示すように、ＲＯＭ４２に格納されたプログラムをＣＰＵ４１が実行することにより実現される機能ブロックとして、プログラム配信制御部５１と、ユーザ情報決定部５２と、鍵決定部５３と、署名生成部５４と、配信パッケージ生成部５５とを備える。また認証サーバ３は、ユーザ情報テーブル５６と、セキュリティレベルテーブル５７と、鍵テーブル５８とを備える。これらのテーブル５６～５８は、記憶部３３に記憶されている。

【0034】

車載装置２は、ＲＯＭ２２に格納されたプログラムをＣＰＵ２１が実行することにより実現される機能ブロックとして、プログラム実行制御部７１と、ＤＩＤ決定部７２と、鍵決定部７３と、署名検証実行部７４と、実行権付与部７５と、データ取得部７６とを備える。また車載装置２は、ＤＩＤ情報テーブル７７と、セキュリティレベルテーブル７８と、鍵テーブル７９と、データベース８０とを備える。これらのテーブル７７～７９は、記憶部１３に記憶されている。データベース８０は、車載装置２を搭載する車両に関する車両データを記憶し、記憶部１３に設けられる。

【0035】

プログラム配信制御部５１は、ブラウザ４を介して操作者からのデータ収集リクエストを受け付けて、データ収集リクエストに基づき、車両からデータ収集するためのソースコードがスクリプト言語（例えば、Ｐｙｔｈｏｎ、ＪａｖａＳｃｒｉｐｔ、Ｌｕａ等）で記述されたスクリプトファイルの配信を制御する。Ｐｙｔｈｏｎは登録商標である。ＪａｖａＳｃｒｉｐｔは登録商標である。なお、プログラム配信制御部５１は、コンパイラ言語で記述されたファイルの配信を制御するようにしてもよい。

【0036】

ブラウザ４は、通信機器（例えば、パーソナルコンピュータまたはタブレット端末）に搭載されているソフトウェアであり、広域無線通信網ＮＷを介して認証サーバ３にアクセスする機能を有する。

【0037】

本実施形態では、ブラウザ４を介して認証サーバ３にアクセスするために通信機器を操作する操作者は、ＯＥＭおよびサードパーティの何れかに分類される。ＯＥＭは、データ収集の対象となる車両（以下、収集対象車両）を製造した車両メーカである。ＯＥＭは、Original Equipment Manufacturerの略である。サードパーティは、収集対象車両の所有者およびＯＥＭ以外の第三者である。サードパーティとして、例えば、車両からデータを収集することによってサービスを提供するデータ活用業者が挙げられる。

【0038】

ユーザ情報決定部５２は、データ収集リクエストに基づいてユーザ情報テーブル５６を参照することにより、操作者のセキュリティレベル（以下、ユーザセキュリティレベル）を特定する。ユーザセキュリティレベルは、操作者のアクセス権のレベルを示す情報である。

【0039】

鍵決定部５３は、ユーザセキュリティレベルに基づいてセキュリティレベルテーブル５７を参照することにより、後述するコード署名を生成するための秘密鍵を特定する。
署名生成部５４は、鍵テーブル５８を参照することにより、特定した秘密鍵を取得し、コード署名を生成する。

【0040】

配信パッケージ生成部５５は、後述する配信パッケージを生成する。
プログラム実行制御部７１は、認証サーバ３から処理実行リクエストを受け付け、処理実行リクエストに付加された配信パッケージに含まれるスクリプトファイルの実行を制御する。なお、プログラム実行制御部７１は、コンパイラ言語で記述されたファイルの実行を制御するようにしてもよい。

【0041】

ＤＩＤ決定部７２は、処理実行リクエストに基づいてＤＩＤ情報テーブル７７を参照することにより、収集対象データのセキュリティレベル（以下、データセキュリティレベル）を特定する。

【0042】

鍵決定部７３は、データセキュリティレベルに基づいてセキュリティレベルテーブル７８を参照することにより、コード署名を検証するための秘密鍵を特定する。
署名検証実行部７４は、鍵テーブル７９を参照することにより、特定した秘密鍵を取得し、コード署名の検証を実行する。

【0043】

実行権付与部７５は、コード署名の検証結果に基づいて、受信した配信パッケージに含まれるスクリプトファイルに実行権を付与する。
データ取得部７６は、データベース８０から、コード署名の検証結果に基づいて許可された収集対象データを取得する。

【0044】

図５に示すように、ユーザ情報テーブル５６は、ユーザＩＤと、ユーザセキュリティレベルとを対応付けるテーブルである。ユーザＩＤは、操作者を識別する情報である。
本実施形態のユーザ情報テーブル５６では、ユーザＩＤとして、例えば、「ＡＣｏｍｐａｎｙ」，「ＢＣｏｍｐａｎｙ」が設定される。ユーザＩＤ「ＡＣｏｍｐａｎｙ」，「ＢＣｏｍｐａｎｙはそれぞれ、「ＯＥＭ」、「サードパーティ」に対応する。そしてユーザＩＤ「ＡＣｏｍｐａｎｙ」，「ＢＣｏｍｐａｎｙ」はそれぞれ、セキュリティレベル「１」，「２」に対応付けられている。なお、本実施形態では、セキュリティレベル「１」が最も高いレベルである。

【0045】

ＤＩＤ情報テーブル７７は、収集対象データのデータＩＤ（以下、ＤＩＤ）と、セキュリティレベルとを対応付けるテーブルである。データＩＤは、データを識別する情報である。データＩＤは、データ項目それぞれに付与されていてもよいし、データ項目のグループやカテゴリに対して付与されていてもよい。

【0046】

本実施形態のＤＩＤ情報テーブル７７では、ＤＩＤとして、例えば、「１」，「２」，「３」が設定される。ＤＩＤ「１」は、生体デバイスに関連するデータであることを示す情報である。ＤＩＤ「２」は、車両の位置情報に関連するデータであることを示す情報である。ＤＩＤ「３」は、車両の稼働状況に関連するデータであることを示す情報である。そしてＤＩＤ「１」，「２」，「３」はそれぞれ、セキュリティレベル「１」，「２」，「３」に対応付けられている。

【0047】

セキュリティレベルテーブル５７，７８は、セキュリティレベルと鍵ＩＤとを対応付けるテーブルである。鍵ＩＤは、秘密鍵を識別する情報である。
セキュリティレベル「１」，「２」，「３」はそれぞれ、セキュリティポリシー情報ＳＰ１，ＳＰ２，ＳＰ３に対応付けられている。

【0048】

セキュリティポリシー情報ＳＰ１は、「生体デバイス」、「位置情報」および「稼働状況」のデータについての読み出しと書き込みとが許可されていることを示す。
セキュリティポリシー情報ＳＰ２は、「生体デバイス」のデータについての読み出しが禁止され、「位置情報」および「稼働状況」のデータについての読み出しが許可されていることを示す。

【0049】

セキュリティポリシー情報ＳＰ３は、「生体デバイス」および「位置情報」のデータについての読み出しが禁止され、「稼働状況」のデータについての読み出しが許可されていることを示す。

【0050】

鍵テーブル５８，７９は、鍵ＩＤと、秘密鍵の保存場所とを対応付けるテーブルである。秘密鍵は、署名生成部５４および署名検証実行部７４のそれぞれが備えるＨＳＭに保存されている。ＨＳＭは、Hardware Security Moduleの略である。

【0051】

本実施形態の鍵テーブル５８，７９では、鍵ＩＤ「１」，「２」，「３」がそれぞれ、ＨＳＭのアドレス「０ｘ００００００００」，「０ｘ１１１１１１１１」，「０ｘ２２２２２２２２」に対応付けられている。本実施形態では、アドレス「０ｘ００００００００」に格納されている秘密鍵の暗号方式は「ＲＳＡ ５１２ｂｉｔ」である。アドレス「０ｘ１１１１１１１１」に格納されている秘密鍵の暗号方式は「ＲＳＡ １０２４ｂｉｔ」である。アドレス「０ｘ２２２２２２２２」に格納されている秘密鍵の暗号方式は「ＲＳＡ ２０４８ｂｉｔ」である。

【0052】

次に、認証サーバ３が実行するサーバ認証処理の手順を説明する。サーバ認証処理は、制御部３１の動作中において繰り返し実行される処理である。
サーバ認証処理が実行されると、制御部３１のＣＰＵ４１は、図６に示すように、まずＳ１０にて、ブラウザ４を介してデータ収集リクエストを受信したか否かを判断する。データ収集リクエストは、１つのユーザ認証トークンと、１または複数の収集対象データのＤＩＤと、１または複数のタイミング情報と、１または複数のスクリプトファイルと、１つのコンフィグファイルと、１つの車両ＩＤとを含む。

【0053】

ユーザ認証トークンは、上記のユーザＩＤと、認証サーバ３にアクセスするためのパスワードとを含む。
タイミング情報は、１または複数のスクリプトファイル毎に設けられ、対応するスクリプトファイルを実行するタイミングを示す情報である。

【0054】

スクリプトファイルは、１または複数の収集対象データと、１または複数の収集対象データのそれぞれに対応する１または複数のデータ収集条件とをスクリプト言語で規定している。例えば、スクリプトファイルは、収集対象車両の状況（例えば、車速および車両位置など）に基づいてデータ収集条件が成立したか否かを判断し、データ収集条件が成立した場合に、成立したデータ収集条件に対応する収集対象データを、ＣＡＮバスを介して収集対象車両の車載装置２に接続されているＥＣＵから取得するように設定される。なお、車載装置２は、車両に搭載されたＥＣＵとの間でＵＤＳに従ってデータ通信を行う。ＵＤＳは、診断通信の国際規格であり、Unified Diagnostic Servicesの略である。また、収集対象データに対応するＣＡＮフレームのＣＡＮＩＤを特定することができる場合には、ＣＡＮバスに伝送されているＣＡＮフレームの中から、特定のＣＡＮＩＤを含むＣＡＮフレームを取得するようにしてもよい。

【0055】

そして、本実施形態のスクリプトファイルでは、収集対象データおよびデータ収集条件を規定するソースコードが、ＤＩＤが同一の収集対象データ毎に分類されて記述されている。例えば、ＤＩＤ「１」に対応するデータを収集対象データとするソースコードと、ＤＩＤ「２」に対応するデータを収集対象データとするソースコードと、ＤＩＤ「３」に対応するデータを収集対象データとするソースコードとが、それぞれ別々の集団としてまとめられた状態で記述されている。

【0056】

コンフィグファイルは、スクリプトファイルを実行するための設定が記述されているファイルである。車両ＩＤは、収集対象車両を識別する情報である。
ここで、データ収集リクエストを受信していない場合には、ＣＰＵ４１は、サーバ認証処理を終了する。一方、データ収集リクエストを受信した場合には、ＣＰＵ４１は、Ｓ２０にて、受信したデータ収集リクエストからユーザ認証トークンを取得する。さらにＣＰＵ４１は、Ｓ３０にて、ユーザ認証トークンからユーザＩＤを取得する。そしてＣＰＵ４１は、Ｓ４０にて、ユーザＩＤで特定される操作者が「正しいユーザ」であるか否かを確認する。具体的には、ＣＰＵ４１は、「正しいユーザ」のユーザＩＤを登録している登録ユーザテーブルの中に、Ｓ３０で取得したユーザＩＤが存在する場合に、「正しいユーザ」であると判断する。登録ユーザテーブルは、記憶部３３に記憶されている。または、ＣＰＵ４１は、ユーザ情報テーブル５６を参照することにより、有効なセキュリティレベルが付与されているユーザであるか否かを判断し、有効なセキュリティレベルが付与されている場合は「正しいユーザ」と判断し、それ以外は「正しいユーザ」でないと判断してもよい。

【0057】

次にＣＰＵ４１は、Ｓ５０にて、Ｓ４０での確認結果に基づいて、ブラウザ４を介してデータ収集リクエストを送信した操作者が「正しいユーザ」であるか否かを判断する。ここで、操作者が「正しいユーザ」でない場合には、ＣＰＵ４１は、Ｓ６０にて、認証失敗処理を実行し、サーバ認証処理を終了する。認証失敗処理では、ＣＰＵ４１は、受信したデータ収集リクエストを破棄し、更に、ユーザ認証が失敗した旨を示す監査ログを記憶部３３に記憶する。

【0058】

またＳ５０にて、操作者が「正しいユーザ」である場合には、ＣＰＵ４１は、Ｓ７０にて、ユーザ情報テーブル５６を参照することにより、Ｓ３０で取得したユーザＩＤに対応するユーザセキュリティレベルを特定する。

【0059】

さらにＣＰＵ４１は、Ｓ８０にて、セキュリティレベルテーブル５７を参照することにより、Ｓ７０で特定されたユーザセキュリティレベルに対応する鍵ＩＤを特定する。
さらにＣＰＵ４１は、Ｓ９０にて、コード署名を生成する。具体的には、ＣＰＵ４１は、まず、鍵テーブル５８を参照することによって、Ｓ７０で特定したユーザセキュリティレベルに対応する秘密鍵の保存場所および暗号方式を特定する。そしてＣＰＵ４１は、特定したＨＳＭの保存場所にアクセスすることによって、Ｓ７０で特定されたユーザセキュリティレベルに対応する秘密鍵を取得する。次にＣＰＵ４１は、データ収集リクエストに含まれるスクリプトファイルに記載されているソースコードから、例えばＳＨＡ－２５６のハッシュ関数を用いて、２５６ビット長のハッシュ値を得る。そしてＣＰＵ４１は、得られたハッシュ値を、ＨＳＭから取得した秘密鍵を用い、鍵ＩＤに対応する暗号方式で暗号化することによって、コード署名を生成する。なお、コンパイラ言語の場合、ソースコードからハッシュ値を得てもよいし、オブジェクトコードからハッシュ値を得てもよい。

【0060】

次にＣＰＵ４１は、Ｓ１００にて、配信パッケージを生成する。
配信パッケージは、図７に示すように、１つのマニフェストファイルと、データ収集リクエストに含まれていた１または複数のスクリプトファイルと、データ収集リクエストに含まれていた１つのコンフィグファイルとを含み、これらのファイルをまとめて所定の圧縮アルゴリズム（例えば、ｇｚｉｐ）で圧縮することにより生成される。

【0061】

マニフェストファイルは、アプリＩＤと、使用ＤＩＤと、コード署名と、上記のタイミング情報とを含む。アプリＩＤは、配信パッケージに含まれるスクリプトファイルを識別する情報である。使用ＤＩＤは、スクリプトファイルを実行することにより収集される収集対象データのＤＩＤである。コード署名は、Ｓ９０で生成されたコード署名である。
本実施形態では、複数のスクリプトファイルに対して１つのアプリＩＤが存在する。また、１つのアプリＩＤに対応する使用ＤＩＤは複数存在する。そしてコード署名は、複数のスクリプトファイルをまとめたものに対する１つの署名である。すなわち、１つのアプリＩＤに１つのコード署名が対応している。

【0062】

Ｓ１００の処理が終了すると、ＣＰＵ４１は、図６に示すように、Ｓ１１０にて、車両ＩＤで特定される車両の車載装置２へ処理実行リクエストを送信し、サーバ認証処理を終了する。処理実行リクエストは、Ｓ１００で生成した配信パッケージを含む。

【0063】

次に、車載装置２が実行する車両認証処理の手順を説明する。車両認証処理は、制御部１１の動作中において繰り返し実行される処理である。
車両認証処理が実行されると、制御部１１のＣＰＵ２１は、図８に示すように、まずＳ２１０にて、認証サーバ３から処理実行リクエストを受信したか否かを判断する。

【0064】

ここで、処理実行リクエストを受信していない場合には、ＣＰＵ２１は、車両認証処理を終了する。一方、処理実行リクエストを受信した場合には、Ｓ２２０にて、処理実行リクエストに含まれる配信パッケージを解凍する。

【0065】

そしてＣＰＵ２１は、Ｓ２３０にて、マニフェストファイルに含まれる全ての使用ＤＩＤのそれぞれについて、ＤＩＤ情報テーブル７７を参照することにより、データセキュリティレベルを特定する。

【0066】

そしてＣＰＵ２１は、Ｓ２４０にて、後述の署名認証処理を実行する。
次にＣＰＵ２１は、Ｓ２５０にて、Ｓ２４０での署名認証結果に基づいて、認証に成功したか否かを判断する。ここで、認証に成功した使用ＤＩＤが存在する場合には、ＣＰＵ２１は、Ｓ２６０にて、後述の解除処理を実行し、車両認証処理を終了する。

【0067】

一方、マニフェストファイルに含まれる全ての使用ＤＩＤにおいて認証に失敗した場合には、ＣＰＵ２１は、Ｓ２７０にて、後述の認証失敗処理を実行し、車両認証処理を終了する。

【0068】

次に、Ｓ２４０で実行される署名認証処理の手順を説明する。
署名認証処理が実行されると、ＣＰＵ２１は、図９に示すように、まずＳ４１０にて、マニフェストファイルに含まれる全ての使用ＤＩＤの中から、選択されていない使用ＤＩＤを１つ選択する。以下、Ｓ４１０で選択された使用ＤＩＤを選択ＤＩＤという。

【0069】

またＣＰＵ２１は、Ｓ４３０にて、データセキュリティレベル値ＬＶを、選択ＤＩＤのデータセキュリティレベルの値に設定する。
そしてＣＰＵ２１は、Ｓ４３０にて、データセキュリティレベル値ＬＶが０より大きいか否かを判断する。ここで、データセキュリティレベル値ＬＶが０より大きい場合には、ＣＰＵ２１は、Ｓ４４０にて、選択ＤＩＤのデータセキュリティレベルに基づいてセキュリティレベルテーブル７８を参照することにより、鍵ＩＤを特定する。

【0070】

そしてＣＰＵ２１は、Ｓ４５０にて、コード署名を生成する。具体的には、ＣＰＵ２１は、まず、鍵テーブル７９を参照することによって、Ｓ４４０で特定した鍵ＩＤに対応する秘密鍵の保存場所および暗号方式を特定する。そしてＣＰＵ４１は、特定したＨＳＭの保存場所にアクセスすることによって、選択ＤＩＤのデータセキュリティレベルに対応する秘密鍵を取得する。次にＣＰＵ２１は、Ｓ２２０で配信パッケージを解凍することにより得られたスクリプトファイルに記載されているソースコード（すなわち、マニフェストに記載されたアプリＩＤに対応するスクリプトファイルのソースコード）から、例えばＳＨＡ－２５６のハッシュ関数を用いて、２５６ビット長のハッシュ値を得る。そしてＣＰＵ２１は、得られたハッシュ値を、ＨＳＭから取得した秘密鍵を用い、鍵ＩＤに対応する暗号方式で暗号化することによって、コード署名を生成する。

【0071】

次にＣＰＵ２１は、Ｓ４６０にて、配信パッケージを解凍することにより得られたコード署名（すなわち、マニフェストに記載されたコード署名）と、生成したコード署名とを比較する。そしてＣＰＵ２１は、両コード署名が一致している場合には、認証に成功したと判断し、両コード署名が一致していない場合には、認証に失敗したと判断する。

【0072】

Ｓ４６０の処理が終了すると、ＣＰＵ２１は、Ｓ４７０にて、Ｓ４６０での署名認証結果に基づいて、認証に成功したか否かを判断する。ここで、認証に失敗した場合には、ＣＰＵ２１は、Ｓ４８０にて、データセキュリティレベル値ＬＶを１減算して、Ｓ４３０に移行する。

【0073】

一方、認証に成功した場合には、ＣＰＵ２１は、Ｓ４９０にて、選択ＤＩＤに対して「認証成功」を設定し、Ｓ５１０に移行する。
またＳ４３０にて、データセキュリティレベル値ＬＶが０以下である場合には、ＣＰＵ２１は、Ｓ５００にて、選択ＤＩＤに対して「認証失敗」を設定し、Ｓ５１０に移行する。

【0074】

Ｓ５１０に移行すると、ＣＰＵ２１は、マニフェストファイルに含まれる全ての使用ＤＩＤがＳ４１０で選択されたか否かを判断する。ここで、選択されていない使用ＤＩＤが存在する場合には、ＣＰＵ２１は、Ｓ４１０に移行する。一方、全ての使用ＤＩＤが選択された場合には、ＣＰＵ２１は、署名認証処理を終了する。

【0075】

次に、Ｓ２６０で実行される解除処理の手順を説明する。
解除処理が実行されると、ＣＰＵ２１は、図１０に示すように、まずＳ６１０にて、署名認証処理において認証に成功したコード署名の生成に用いられた秘密鍵の鍵ＩＤに対応するセキュリティポリシーに設定されているパーミッション定義を、スクリプト実行環境に付与する。

【0076】

例えば、署名認証処理において認証に成功したコード署名の生成に用いられた秘密鍵の鍵ＩＤが「１」である場合には、セキュリティポリシー情報ＳＰ１に記載されているパーミッション定義が用いられる。すなわち、使用ＤＩＤ「１」，「２」，「３」について、読み出しと書き込みとが許可されるパーミッション定義がスクリプト実行環境に付与される。

【0077】

また、署名認証処理において認証に成功したコード署名の生成に用いられた秘密鍵の鍵ＩＤが「２」である場合には、セキュリティポリシー情報ＳＰ２に記載されているパーミッション定義が用いられる。すなわち、使用ＤＩＤ「２」，「３」について、読み出しのみが許可され、使用ＤＩＤ「１」の読み出し及び使用ＤＩＤ「１」，「２」，「３」の書込みが禁止されるパーミッション定義がスクリプト実行環境に付与される。

【0078】

スクリプト実行環境は、スクリプトファイルに記述されているソースコードによって規定される処理を実行するための環境である。本実施形態では、スクリプト実行環境としてサンドボックスを採用している。サンドボックスは、コンピュータ上において、他のプログラムから隔離された領域でプログラムを実行し、問題発生時においても他のプログラムに影響を及ぼさないように構築された仮想環境である。

【0079】

従って、ＣＰＵ２１は、ます、全てのパーミッションが削除されているサンドボックスをスクリプト実行環境として作成する。そしてＣＰＵ２１は、認証に成功した鍵ＩＤに対応するセキュリティポリシーのパーミッション定義を、作成したサンドボックスに付与する。

【0080】

上述のように、本実施形態のスクリプトファイルでは、収集対象データおよびデータ収集条件を規定するソースコードが、ＤＩＤが同一の収集対象データ毎に分類されて記述されている。このため、ＣＰＵ２１は、スクリプトファイルにおいて、ＤＩＤで分類されたソースコードの集団毎に、パーミッション定義を付与することができる。

【0081】

次にＣＰＵ２１は、Ｓ６２０にて、スクリプトをスケジューリングして実行状態へ遷移させる。具体的には、ＣＰＵ２１は、配信パッケージに含まれる１または複数のスクリプトファイルのそれぞれについて、マニフェストファイルに含まれるタイミング情報に基づいて、実行タイミングを設定する。そしてＣＰＵ２１は、１または複数のスクリプトファイルを、Ｓ６１０で作成したサンドボックス内で実行させる。

【0082】

そしてＣＰＵ２１は、Ｓ６３０にて、認証が成功した使用ＤＩＤと、認証が失敗した使用ＤＩＤとを記載した監査ログを記憶部１３に記憶し、解除処理を終了する。
次に、Ｓ２７０で実行される認証失敗処理の手順を説明する。

【0083】

認証失敗処理が実行されると、ＣＰＵ２１は、図１１に示すように、まずＳ７１０にて、Ｓ４５０で生成したコード署名を破棄する。
またＣＰＵ２１は、Ｓ７２０にて、Ｓ２２０で解凍した配信パッケージを削除する。またＣＰＵ２１は、Ｓ７３０にて、認証が失敗した旨を示すエラーコードを認証サーバ３へ送信する。

【0084】

さらにＣＰＵ２１は、Ｓ７４０にて、認証が失敗した旨を示す認証失敗信号をＣＡＮバスに送信する。これにより、ＣＡＮバスを介して車載装置２に接続されているＥＣＵ１１１，１１２，１１３，１１４が認証失敗信号を受信する。そして、例えば、認証失敗信号を受信したＥＣＵ１１４は、認証が失敗した旨をメータに表示するための処理を実行する。

【0085】

次にＣＰＵ２１は、Ｓ７５０にて、認証が失敗した旨を示す監査ログを記憶部１３に記憶し、認証失敗処理を終了する。
このように構成された認証システム１は、複数の車載装置２と、認証サーバ３とを備え、複数の車載装置２の少なくとも１つへのアクセスを要求するアクセス要求に対する認証を行う。

【0086】

認証サーバ３は、スクリプトファイルを操作者から受信すると、操作者の種別に基づいて、収集対象データへのアクセスに関するユーザセキュリティレベルを決定する。スクリプトファイルは、少なくとも１つの収集対象データと、少なくとも１つの収集対象データのそれぞれについての少なくとも１つの収集条件とを規定し、収集条件が成立した場合に、収集条件に対応する収集対象データを認証サーバ３へ送信させるプログラムである。

【0087】

認証サーバ３は、スクリプトファイルのソースコードのハッシュ値を、ユーザセキュリティレベルに応じて予め設定された秘密鍵で暗号化することによって、コード署名（以下、第１コード署名）を生成する。

【0088】

車載装置２は、スクリプトファイルを認証サーバ３から受信すると、少なくとも１つの収集対象データの種別に基づき、収集対象データの種別のそれぞれについて、収集対象データへのアクセスに関するデータセキュリティレベルを決定する。

【0089】

車載装置２は、スクリプトファイルのソースコードのハッシュ値を、データセキュリティレベルに応じて予め設定された秘密鍵で暗号化することによって、収集対象データの種別のそれぞれについてコード署名（以下、第２コード署名）を生成する。

【0090】

車載装置２は、第１コード署名と第２コード署名とを用いて、収集対象データの種別のそれぞれについて、認証を行う。

【0091】

車載装置２は、認証に成功した場合には、スクリプトファイルを実行することによる収集対象データの収集を許可し、認証に失敗した場合には、スクリプトファイルを実行することによる収集対象データの収集を禁止する。具体的には、車載装置２は、複数の収集対象データのうち、認証に成功したと判断された収集対象データの種別に対応する収集対象データの収集を許可する。

【0092】

このような認証システム１は、受信したスクリプトファイルを実行する前に認証を一度行えば、スクリプトファイルに規定されている収集条件が成立する毎に、収集条件に対応する収集対象データを車載装置２から認証サーバ３へ送信することができる。すなわち、認証システム１は、収集条件が成立する度に操作者が認証サーバ３へアクセス要求を送信する必要がなくなり、収集条件が成立する度に認証を行う必要が無い。このため、認証システム１は、車両データを収集するための認証の処理負荷を低減することができる。

【0093】

さらに認証システム１は、秘密鍵で暗号化することによって生成されるコード署名を用いて認証を行っているため、操作者が収集対象データに関し正当なアクセス権を有しているか否かを各車両にて検証することができる。

【0094】

また、スクリプトファイルのソースコードは、スクリプト言語を用いて、種別が同一の収集対象データ毎に分類されて記述されている。このような認証システム１は、パーミッション定義を付与するための処理負荷を低減することができる。
また認証サーバ３は、スクリプトファイルのソースコードのハッシュ値を暗号化することによって第１コード署名を生成する。また車載装置２は、スクリプトファイルのソースコードのハッシュ値を暗号化することによって第２コード署名を生成する。これにより、認証システム１は、生成した第１，２コード署名のデータサイズを低減することができる。

【0095】

また車載装置２は、認証が失敗したと判断した場合に、認証が失敗した旨を対象車両において報知する。これにより、認証システム１は、認証が失敗した場合において、認証が失敗した旨を対象車両の乗員に認識させることができる。

【0096】

以上説明した実施形態において、認証サーバ３はサーバに相当し、Ｓ７０は第１セキュリティレベル決定部としての処理に相当し、Ｓ８０，Ｓ９０は第１署名生成部としての処理に相当する。

【0097】

また、Ｓ２３０は第２セキュリティレベル決定部としての処理に相当し、Ｓ４５０は第２署名生成部としての処理に相当し、Ｓ４２０，Ｓ４３０，Ｓ４６０，Ｓ４８０は認証部としての処理に相当し、Ｓ４９０，Ｓ５００はた実行制御部としての処理に相当する。

【0098】

また、操作者はアクセス要求元に相当し、スクリプトファイルはデータ収集プログラムに相当し、ユーザセキュリティレベルは第１セキュリティレベルに相当し、Ｓ９０で取得した秘密鍵は第１暗号鍵に相当し、データセキュリティレベルは第２セキュリティレベルに相当し、Ｓ４５０で取得した秘密鍵は第２暗号鍵に相当する。
また、ソースコードのハッシュ値およびオブジェクトコードのハッシュ値は、プログラムに関連した値に相当する。

【0099】

また、Ｓ１００，Ｓ１１０はパッケージ送信部としての処理に相当し、ＤＩＤはデータ種別情報に相当し、Ｓ６１０，Ｓ６２０は許可実行部としての処理に相当し、Ｓ７４０は認証報知部としての処理に相当する。

【0100】

以上、本開示の一実施形態について説明したが、本開示は上記実施形態に限定されるものではなく、種々変形して実施することができる。
［変形例１］
上記実施形態では、認証に成功したＤＩＤに対応する収集対象データに対してパーミッション定義が付与される形態を示した。しかし、認証に失敗したＤＩＤが存在する場合には、全ての収集対象データに対してパーミッション定義を付与しない（すなわち、スクリプトファイルの実行を禁止する）ようにしてもよい。このような認証システム１は、認証に失敗したＤＩＤを発見した時点で認証を終了することができるため、認証の処理負荷を低減することができる。

【0101】

［変形例２］
上記実施形態では、マニフェストファイルに含まれる全ての使用ＤＩＤについて認証を行う形態を示した。しかし、マニフェストファイルに含まれる全ての使用ＤＩＤのうち、データセキュリティレベルが最も高い使用ＤＩＤを１つ選択し、選択した１つの使用ＤＩＤについて認証を行うようにしてもよい。

【0102】

例えば、マニフェストファイルに含まれる全ての使用ＤＩＤについて、データセキュリティレベルが「２」または「３」である場合には、データセキュリティレベルが「２」である使用ＤＩＤが１つ選択される。そして、選択した使用ＤＩＤで認証に成功した場合（すなわち、ユーザセキュリティレベルが「１」または「２」である場合）には、マニフェストファイルに含まれる全ての使用ＤＩＤについて、パーミッション定義が付与される。一方、選択した使用ＤＩＤで認証に失敗した場合（すなわち、ユーザセキュリティレベルが「３」である場合）には、マニフェストファイルに含まれる全ての使用ＤＩＤについて、パーミッション定義が付与されない。

【0103】

このような認証システム１は、認証の処理負荷を低減することができる。
［変形例３］
上記実施形態では、認証が失敗した場合に、認証が失敗した旨を示す監査ログを記憶する形態を示した。しかし、予め設定された判定期間内（例えば、３分間）において認証が失敗した回数が予め設定された判定回数（例えば、３回）以上となった場合には、予め設定された指定時間（例えば、３分）が経過するまで、同一のアクセス要求を受け付けないようにしてもよい。これにより、認証システム１は、ＤｏＳ攻撃によって車両データへ不正にアクセスされる事態の発生を抑制することができる。ＤｏＳは、Denial of Serviceの略である。
［変形例４］
上記実施形態では、処理実行リクエストに付加された配信パッケージのマニフェストファイルにアプリＩＤ、使用ＤＩＤ、コード署名およびタイミング情報が含まれている形態を示した。しかし、車載装置２は、マニフェストファイルに含まれている情報を、処理実行リクエストのパラメータとして受け取るようにしてもよい。

【0104】

本開示に記載の制御部１１，３１およびその手法は、コンピュータプログラムにより具体化された一つ乃至は複数の機能を実行するようにプログラムされたプロセッサおよびメモリを構成することによって提供された専用コンピュータにより、実現されてもよい。あるいは、本開示に記載の制御部１１，３１およびその手法は、一つ以上の専用ハードウェア論理回路によってプロセッサを構成することによって提供された専用コンピュータにより、実現されてもよい。もしくは、本開示に記載の制御部１１，３１およびその手法は、一つ乃至は複数の機能を実行するようにプログラムされたプロセッサおよびメモリと一つ以上のハードウェア論理回路によって構成されたプロセッサとの組み合わせにより構成された一つ以上の専用コンピュータにより、実現されてもよい。また、コンピュータプログラムは、コンピュータにより実行されるインストラクションとして、コンピュータ読み取り可能な非遷移有形記録媒体に記憶されてもよい。制御部１１，３１に含まれる各部の機能を実現する手法には、必ずしもソフトウェアが含まれている必要はなく、その全部の機能が、一つあるいは複数のハードウェアを用いて実現されてもよい。

【0105】

上記実施形態における１つの構成要素が有する複数の機能を、複数の構成要素によって実現したり、１つの構成要素が有する１つの機能を、複数の構成要素によって実現したりしてもよい。また、複数の構成要素が有する複数の機能を、１つの構成要素によって実現したり、複数の構成要素によって実現される１つの機能を、１つの構成要素によって実現したりしてもよい。また、上記実施形態の構成の一部を省略してもよい。また、上記実施形態の構成の少なくとも一部を、他の上記実施形態の構成に対して付加または置換してもよい。

【0106】

上述した車載装置２および認証サーバ３の他、当該車載装置２および当該認証サーバ３を構成要素とするシステム、当該車載装置２および当該認証サーバ３としてコンピュータを機能させるための認証プログラム、この認証プログラムを記録した半導体メモリ等の非遷移的実体的記録媒体、認証方法など、種々の形態で本開示を実現することもできる。

【符号の説明】

【0107】

１…認証システム、２…車載装置、３…認証サーバ

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】