(57)【要約】      （修正有）【課題】自動車等の車両がメンテナンスツールを認証する仕組みを改善した車両メンテナンスシステムを提供する。【解決手段】車両メンテナンスシステムのメンテナンスサーバ装置１０は、車両のメンテナンスツール３０に対応するツール認証鍵を鍵登録鍵で暗号化して暗号化ツール認証鍵を生成し、暗号化ツール認証鍵をメンテナンスツール３０へ送信する。メンテナンスツール３０は、暗号化ツール認証鍵を車両５０に搭載される認証装置５３へ送信し、ツール認証鍵を使用して認証装置５３との間で認証処理を実行する。認証装置５３は、メンテナンスサーバ装置１０の鍵登録鍵と同じ鍵登録鍵を記憶し、暗号化ツール認証鍵を記憶する鍵登録鍵で復号し、暗号化ツール認証鍵の復号結果のツール認証鍵を使用してメンテナンスツール３０との間で認証処理を実行する。【選択図】図５
2020088417.tif 000002
【特許請求の範囲】
【請求項１】
メンテナンスサーバ装置と、車両のメンテナンスツールと、前記車両に搭載される認証装置とを備え、
前記メンテナンスサーバ装置は、
前記メンテナンスツールと通信を行うサーバ通信部と、
鍵登録鍵を記憶する鍵登録鍵サーバ記憶部と、
前記メンテナンスツールに対応するツール認証鍵を前記鍵登録鍵サーバ記憶部に記憶される鍵登録鍵で暗号化して暗号化ツール認証鍵を生成するサーバ暗号処理部と、を備え、前記暗号化ツール認証鍵を前記メンテナンスツールへ送信し、
前記メンテナンスツールは、
前記メンテナンスサーバ装置と通信を行うサーバ間通信部と、
前記認証装置と通信を行う認証装置間通信部と、
前記ツール認証鍵を使用して前記認証装置との間で認証処理を実行するツール認証処理部と、を備え、前記暗号化ツール認証鍵を前記認証装置へ送信し、
前記認証装置は、
前記メンテナンスツールと通信を行うツール間通信部と、
前記鍵登録鍵サーバ記憶部が記憶する鍵登録鍵と同じ鍵登録鍵を記憶する鍵登録鍵車両記憶部と、
前記暗号化ツール認証鍵を、前記鍵登録鍵車両記憶部が記憶する鍵登録鍵で復号する車両暗号処理部と、
前記暗号化ツール認証鍵の復号結果のツール認証鍵を使用して前記メンテナンスツールとの間で認証処理を実行する車両認証処理部と、を備える、
車両メンテナンスシステム。
【請求項２】
端末装置と通信を行う端末間通信部と、
メンテナンス対象の車両と通信を行う車両間通信部と、
鍵登録鍵を記憶する鍵登録鍵サーバ記憶部と、
前記車両のメンテナンスツールに対応するツール認証鍵を前記鍵登録鍵サーバ記憶部に記憶される鍵登録鍵で暗号化して、前記車両へ送信される暗号化ツール認証鍵を生成するサーバ暗号処理部と、
前記端末装置からのメンテナンス開始要求に応じて、前記ツール認証鍵を使用して前記車両に搭載される認証装置との間で認証処理を実行するツール認証処理部と、
を備えるメンテナンスサーバ装置。
【請求項３】
符号鍵を記憶する符号鍵サーバ記憶部と、
検証対象情報を対象にして前記符号鍵サーバ記憶部に記憶される符号鍵でメッセージ認証符号を生成するメッセージ認証符号生成部と、をさらに備え、
前記検証対象情報及び前記メッセージ認証符号を前記車両へ送信する、
請求項２に記載のメンテナンスサーバ装置。
【請求項４】
車両に搭載される認証装置において、
メンテナンスサーバ装置と通信を行うサーバ間通信部と、
前記メンテナンスサーバ装置が記憶する鍵登録鍵と同じ鍵登録鍵を記憶する鍵登録鍵車両記憶部と、
前記メンテナンスサーバ装置から受信した暗号化ツール認証鍵を、前記鍵登録鍵車両記憶部が記憶する鍵登録鍵で復号する車両暗号処理部と、
前記暗号化ツール認証鍵の復号結果のツール認証鍵を使用して前記メンテナンスサーバ装置との間で認証処理を実行する車両認証処理部と、
を備える認証装置。
【請求項５】
前記メンテナンスサーバ装置が記憶する符号鍵と同じ符号鍵を記憶する符号鍵車両記憶部と、
前記メンテナンスサーバ装置から受信したメッセージ認証符号を、前記符号鍵車両記憶部が記憶する符号鍵で検証する符号検証部と、
を備える請求項４に記載の認証装置。
【請求項６】
車両に搭載される認証装置と通信を行う認証装置間通信部と、
符号鍵を記憶する符号鍵ツール記憶部と、
前記認証装置から受信した認証情報を対象にして前記符号鍵ツール記憶部に記憶される符号鍵でメッセージ認証符号を生成するメッセージ認証符号生成部と、を備え、
前記メッセージ認証符号を前記認証装置へ送信する、
メンテナンスツール。
【請求項７】
車両に搭載される認証装置において、
メンテナンスツールと通信を行うツール間通信部と、
前記メンテナンスツールが記憶する符号鍵と同じ符号鍵を記憶する符号鍵車両記憶部と、
前記メンテナンスツールから受信したメッセージ認証符号を、前記符号鍵車両記憶部が記憶する符号鍵で検証する符号検証部と、
を備える認証装置。
【請求項８】
端末装置と通信を行う端末間通信部と、
メンテナンス対象の車両と通信を行う車両間通信部と、
符号鍵を記憶する符号鍵ツール記憶部と、
前記端末装置からのメンテナンス開始要求に応じて、前記車両から受信した認証情報を対象にして前記符号鍵ツール記憶部に記憶される符号鍵でメッセージ認証符号を生成するメッセージ認証符号生成部と、を備え、
前記メッセージ認証符号を前記車両へ送信する、
メンテナンスサーバ装置。
【請求項９】
車両に搭載される認証装置において、
メンテナンスサーバ装置と通信を行うサーバ間通信部と、
前記メンテナンスサーバ装置が記憶する符号鍵と同じ符号鍵を記憶する符号鍵車両記憶部と、
前記メンテナンスサーバ装置から受信したメッセージ認証符号を、前記符号鍵車両記憶部が記憶する符号鍵で検証する符号検証部と、
を備える認証装置。
【請求項１０】
コンピュータに、
端末装置と通信を行う端末間通信ステップと、
メンテナンス対象の車両と通信を行う車両間通信ステップと、
鍵登録鍵を鍵登録鍵サーバ記憶部に記憶する鍵登録鍵サーバ記憶ステップと、
前記車両のメンテナンスツールに対応するツール認証鍵を前記鍵登録鍵サーバ記憶部に記憶される鍵登録鍵で暗号化して、前記車両へ送信される暗号化ツール認証鍵を生成するサーバ暗号処理ステップと、
前記端末装置からのメンテナンス開始要求に応じて、前記ツール認証鍵を使用して前記車両に搭載される認証装置との間で認証処理を実行するツール認証処理ステップと、
を実行させるためのコンピュータプログラム。
【請求項１１】
車両に搭載されるコンピュータに、
メンテナンスサーバ装置と通信を行うサーバ間通信ステップと、
前記メンテナンスサーバ装置が記憶する鍵登録鍵と同じ鍵登録鍵を鍵登録鍵車両記憶部に記憶する鍵登録鍵車両記憶ステップと、
前記メンテナンスサーバ装置から受信した暗号化ツール認証鍵を、前記鍵登録鍵車両記憶部が記憶する鍵登録鍵で復号する車両暗号処理ステップと、
前記暗号化ツール認証鍵の復号結果のツール認証鍵を使用して前記メンテナンスサーバ装置との間で認証処理を実行する車両認証処理ステップと、
を実行させるためのコンピュータプログラム。
【請求項１２】
コンピュータに、
車両に搭載される認証装置と通信を行う認証装置間通信ステップと、
符号鍵を符号鍵ツール記憶部に記憶する符号鍵ツール記憶ステップと、
前記認証装置から受信した認証情報を対象にして前記符号鍵ツール記憶部に記憶される符号鍵でメッセージ認証符号を生成するメッセージ認証符号生成ステップと、
前記メッセージ認証符号を前記認証装置へ送信するステップと、
を実行させるためのコンピュータプログラム。
【請求項１３】
車両に搭載されるコンピュータに、
メンテナンスツールと通信を行うツール間通信ステップと、
前記メンテナンスツールが記憶する符号鍵と同じ符号鍵を符号鍵車両記憶部に記憶する符号鍵車両記憶ステップと、
前記メンテナンスツールから受信したメッセージ認証符号を、前記符号鍵車両記憶部が記憶する符号鍵で検証する符号検証ステップと、
を実行させるためのコンピュータプログラム。
【請求項１４】
コンピュータに、
端末装置と通信を行う端末間通信ステップと、
メンテナンス対象の車両と通信を行う車両間通信ステップと、
符号鍵を符号鍵ツール記憶部に記憶する符号鍵ツール記憶ステップと、
前記端末装置からのメンテナンス開始要求に応じて、前記車両から受信した認証情報を対象にして前記符号鍵ツール記憶部に記憶される符号鍵でメッセージ認証符号を生成するメッセージ認証符号生成ステップと、
前記メッセージ認証符号を前記車両へ送信するステップと、
を実行させるためのコンピュータプログラム。
【請求項１５】
車両に搭載されるコンピュータに、
メンテナンスサーバ装置と通信を行うサーバ間通信ステップと、
前記メンテナンスサーバ装置が記憶する符号鍵と同じ符号鍵を符号鍵車両記憶部に記憶する符号鍵車両記憶ステップと、
前記メンテナンスサーバ装置から受信したメッセージ認証符号を、前記符号鍵車両記憶部が記憶する符号鍵で検証する符号検証ステップと、
を実行させるためのコンピュータプログラム。
【請求項１６】
メンテナンスサーバ装置が、車両のメンテナンスツールに対応するツール認証鍵を鍵登録鍵で暗号化して暗号化ツール認証鍵を生成するサーバ暗号処理ステップと、
前記メンテナンスサーバ装置が、前記暗号化ツール認証鍵を前記メンテナンスツールへ送信するステップと、
前記メンテナンスツールが、前記暗号化ツール認証鍵を、前記車両に搭載される認証装置へ送信するステップと、
前記メンテナンスツールが、前記ツール認証鍵を使用して前記認証装置との間で認証処理を実行するツール認証処理ステップと、
前記認証装置が、前記メンテナンスサーバ装置の鍵登録鍵と同じ鍵登録鍵を記憶する鍵登録鍵車両記憶部を備え、
前記認証装置が、前記暗号化ツール認証鍵を、前記鍵登録鍵車両記憶部が記憶する鍵登録鍵で復号する車両暗号処理ステップと、
前記認証装置が、前記暗号化ツール認証鍵の復号結果のツール認証鍵を使用して前記メンテナンスツールとの間で認証処理を実行する車両認証処理ステップと、
を含む車両メンテナンス方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車両メンテナンスシステム、メンテナンスサーバ装置、認証装置、メンテナンスツール、コンピュータプログラム及び車両メンテナンス方法に関する。
【背景技術】
【０００２】
従来、自動車は、ＥＣＵ（Electronic Control Unit：電子制御装置）を有し、ＥＣＵによってエンジン制御等の機能を実現する。ＥＣＵは、コンピュータの一種であり、コンピュータプログラムによって所望の機能を実現する。複数のＥＣＵをＣＡＮ（Controller Area Network）に接続して構成される車載制御システムについてのセキュリティ技術が例えば非特許文献１に記載されている。
【先行技術文献】
【非特許文献】
【０００３】
【非特許文献１】竹森敬祐、“セキュアエレメントを基点とした車載制御システムの保護  −要素技術の整理と考察−”、電子情報通信学会、信学技報、vol. 114、no. 508、pp. 73-78、2015年3月
【非特許文献２】STMicroelectronics、“AN4240 Application note”、［平成３０年１１月８日検索］、インターネット＜ＵＲＬ：http://www.st.com/web/en/resource/technical/document/application_note/DM00075575.pdf＞
【発明の概要】
【発明が解決しようとする課題】
【０００４】
自動車の車載制御システムのＥＣＵの診断やコンピュータプログラムの更新等のメンテナンス（保守）作業の際に、メンテナンスされる自動車がメンテナンスに使用されるメンテナンスツールを認証する、車両メンテナンスシステムを想定する。この車両メンテナンスシステムの場合、認証対象のメンテナンスツールの種別毎に個別の認証鍵を各自動車に予め設定しておくことにより、メンテナンス作業の際には、自動車が認証対象のメンテナンスツールに対応する認証鍵を使用して認証を行うことが考えられる。しかし、認証対象のメンテナンスツールの種別数が多いと、その分の個別の認証鍵を各自動車に設定することは負担になる可能性があった。また、自動車製造工場で認証鍵を各自動車に設定する場合、自動車の出荷後に販売されたメンテナンスツールの新製品については、当該自動車では認証されないので適用できないという不都合が生じる。
【０００５】
本発明は、このような事情を考慮してなされたものであり、その目的は、自動車等の車両のメンテナンスツールの認証の仕組みを改善することにある。
【課題を解決するための手段】
【０００６】
（１）本発明の一態様は、メンテナンスサーバ装置と、車両のメンテナンスツールと、前記車両に搭載される認証装置とを備え、前記メンテナンスサーバ装置は、前記メンテナンスツールと通信を行うサーバ通信部と、鍵登録鍵を記憶する鍵登録鍵サーバ記憶部と、前記メンテナンスツールに対応するツール認証鍵を前記鍵登録鍵サーバ記憶部に記憶される鍵登録鍵で暗号化して暗号化ツール認証鍵を生成するサーバ暗号処理部と、を備え、前記暗号化ツール認証鍵を前記メンテナンスツールへ送信し、前記メンテナンスツールは、前記メンテナンスサーバ装置と通信を行うサーバ間通信部と、前記認証装置と通信を行う認証装置間通信部と、前記ツール認証鍵を使用して前記認証装置との間で認証処理を実行するツール認証処理部と、を備え、前記暗号化ツール認証鍵を前記認証装置へ送信し、前記認証装置は、前記メンテナンスツールと通信を行うツール間通信部と、前記鍵登録鍵サーバ記憶部が記憶する鍵登録鍵と同じ鍵登録鍵を記憶する鍵登録鍵車両記憶部と、前記暗号化ツール認証鍵を、前記鍵登録鍵車両記憶部が記憶する鍵登録鍵で復号する車両暗号処理部と、前記暗号化ツール認証鍵の復号結果のツール認証鍵を使用して前記メンテナンスツールとの間で認証処理を実行する車両認証処理部と、を備える、車両メンテナンスシステムである。
【０００７】
（２）本発明の一態様は、端末装置と通信を行う端末間通信部と、メンテナンス対象の車両と通信を行う車両間通信部と、鍵登録鍵を記憶する鍵登録鍵サーバ記憶部と、前記車両のメンテナンスツールに対応するツール認証鍵を前記鍵登録鍵サーバ記憶部に記憶される鍵登録鍵で暗号化して、前記車両へ送信される暗号化ツール認証鍵を生成するサーバ暗号処理部と、前記端末装置からのメンテナンス開始要求に応じて、前記ツール認証鍵を使用して前記車両に搭載される認証装置との間で認証処理を実行するツール認証処理部と、を備えるメンテナンスサーバ装置である。
（３）本発明の一態様は、符号鍵を記憶する符号鍵サーバ記憶部と、検証対象情報を対象にして前記符号鍵サーバ記憶部に記憶される符号鍵でメッセージ認証符号を生成するメッセージ認証符号生成部と、をさらに備え、前記検証対象情報及び前記メッセージ認証符号を前記車両へ送信する、上記（２）のメンテナンスサーバ装置である。
（４）本発明の一態様は、車両に搭載される認証装置において、メンテナンスサーバ装置と通信を行うサーバ間通信部と、前記メンテナンスサーバ装置が記憶する鍵登録鍵と同じ鍵登録鍵を記憶する鍵登録鍵車両記憶部と、前記メンテナンスサーバ装置から受信した暗号化ツール認証鍵を、前記鍵登録鍵車両記憶部が記憶する鍵登録鍵で復号する車両暗号処理部と、前記暗号化ツール認証鍵の復号結果のツール認証鍵を使用して前記メンテナンスサーバ装置との間で認証処理を実行する車両認証処理部と、を備える認証装置である。
（５）本発明の一態様は、前記メンテナンスサーバ装置が記憶する符号鍵と同じ符号鍵を記憶する符号鍵車両記憶部と、前記メンテナンスサーバ装置から受信したメッセージ認証符号を、前記符号鍵車両記憶部が記憶する符号鍵で検証する符号検証部と、を備える上記（４）の認証装置である。
【０００８】
（６）本発明の一態様は、車両に搭載される認証装置と通信を行う認証装置間通信部と、符号鍵を記憶する符号鍵ツール記憶部と、前記認証装置から受信した認証情報を対象にして前記符号鍵ツール記憶部に記憶される符号鍵でメッセージ認証符号を生成するメッセージ認証符号生成部と、を備え、前記メッセージ認証符号を前記認証装置へ送信する、メンテナンスツールである。
（７）本発明の一態様は、車両に搭載される認証装置において、メンテナンスツールと通信を行うツール間通信部と、前記メンテナンスツールが記憶する符号鍵と同じ符号鍵を記憶する符号鍵車両記憶部と、前記メンテナンスツールから受信したメッセージ認証符号を、前記符号鍵車両記憶部が記憶する符号鍵で検証する符号検証部と、を備える認証装置である。
【０００９】
（８）本発明の一態様は、端末装置と通信を行う端末間通信部と、メンテナンス対象の車両と通信を行う車両間通信部と、符号鍵を記憶する符号鍵ツール記憶部と、前記端末装置からのメンテナンス開始要求に応じて、前記車両から受信した認証情報を対象にして前記符号鍵ツール記憶部に記憶される符号鍵でメッセージ認証符号を生成するメッセージ認証符号生成部と、を備え、前記メッセージ認証符号を前記車両へ送信する、メンテナンスサーバ装置である。
（９）本発明の一態様は、車両に搭載される認証装置において、メンテナンスサーバ装置と通信を行うサーバ間通信部と、前記メンテナンスサーバ装置が記憶する符号鍵と同じ符号鍵を記憶する符号鍵車両記憶部と、前記メンテナンスサーバ装置から受信したメッセージ認証符号を、前記符号鍵車両記憶部が記憶する符号鍵で検証する符号検証部と、を備える認証装置である。
【００１０】
（１０）本発明の一態様は、コンピュータに、端末装置と通信を行う端末間通信ステップと、メンテナンス対象の車両と通信を行う車両間通信ステップと、鍵登録鍵を鍵登録鍵サーバ記憶部に記憶する鍵登録鍵サーバ記憶ステップと、前記車両のメンテナンスツールに対応するツール認証鍵を前記鍵登録鍵サーバ記憶部に記憶される鍵登録鍵で暗号化して、前記車両へ送信される暗号化ツール認証鍵を生成するサーバ暗号処理ステップと、前記端末装置からのメンテナンス開始要求に応じて、前記ツール認証鍵を使用して前記車両に搭載される認証装置との間で認証処理を実行するツール認証処理ステップと、を実行させるためのコンピュータプログラムである。
（１１）本発明の一態様は、車両に搭載されるコンピュータに、メンテナンスサーバ装置と通信を行うサーバ間通信ステップと、前記メンテナンスサーバ装置が記憶する鍵登録鍵と同じ鍵登録鍵を鍵登録鍵車両記憶部に記憶する鍵登録鍵車両記憶ステップと、
前記メンテナンスサーバ装置から受信した暗号化ツール認証鍵を、前記鍵登録鍵車両記憶部が記憶する鍵登録鍵で復号する車両暗号処理ステップと、前記暗号化ツール認証鍵の復号結果のツール認証鍵を使用して前記メンテナンスサーバ装置との間で認証処理を実行する車両認証処理ステップと、を実行させるためのコンピュータプログラムである。
【００１１】
（１２）本発明の一態様は、コンピュータに、車両に搭載される認証装置と通信を行う認証装置間通信ステップと、符号鍵を符号鍵ツール記憶部に記憶する符号鍵ツール記憶ステップと、前記認証装置から受信した認証情報を対象にして前記符号鍵ツール記憶部に記憶される符号鍵でメッセージ認証符号を生成するメッセージ認証符号生成ステップと、前記メッセージ認証符号を前記認証装置へ送信するステップと、を実行させるためのコンピュータプログラムである。
（１３）本発明の一態様は、車両に搭載されるコンピュータに、メンテナンスツールと通信を行うツール間通信ステップと、前記メンテナンスツールが記憶する符号鍵と同じ符号鍵を符号鍵車両記憶部に記憶する符号鍵車両記憶ステップと、前記メンテナンスツールから受信したメッセージ認証符号を、前記符号鍵車両記憶部が記憶する符号鍵で検証する符号検証ステップと、を実行させるためのコンピュータプログラムである。
【００１２】
（１４）本発明の一態様は、コンピュータに、端末装置と通信を行う端末間通信ステップと、メンテナンス対象の車両と通信を行う車両間通信ステップと、符号鍵を符号鍵ツール記憶部に記憶する符号鍵ツール記憶ステップと、前記端末装置からのメンテナンス開始要求に応じて、前記車両から受信した認証情報を対象にして前記符号鍵ツール記憶部に記憶される符号鍵でメッセージ認証符号を生成するメッセージ認証符号生成ステップと、前記メッセージ認証符号を前記車両へ送信するステップと、を実行させるためのコンピュータプログラムである。
（１５）本発明の一態様は、車両に搭載されるコンピュータに、メンテナンスサーバ装置と通信を行うサーバ間通信ステップと、前記メンテナンスサーバ装置が記憶する符号鍵と同じ符号鍵を符号鍵車両記憶部に記憶する符号鍵車両記憶ステップと、前記メンテナンスサーバ装置から受信したメッセージ認証符号を、前記符号鍵車両記憶部が記憶する符号鍵で検証する符号検証ステップと、を実行させるためのコンピュータプログラムである。
【００１３】
（１６）本発明の一態様は、メンテナンスサーバ装置が、車両のメンテナンスツールに対応するツール認証鍵を鍵登録鍵で暗号化して暗号化ツール認証鍵を生成するサーバ暗号処理ステップと、前記メンテナンスサーバ装置が、前記暗号化ツール認証鍵を前記メンテナンスツールへ送信するステップと、前記メンテナンスツールが、前記暗号化ツール認証鍵を、前記車両に搭載される認証装置へ送信するステップと、前記メンテナンスツールが、前記ツール認証鍵を使用して前記認証装置との間で認証処理を実行するツール認証処理ステップと、前記認証装置が、前記メンテナンスサーバ装置の鍵登録鍵と同じ鍵登録鍵を記憶する鍵登録鍵車両記憶部を備え、前記認証装置が、前記暗号化ツール認証鍵を、前記鍵登録鍵車両記憶部が記憶する鍵登録鍵で復号する車両暗号処理ステップと、前記認証装置が、前記暗号化ツール認証鍵の復号結果のツール認証鍵を使用して前記メンテナンスツールとの間で認証処理を実行する車両認証処理ステップと、を含む車両メンテナンス方法である。
【発明の効果】
【００１４】
本発明によれば、自動車等の車両のメンテナンスツールの認証の仕組みを改善することができるという効果が得られる。
【図面の簡単な説明】
【００１５】
【図１】第１実施形態に係る車両メンテナンスシステム及び自動車の構成例を示す図である。
【図２】第１実施形態に係る実施形態に係るメンテナンスサーバ装置の機能構成例を示す図である。
【図３】第１実施形態に係るメンテナンスツールの機能構成例を示す図である。
【図４】第１実施形態に係るＧＷ装置の機能構成例を示す図である。
【図５】第１実施形態に係る車両メンテナンス方法の例を示すシーケンスチャートである。
【図６】第１実施形態に係るＣＭＡＣ算出対象及び暗号化対象の例を示す図である。
【図７】第１実施形態に係るＣＭＡＣ算出対象及び暗号化対象の例を示す図である。
【図８】第２実施形態に係る車両メンテナンスシステム及び自動車の構成例を示す図である。
【図９】第２実施形態に係るメンテナンスサーバ装置の機能構成例を示す図である。
【図１０】第２実施形態に係る操作端末の機能構成例を示す図である。
【図１１】第２実施形態に係る車両メンテナンス方法の例を示すシーケンスチャートである。
【図１２】第３実施形態に係る車両メンテナンスシステム及び自動車の構成例を示す図である。
【図１３】第３実施形態に係るメンテナンスツールの機能構成例を示す図である。
【図１４】第３実施形態に係るＧＷ装置の機能構成例を示す図である。
【図１５】第３実施形態に係る車両メンテナンス方法の例を示すシーケンスチャートである。
【図１６】第３実施形態に係るＣＭＡＣ算出対象の例を示す図である。
【図１７】第３実施形態に係るＣＭＡＣ算出対象の例を示す図である。
【図１８】第４実施形態に係る車両メンテナンスシステム及び自動車の構成例を示す図である。
【図１９】第４実施形態に係るメンテナンスサーバ装置の機能構成例を示す図である。
【図２０】第４実施形態に係る車両メンテナンス方法の例を示すシーケンスチャートである。
【発明を実施するための形態】
【００１６】
以下、図面を参照し、本発明の実施形態について説明する。なお、以下に示す実施形態では、車両として自動車を例に挙げて説明する。
【００１７】
［第１実施形態］
図１は、第１実施形態に係る車両メンテナンスシステム及び自動車の構成例を示す図である。車両メンテナンスシステム１は、メンテナンスサーバ装置１０と、メンテナンスツール３０と、自動車５０に搭載される認証装置としてのゲートウェイ（ＧＷ）装置５３とを備える。ＧＷ装置５３は、自動車５０に搭載される認証装置の例である。メンテナンスサーバ装置１０及びメンテナンスツール３０は、通信ネットワーク２０に通信接続される。メンテナンスサーバ装置１０とメンテナンスツール３０とは、通信ネットワーク２０により相互に通信を行う。
【００１８】
通信ネットワーク２０として、例えば、インターネット等の広域ネットワークを利用してもよく、又は、ローカルエリアネットワーク（Local Area Network：ＬＡＮ）であってもよい。また、通信ネットワーク２０は、有線ネットワーク若しくは無線ネットワークであってもよく、又は、有線ネットワークと無線ネットワークとの組合せであってもよい。
【００１９】
自動車５０は、ＴＣＵ（Tele Communication Unit）５１と、車載インフォテイメント（In-Vehicle Infotainment：ＩＶＩ）機器５２と、ＧＷ装置５３と、通信ネットワーク５４と、複数のＥＣＵ（電子制御装置）５５と、メンテナンスポート５６とを備える。
【００２０】
ＥＣＵ５５は、自動車５０に備わる車載コンピュータである。ＥＣＵ５５は、自動車５０のエンジン制御等の制御機能を有する。ＥＣＵ５５として、例えば、エンジン制御機能を有するＥＣＵ、ハンドル制御機能を有するＥＣＵ、ブレーキ制御機能を有するＥＣＵなどがある。ＧＷ装置５３は、自動車５０に搭載されたＥＣＵ５５に適用されるデータのセキュリティ（保安）の機能を有する。なお、自動車５０に搭載されたいずれかのＥＣＵをＧＷ装置５３として機能させてもよい。
【００２１】
ＧＷ装置５３と複数のＥＣＵ５５は、自動車５０に備わる通信ネットワーク（以下、車載ネットワークと称する）５４に接続される。ＧＷ装置５３は、車載ネットワーク５４を介して、各ＥＣＵ５５との間でデータを交換する。ＥＣＵ５５は、車載ネットワーク５４を介して、他のＥＣＵ５５との間でデータを交換する。本実施形態の一例として、車載ネットワーク５４は、ＣＡＮ（Controller Area Network）である。ＣＡＮは車両に搭載される通信ネットワークの一例として知られている。ＣＡＮに接続される送信ノードと受信ノードとは、ＣＡＮを介してＣＡＮパケットを送受することにより、通信を行う。
【００２２】
なお、車両に搭載される通信ネットワークとして、ＣＡＮ以外の通信ネットワークを自動車５０に備え、ＣＡＮ以外の通信ネットワークを介して、ＧＷ装置５３とＥＣＵ５５との間のデータの交換、及び、ＥＣＵ５５同士の間のデータの交換が行われてもよい。例えば、ＬＩＮ（Local Interconnect Network）を自動車５０に備えてもよい。また、ＣＡＮとＬＩＮとを自動車５０に備えてもよい。
【００２３】
自動車５０の車載コンピュータシステムは、ＧＷ装置５３と複数のＥＣＵ５５とが車載ネットワーク５４に接続されて構成される。ＧＷ装置５３は、自動車５０の車載コンピュータシステムの内部と外部の間の通信を監視する。ＥＣＵ５５は、ＧＷ装置５３を介して、車載コンピュータシステムの外部の装置と通信を行う。
【００２４】
なお、車載ネットワーク５４の構成として、車載ネットワーク５４が複数のバス（通信線）を備え、該複数のバスをＧＷ装置５３に接続してもよい。この場合、一つのバスに、一つのＥＣＵ５５又は複数のＥＣＵ５５が接続される。
【００２５】
ＴＣＵ５１は通信装置である。ＴＣＵ５１は、自動車５０の車外の装置と通信を行う。ＴＣＵ５１は、例えば、携帯電話ネットワークや無線ＬＡＮ等の無線通信ネットワークを利用して自動車５０の外部の装置と通信を行う。また、ＴＣＵ５１は、例えばＢｌｕｅｔｏｏｔｈ（登録商標）等の近距離無線通信方式により、自動車５０の外部の装置と通信を行ってもよい。
【００２６】
ＩＶＩ機器５２は、例えば、ナビゲーション機能、位置情報サービス機能、音楽や動画などのマルチメディア再生機能、音声通信機能、データ通信機能、インターネット接続機能などを備える。ＩＶＩ機器５２は、ユーザの操作に応じたデータ入力を行うための、キーボード、テンキー、マウス等の入力デバイスと、データ表示を行うための液晶表示装置等の表示デバイスとを備える。ＩＶＩ機器５２は、データ入力とデータ表示の両方が可能なタッチパネルを備えてもよい。
【００２７】
自動車５０はメンテナンスポート５６を備える。メンテナンスポート５６はＧＷ装置５３に接続される。メンテナンスポート５６として、例えばＯＢＤ（On-board Diagnostics）ポートを使用してもよい。メンテナンスポート５６には、端末装置を接続可能である。メンテナンスポート５６に接続可能な端末装置として、例えば、図１に示されるメンテナンスツール３０がある。ＧＷ装置５３と、メンテナンスポート５６に接続された装置、例えばメンテナンスツール３０とは、メンテナンスポート５６を介して、データを交換する。
【００２８】
ＴＣＵ５１は、ＩＶＩ機器５２とＧＷ装置５３とに接続されている。ＩＶＩ機器５２は、ＴＣＵ５１とＧＷ装置５３とに接続されている。ＩＶＩ機器５２は、ＧＷ装置５３を介してＥＣＵ５５と通信を行う。ＩＶＩ機器５２は、ＴＣＵ５１を介して、自動車５０の車外の装置と通信を行う。ＥＣＵ５５は、ＧＷ装置５３及びＴＣＵ５１を介して、自動車５０の車外の装置と通信を行う。また、ＥＣＵ５５は、ＧＷ装置５３及びメンテナンスポート５６を介して、自動車５０の車外の装置と通信を行う。
【００２９】
図１に示されるメンテナンスツール３０は、例えば、自動車の整備工場や販売店等において、自動車５０に対してメンテナンス（保守）作業を行う場合に、当該自動車５０のメンテナンスポート５６に接続される。メンテナンス作業員は、メンテナンスツール３０を操作して、自動車５０のメンテナンス項目を実施する。自動車５０のメンテナンス項目として、例えば、ＥＣＵ５５やＩＶＩ機器５２やＧＷ装置５３等の車載装置に対して行われる、診断、コンピュータプログラムの更新、パラメータの設定、及び装置の初期化や最新化などが挙げられる。
【００３０】
なお、メンテナンスツール３０は、近距離無線通信方式により、自動車５０のＴＣＵ５１と通信を行ってもよい。この場合、メンテナンスツール３０は、ＴＣＵ５１を介して、ＧＷ装置５３とデータを交換する。
【００３１】
図２は、本実施形態に係るメンテナンスサーバ装置の機能構成例を示す図である。図２に示されるメンテナンスサーバ装置１０の各機能は、メンテナンスサーバ装置１０が備えるＣＰＵ（Central Processing Unit：中央演算処理装置）がコンピュータプログラムを実行することにより実現される。なお、メンテナンスサーバ装置１０として、汎用のコンピュータ装置を使用して構成してもよく、又は、専用のハードウェア装置として構成してもよい。
【００３２】
図２において、メンテナンスサーバ装置１０は、サーバ通信部６１と、サーバ記憶部１３と、サーバ暗号処理部６２と、メッセージ認証符号（ＭＡＣ）生成部６３と、鍵生成部６４とを備える。
【００３３】
サーバ通信部６１は、通信ネットワーク２０によりメンテナンスツール３０と通信を行う。
【００３４】
サーバ記憶部１３は、ツール鍵登録鍵Ｋ＿ｔｉと、鍵登録鍵Ｋ＿ｍと、符号鍵Ｋ＿ｍａｃとを記憶する。ツール鍵登録鍵Ｋ＿ｔｉ、鍵登録鍵Ｋ＿ｍ及び符号鍵Ｋ＿ｍａｃは、予め、メンテナンスサーバ装置１０に設定される。ツール鍵登録鍵Ｋ＿ｔｉは、メンテナンスサーバ装置１０とメンテナンスツール３０とに同じものが予め設定される。鍵登録鍵Ｋ＿ｍ及び符号鍵Ｋ＿ｍａｃは、メンテナンスサーバ装置１０とＧＷ装置５３とに同じものが予め設定される。
【００３５】
ツール鍵登録鍵Ｋ＿ｔｉ、鍵登録鍵Ｋ＿ｍ及び符号鍵Ｋ＿ｍａｃの生成方法の例を以下に示す。ツール鍵登録鍵Ｋ＿ｔｉは、任意の値に決定される。鍵登録鍵Ｋ＿ｍ及び符号鍵Ｋ＿ｍａｃの生成には、所定の鍵導出関数（Key Development Function）ＫＤＦが使用される。
Ｋ＿ｍ＝ＫＤＦ（共通マスタ鍵、ＧＷ＿ｖｅｎｄｅｒＩＤ、ＫＩＤ１）
Ｋ＿ｍａｃ＝ＫＤＦ（共通マスタ鍵、ＧＷ＿ｖｅｎｄｅｒＩＤ、ＫＩＤ２）
【００３６】
ここで、ＧＷ＿ｖｅｎｄｅｒＩＤは、ＧＷ装置５３のベンダの識別情報（ＧＷベンダ識別情報）である。ＫＩＤ１及びＫＩＤ２は、鍵種別情報であって、ＫＩＤ１は鍵登録鍵を示すものであり、ＫＩＤ２は符号鍵を示すものである。共通マスタ鍵は、予め、メンテナンスサーバ装置１０に設定される。
【００３７】
ＫＤＦ（Ａ、Ｂ、Ｃ）は、例えば、ＡとＢとＣを使用して生成されるダイジェストである。ダイジェストとして、例えば、ハッシュ（hash）関数により算出される値、又は、排他的論理和演算により算出される値などが挙げられる。例えば、鍵登録鍵Ｋ＿ｍは、共通マスタ鍵とＧＷ＿ｖｅｎｄｅｒＩＤとＫＩＤ１とを入力値に使用して算出されるハッシュ関数値である。また、ダイジェストとして、ＣＭＡＣ（Cipher-based Message Authentication Code）を使用してもよい。この場合、ＫＤＦ（Ａ、Ｂ、Ｃ）において、鍵ＡはＣＭＡＣの生成に使用される鍵であり、データＢ及びデータＣ（データＢとデータＣを連結したデータ）はＣＭＡＣの生成対象のデータである。これにより、鍵登録鍵Ｋ＿ｍは、共通マスタ鍵をＣＭＡＣ生成鍵に使用して生成される「ＧＷ＿ｖｅｎｄｅｒＩＤとＫＩＤ１のＣＭＡＣ」である。
【００３８】
上記したＫＤＦによれば、ＧＷ装置５３（認証装置）のベンダ毎に異なる鍵登録鍵Ｋ＿ｍ及び符号鍵Ｋ＿ｍａｃを生成することができる。また、共通マスタ鍵が安全に保管されることによって、鍵登録鍵Ｋ＿ｍ及び符号鍵Ｋ＿ｍａｃの偽造等の不正行為を防止することができる。なお、鍵登録鍵Ｋ＿ｍ及び符号鍵Ｋ＿ｍａｃは、上記したＫＤＦによる算出値に限定されない。
【００３９】
サーバ暗号処理部６２は、メンテナンスツール３０に対応するツール認証鍵Ｋ＿ｔをサーバ記憶部１３に記憶される鍵登録鍵Ｋ＿ｍで暗号化して暗号化ツール認証鍵Ｋ＿ｍ（Ｋ＿ｔ）を生成する。暗号化ツール認証鍵Ｋ＿ｍ（Ｋ＿ｔ）は、メンテナンスサーバ装置１０からメンテナンスツール３０を介して自動車５０のＧＷ装置５３へ送信される。
【００４０】
また、サーバ暗号処理部６２は、メンテナンスツール３０に対応するツール認証鍵Ｋ＿ｔをサーバ記憶部１３に記憶されるツール鍵登録鍵Ｋ＿ｔｉで暗号化して暗号化ツール認証鍵Ｋ＿ｔｉ（Ｋ＿ｔ）を生成する。暗号化ツール認証鍵Ｋ＿ｔｉ（Ｋ＿ｔ）は、メンテナンスサーバ装置１０からメンテナンスツール３０へ送信される。
【００４１】
ＭＡＣ生成部６３は、検証対象情報を対象にしてサーバ記憶部１３に記憶される符号鍵Ｋ＿ｍａｃでＣＭＡＣを生成する。検証対象情報及びＣＭＡＣは、メンテナンスサーバ装置１０からメンテナンスツール３０を介して自動車５０のＧＷ装置５３へ送信される。
【００４２】
鍵生成部６４は、メンテナンスツール３０に対応するツール認証鍵Ｋ＿ｔを生成する。ツール認証鍵Ｋ＿ｔの生成方法の例を以下に示す。ツール認証鍵Ｋ＿ｔの生成には、上記したＫＤＦが使用される。
Ｋ＿ｔ＝ＫＤＦ（共通マスタ鍵、ＧＷ＿ｖｅｎｄｅｒＩＤ、ＫＩＤ３）
ここで、ＫＩＤ３は、ツール認証鍵を示す鍵種別情報である。
【００４３】
なお、ツール認証鍵Ｋ＿ｔは、上記したＫＤＦによる算出値に限定されない。例えば、ＧＷ＿ｖｅｎｄｅｒＩＤの代わりに、メンテナンスツール３０のベンダの識別情報（ツールベンダ識別情報：Ｔｏｏｌ＿ｖｅｎｄｅｒＩＤ）を使用してもよい。
【００４４】
ツール認証鍵Ｋ＿ｔは、暗号化されてメンテナンスサーバ装置１０からメンテナンスツール３０及び自動車５０のＧＷ装置５３へ供給される。
【００４５】
図３は、本実施形態に係るメンテナンスツールの機能構成例を示す図である。図３に示されるメンテナンスツール３０の各機能は、メンテナンスツール３０が備えるＣＰＵがコンピュータプログラムを実行することにより実現される。なお、メンテナンスツール３０として、汎用のコンピュータ装置を使用して構成してもよく、又は、専用のハードウェア装置として構成してもよい。また、メンテナンスツール３０として、スマートフォン等の携帯通信端末装置、タブレット型のコンピュータ装置（タブレットＰＣ）などを利用してもよい。
【００４６】
図３において、メンテナンスツール３０は、サーバ間通信部３１と、メンテナンス操作部３３と、認証装置間通信部７１と、ツール認証処理部７２と、ツール記憶部７３と、ツール暗号処理部７４とを備える。サーバ間通信部３１は、通信ネットワーク２０によりメンテナンスサーバ装置１０と通信を行う。認証装置間通信部７１は、自動車５０のＧＷ装置５３と通信を行う。
【００４７】
メンテナンス操作部３３は、メンテナンス作業員がメンテナンス対象の自動車５０に対するメンテナンス作業の操作を行うためのユーザインタフェースである。メンテナンス操作部３３は、ユーザの操作に応じたデータ入力を行うための、キーボード、テンキー、マウス等の入力デバイスと、データ表示を行うための液晶表示装置等の表示デバイスとを備える。メンテナンス操作部３３は、データ入力とデータ表示の両方が可能なタッチパネルを備えてもよい。
【００４８】
ツール認証処理部７２は、ツール認証鍵Ｋ＿ｔを使用して、自動車５０のＧＷ装置５３との間で認証処理を実行する。ツール認証鍵Ｋ＿ｔは、ツール鍵登録鍵Ｋ＿ｔｉで暗号化されてメンテナンスサーバ装置１０から供給される。
【００４９】
ツール記憶部７３は、ツール鍵登録鍵Ｋ＿ｔｉを記憶する。ツール鍵登録鍵Ｋ＿ｔｉは、予め、メンテナンスツール３０に設定される。ツール鍵登録鍵Ｋ＿ｔｉは、メンテナンスサーバ装置１０のサーバ記憶部１３に記憶されるものと同じである。また、ツール記憶部７３は、メンテナンスサーバ装置１０から供給されるツール認証鍵Ｋ＿ｔを記憶する。
【００５０】
なお、ツール記憶部７３は、セキュアエレメント（Secure Element：ＳＥ）であることが好ましい。セキュアエレメントは、耐タンパー性（Tamper Resistant）を有するので、セキュアエレメントであるツール記憶部７３に記憶されるツール鍵登録鍵Ｋ＿ｔｉ及びツール認証鍵Ｋ＿ｔの安全性が向上する。
【００５１】
ツール暗号処理部７４は、メンテナンスサーバ装置１０から受信する暗号化ツール認証鍵Ｋ＿ｔｉ（Ｋ＿ｔ）を、ツール記憶部７３が記憶するツール鍵登録鍵Ｋ＿ｔｉで復号する。復号結果のツール認証鍵Ｋ＿ｔは、ツール記憶部７３に記憶される。
【００５２】
なお、ツール認証処理部７２及びツール暗号処理部７４は、セキュアエレメントであることが好ましい。さらには、ツール認証処理部７２、ツール暗号処理部７４及びツール記憶部７３は、同じセキュアエレメントであることが好ましい。
【００５３】
図４は、本実施形態に係るＧＷ装置の機能構成例を示す図である。図４に示されるＧＷ装置５３の各機能は、ＧＷ装置５３が備えるＣＰＵがコンピュータプログラムを実行することにより実現される。図４において、ＧＷ装置５３は、ＧＷ通信部５３１と、ＧＷ記憶部５３２と、車両暗号処理部５４１と、車両認証処理部５４２と、メッセージ認証符号（ＭＡＣ）検証部５４３とを備える。
【００５４】
ＧＷ通信部５３１は、ＴＣＵ５１又はメンテナンスポート５６を介して、自動車５０の車外の装置と通信を行う。また、ＧＷ通信部５３１は、車載ネットワーク５４を介してＥＣＵ５５と通信を行う。また、ＧＷ通信部５３１は、ＴＣＵ５１やＩＶＩ機器５２と通信を行う。
【００５５】
ＧＷ記憶部５３２は、鍵登録鍵Ｋ＿ｍ及び符号鍵Ｋ＿ｍａｃを記憶する。鍵登録鍵Ｋ＿ｍ及び符号鍵Ｋ＿ｍａｃは、予め、ＧＷ装置５３に設定される。例えば自動車５０の製造工場等で、鍵登録鍵Ｋ＿ｍ及び符号鍵Ｋ＿ｍａｃがＧＷ装置５３に設定される。鍵登録鍵Ｋ＿ｍ及び符号鍵Ｋ＿ｍａｃは、メンテナンスサーバ装置１０のサーバ記憶部１３に記憶されるものと同じである。また、ＧＷ記憶部５３２は、メンテナンスサーバ装置１０から供給されるツール認証鍵Ｋ＿ｔを記憶する。
【００５６】
なお、ＧＷ記憶部５３２は、セキュアエレメントであることが好ましい。セキュアエレメントは、耐タンパー性を有するので、セキュアエレメントであるＧＷ記憶部５３２に記憶される鍵登録鍵Ｋ＿ｍ、符号鍵Ｋ＿ｍａｃ及びツール認証鍵Ｋ＿ｔの安全性が向上する。
【００５７】
車両暗号処理部５４１は、メンテナンスサーバ装置１０からメンテナンスツール３０を介して受信する暗号化ツール認証鍵Ｋ＿ｍ（Ｋ＿ｔ）を、ＧＷ記憶部５３２が記憶する鍵登録鍵Ｋ＿ｍで復号する。復号結果のツール認証鍵Ｋ＿ｔは、ＧＷ記憶部５３２に記憶される。
【００５８】
車両認証処理部５４２は、暗号化ツール認証鍵Ｋ＿ｍ（Ｋ＿ｔ）の復号結果のツール認証鍵Ｋ＿ｔを使用して、メンテナンスツール３０との間で認証処理を実行する。
【００５９】
ＭＡＣ検証部５４３は、メンテナンスサーバ装置１０からメンテナンスツール３０を介して受信する検証対象情報及びＣＭＡＣを対象にして、当該ＣＭＡＣを、ＧＷ記憶部５３２が記憶する符号鍵Ｋ＿ｍａｃで検証する。
【００６０】
なお、車両暗号処理部５４１及び車両認証処理部５４２は、セキュアエレメントであることが好ましい。さらには、車両暗号処理部５４１、車両認証処理部５４２及びＧＷ記憶部５３２は、同じセキュアエレメントであることが好ましい。
【００６１】
次に図５を参照して、本実施形態に係る車両メンテナンス方法の例を説明する。図５は、本実施形態に係る車両メンテナンス方法の例を示すシーケンスチャートである。図５において、メンテナンスツール３０は、メンテナンス対象の自動車５０（以下、単に自動車５０と称する）のメンテナンスポート５６に接続されている。
【００６２】
（ステップＳ１０１）  メンテナンス作業員は、メンテナンスツール３０により、メンテナンスサーバ装置１０へのログイン操作を行う。メンテナンスツール３０は、ログイン操作に応じて、メンテナンスサーバ装置１０へログイン要求メッセージを送信する。メンテナンスサーバ装置１０は、メンテナンスツール３０から受信したログイン要求メッセージに応じてユーザ認証を行う。ユーザ認証方法は、例えば、ユーザ識別情報（ユーザＩＤ）とパスワードとの組を使用するものであってもよく、又は、生体認証であってもよい。
【００６３】
ユーザ認証が合格である場合には、メンテナンスツール３０からメンテナンスサーバ装置１０へのログインは成功である。一方、ユーザ認証が不合格である場合には、メンテナンスツール３０からメンテナンスサーバ装置１０へのログインは失敗である。ログインが成功である場合には以降の処理に進む。一方、ログインが失敗である場合には、図５の処理を終了する。
【００６４】
なお、ログインが失敗である場合には、メンテナンスサーバ装置１０は所定のエラー処理を実行してもよい。例えば、当該エラー処理として、メンテナンスサーバ装置１０は、ログイン失敗のユーザＩＤをログイン禁止に設定したり、ログイン失敗を報知するアラームを所定の報告先へ通知したりしてもよい。
【００６５】
（ステップＳ１０２）  メンテナンス作業員は、メンテナンスツール３０により、自動車５０のＧＷ装置５３のＧＷ＿ｖｅｎｄｅｒＩＤをメンテナンスサーバ装置１０へ送信する操作を行う。メンテナンスツール３０は、当該送信操作に応じて、メンテナンスサーバ装置１０へＧＷ＿ｖｅｎｄｅｒＩＤを送信する。
【００６６】
（ステップＳ１０３）  メンテナンスサーバ装置１０の鍵生成部６４は、メンテナンスツール３０から受信したＧＷ＿ｖｅｎｄｅｒＩＤを使用して、上記したＫＤＦによりツール認証鍵Ｋ＿ｔを生成する。サーバ暗号処理部６２は、当該ツール認証鍵Ｋ＿ｔをサーバ記憶部１３に記憶されるツール鍵登録鍵Ｋ＿ｔｉで暗号化して暗号化ツール認証鍵Ｋ＿ｔｉ（Ｋ＿ｔ）を生成する。メンテナンスサーバ装置１０は、暗号化ツール認証鍵Ｋ＿ｔｉ（Ｋ＿ｔ）をメンテナンスツール３０へ送信する。
【００６７】
メンテナンスツール３０のツール暗号処理部７４は、メンテナンスサーバ装置１０から受信した暗号化ツール認証鍵Ｋ＿ｔｉ（Ｋ＿ｔ）を、ツール記憶部７３が記憶するツール鍵登録鍵Ｋ＿ｔｉで復号する。ツール記憶部７３は、復号結果のツール認証鍵Ｋ＿ｔを記憶する。
【００６８】
なお、ツール認証鍵Ｋ＿ｔは、予め、メンテナンスサーバ装置１０等のツール認証鍵保管装置に保管されていてもよい。この場合、メンテナンスサーバ装置１０は、ログインされたメンテナンスツール３０に対応するツール認証鍵Ｋ＿ｔをツール認証鍵保管装置から取得し、取得したツール認証鍵Ｋ＿ｔをサーバ暗号処理部６２により暗号化して暗号化ツール認証鍵Ｋ＿ｔｉ（Ｋ＿ｔ）を生成する。
【００６９】
（ステップＳ１０４）  メンテナンスサーバ装置１０のサーバ暗号処理部６２は、ツール認証鍵Ｋ＿ｔをサーバ記憶部１３に記憶される鍵登録鍵Ｋ＿ｍで暗号化して暗号化ツール認証鍵Ｋ＿ｍ（Ｋ＿ｔ）を生成する。ＭＡＣ生成部６３は、検証対象情報を対象にしてサーバ記憶部１３に記憶される符号鍵Ｋ＿ｍａｃでＣＭＡＣを生成する。ここでの一例として、検証対象情報は、暗号化ツール認証鍵Ｋ＿ｍ（Ｋ＿ｔ）と、メンテナンスツール３０の情報（ツール情報）と、メンテナンスツール３０に与えられたメンテナンス操作の権限を示す情報（操作権限）とである。メンテナンスサーバ装置１０は、暗号化ツール認証鍵Ｋ＿ｍ（Ｋ＿ｔ）とツール情報と操作権限とＣＭＡＣとをメンテナンスツール３０へ送信する。メンテナンスツール３０は、メンテナンスサーバ装置１０から、暗号化ツール認証鍵Ｋ＿ｍ（Ｋ＿ｔ）とツール情報と操作権限とＣＭＡＣとを受信する。
【００７０】
（ステップＳ１０５）  メンテナンス作業員は、メンテナンスツール３０により、自動車５０に対するメンテナンス開始操作を行う。メンテナンスツール３０は、メンテナンス開始操作に応じて、自動車５０のＧＷ装置５３へメンテナンス開始要求メッセージを送信する。
【００７１】
（ステップＳ１０６）  自動車５０のＧＷ装置５３の車両認証処理部５４２は、メンテナンスツール３０から受信したメンテナンス開始要求メッセージに応じて、認証情報ｎｏｎｃｅをメンテナンスツール３０へ送信する。認証情報ｎｏｎｃｅは、例えば乱数に基づいた値である。メンテナンスツール３０は、認証情報ｎｏｎｃｅを自動車５０のＧＷ装置５３から受信する。
【００７２】
（ステップＳ１０７）  メンテナンスツール３０は、メンテナンスサーバ装置１０から受信した暗号化ツール認証鍵Ｋ＿ｍ（Ｋ＿ｔ）とツール情報と操作権限とＣＭＡＣとを、自動車５０のＧＷ装置５３へ送信する。自動車５０のＧＷ装置５３は、メンテナンスツール３０から、暗号化ツール認証鍵Ｋ＿ｍ（Ｋ＿ｔ）とツール情報と操作権限とＣＭＡＣとを受信する。
【００７３】
（ステップＳ１０８）  メンテナンスツール３０のツール暗号処理部７４は、自動車５０のＧＷ装置５３から受信した認証情報ｎｏｎｃｅを、ツール記憶部７３に記憶されるツール認証鍵Ｋ＿ｔで暗号化して、暗号化認証情報Ｋ＿ｔ（ｎｏｎｃｅ）を生成する。メンテナンスツール３０は、暗号化認証情報Ｋ＿ｔ（ｎｏｎｃｅ）を、自動車５０のＧＷ装置５３へ送信する。自動車５０のＧＷ装置５３は、メンテナンスツール３０から、暗号化認証情報Ｋ＿ｔ（ｎｏｎｃｅ）を受信する。
【００７４】
（ステップＳ１０９）  自動車５０のＧＷ装置５３のＭＡＣ検証部５４３は、メンテナンスツール３０から受信した暗号化ツール認証鍵Ｋ＿ｍ（Ｋ＿ｔ）とツール情報と操作権限とＣＭＡＣとを対象にして、当該ＣＭＡＣを、ＧＷ記憶部５３２が記憶する符号鍵Ｋ＿ｍａｃで検証する。ＣＭＡＣ検証が合格である場合には以降の処理に進む。一方、ＣＭＡＣ検証が不合格である場合には、図５の処理を終了する。
【００７５】
なお、ＣＭＡＣ検証が不合格である場合には、ＧＷ装置５３は所定のエラー処理を実行してもよい。例えば、当該エラー処理として、ＧＷ装置５３は、ＣＭＡＣ検証が不合格のメンテナンスツール３０をアクセス禁止に設定したり、メンテナンスツール３０の認証の不合格を報知するアラームを所定の報告先へ通知したりしてもよい。
【００７６】
ＧＷ装置５３の車両暗号処理部５４１は、メンテナンスツール３０から受信した暗号化ツール認証鍵Ｋ＿ｍ（Ｋ＿ｔ）を、ＧＷ記憶部５３２が記憶する鍵登録鍵Ｋ＿ｍで復号する。ＧＷ記憶部５３２は、復号結果のツール認証鍵Ｋ＿ｔを記憶する。
【００７７】
ＧＷ装置５３の車両認証処理部５４２は、メンテナンスツール３０から受信した暗号化認証情報Ｋ＿ｔ（ｎｏｎｃｅ）を、ＧＷ記憶部５３２に記憶されるツール認証鍵Ｋ＿ｔで復号する。車両認証処理部５４２は、暗号化認証情報Ｋ＿ｔ（ｎｏｎｃｅ）の復号結果が認証情報ｎｏｎｃｅに一致するか否かを判断する。この判断の結果、両者が一致である場合には、メンテナンスツール３０の認証が合格である。一方、両者が不一致である場合には、メンテナンスツール３０の認証が不合格である。
【００７８】
ＧＷ装置５３は、メンテナンスツール３０の認証結果に基づいて、メンテナンスツール３０へ、アクセスの許可又は拒否を通知する。ＧＷ装置５３は、メンテナンスツール３０の認証が合格である場合には、アクセスの許可を、メンテナンスツール３０へ通知する。一方、ＧＷ装置５３は、メンテナンスツール３０の認証が不合格である場合には、アクセスの拒否を、メンテナンスツール３０へ通知する。
【００７９】
メンテナンスツール３０は、自動車５０のＧＷ装置５３から受信したアクセスの許可又は拒否の通知を、画面表示等で報知する。また、メンテナンスツール３０は、自己が保持する暗号化ツール認証鍵Ｋ＿ｍ（Ｋ＿ｔ）とツール情報と操作権限とＣＭＡＣとを消去する。
【００８０】
メンテナンス作業員は、アクセスの許可又は拒否の通知がアクセスの許可である場合、メンテナンスツール３０により、自動車５０に対する所望のメンテナンス作業を実行する。自動車５０のＧＷ装置５３は、メンテナンスツール３０から受信したツール情報と操作権限とに基づいて、メンテナンスツール３０により実行される自動車５０に対するメンテナンス作業を許可するか否かを判断する。当該判断の結果、許可されたメンテナンス作業は実行されるが、許可されなかったメンテナンス作業は実行されない。
【００８１】
なお、メンテナンスツール３０の認証が不合格である場合には、ＧＷ装置５３は所定のエラー処理を実行してもよい。例えば、当該エラー処理として、ＧＷ装置５３は、認証が不合格のメンテナンスツール３０をアクセス禁止に設定したり、メンテナンスツール３０の認証の不合格を報知するアラームを所定の報告先へ通知したりしてもよい。
【００８２】
図６及び図７は、本実施形態に係るＣＭＡＣ算出対象及び暗号化対象の例を示す図である。図６の例では、ＣＭＡＣ算出対象（検証対象情報）は暗号化ツール認証鍵Ｋ＿ｍ（Ｋ＿ｔ）とツール情報と操作権限とであり、ツール認証鍵Ｋ＿ｔでの暗号化対象は認証情報ｎｏｎｃｅである。図７の例では、ＣＭＡＣ算出対象（検証対象情報）はツール情報と操作権限とであり、ツール認証鍵Ｋ＿ｔでの暗号化対象は認証情報ｎｏｎｃｅである。図６又は図７の例のいずれが使用されてもよい。
【００８３】
なお、図６及び図７の例において、ツール情報及び操作権限に対して有効期限を設け、ツール情報及び操作権限に加えて有効期限を示す有効期限情報も含めてＣＭＡＣ算出対象（検証対象情報）にしてもよい。自動車５０のＧＷ装置５３は、ＣＭＡＣ検証が合格したツール情報、操作権限及び有効期限に対して、当該有効期限内で当該ツール情報及び操作権限を使用する。ＧＷ装置５３は、自己が時計を備えていない場合、ＴＣＵ５１やＩＶＩ機器５２等に問い合わせて日時情報を取得する。
【００８４】
上述した第１実施形態によれば、メンテナンスツール３０により自動車５０のメンテナンス作業が行われる際に、ツール認証鍵Ｋ＿ｔがメンテナンスサーバ装置１０から自動車５０のＧＷ装置５３（認証装置）へ供給され、当該ツール認証鍵Ｋ＿ｔを使用して、メンテナンスツール３０とＧＷ装置５３（認証装置）との間で認証処理が実行される。これにより、認証対象のメンテナンスツールの種別毎に個別の認証鍵を自動車５０に対して設定しなくてもよい。また、自動車５０の出荷後に販売されたメンテナンスツールの新製品についても、当該自動車５０では認証できるので適用可能になる。このように本実施形態によれば、自動車５０のメンテナンスツールの認証の仕組みを改善することができるという効果が得られる。
【００８５】
［第２実施形態］
図８は、第２実施形態に係る車両メンテナンスシステム及び自動車の構成例を示す図である。図８において図１の各部に対応する部分には同一の符号を付け、その説明を省略する。図８に示される車両メンテナンスシステム１ａは、メンテナンスサーバ装置１０ａと、操作端末３０ａと、自動車５０に搭載される認証装置としてのゲートウェイ（ＧＷ）装置５３とを備える。メンテナンスサーバ装置１０ａと操作端末３０ａとは、通信ネットワーク２０により相互に通信を行う。自動車５０のメンテナンスポート５６には、操作端末３０ａを接続可能である。ＧＷ装置５３と、メンテナンスポート５６に接続された操作端末３０ａとは、メンテナンスポート５６を介して、データを交換する。
【００８６】
操作端末３０ａは、例えば、自動車の整備工場や販売店等において、自動車５０に対してメンテナンス（保守）作業を行う場合に、当該自動車５０のメンテナンスポート５６に接続される。メンテナンス作業員は、操作端末３０ａを操作して、自動車５０のメンテナンス項目を実施する。自動車５０のメンテナンス項目として、例えば、ＥＣＵ５５やＩＶＩ機器５２やＧＷ装置５３等の車載装置に対して行われる、診断、コンピュータプログラムの更新、パラメータの設定、及び装置の初期化や最新化などが挙げられる。
【００８７】
図９は、本実施形態に係るメンテナンスサーバ装置の機能構成例を示す図である。図９において図２の各部に対応する部分には同一の符号を付け、その説明を省略する。図９に示されるメンテナンスサーバ装置１０ａは、端末間通信部１１と、車両間通信部１２と、サーバ記憶部１３と、サーバ暗号処理部６２と、ＭＡＣ生成部６３と、鍵生成部６４とを備える。
【００８８】
端末間通信部１１は、通信ネットワーク２０により操作端末３０ａと通信を行う。車両間通信部１２は、メンテナンス対象の自動車５０と通信を行う。図８の構成例では、車両間通信部１２は、通信ネットワーク２０及び操作端末３０ａを介して、メンテナンス対象の自動車５０と通信を行う。サーバ記憶部１３は、鍵登録鍵Ｋ＿ｍと、符号鍵Ｋ＿ｍａｃとを記憶する。
【００８９】
図１０は、本実施形態に係る操作端末の機能構成例を示す図である。図１０に示される操作端末３０ａの各機能は、操作端末３０ａが備えるＣＰＵがコンピュータプログラムを実行することにより実現される。なお、操作端末３０ａとして、汎用のコンピュータ装置を使用して構成してもよく、又は、専用のハードウェア装置として構成してもよい。また、操作端末３０ａとして、スマートフォン等の携帯通信端末装置、タブレット型のコンピュータ装置（タブレットＰＣ）などを利用してもよい。
【００９０】
図１０において、操作端末３０ａは、サーバ間通信部３１と、サーバ・車両間中継部３２と、メンテナンス操作部３３とを備える。サーバ間通信部３１は、通信ネットワーク２０によりメンテナンスサーバ装置１０ａと通信を行う。サーバ・車両間中継部３２は、メンテナンスサーバ装置１０ａとメンテナンス対象の自動車５０との間の通信の中継を行う。メンテナンス操作部３３は、図３に示されるメンテナンスツール３０のものと同じである。
【００９１】
次に図１１を参照して、本実施形態に係る車両メンテナンス方法の例を説明する。図１１は、本実施形態に係る車両メンテナンス方法の例を示すシーケンスチャートである。図１１において、操作端末３０ａは、メンテナンス対象の自動車５０（以下、単に自動車５０と称する）のメンテナンスポート５６に接続されている。
【００９２】
（ステップＳ１１１）  メンテナンス作業員は、操作端末３０ａにより、メンテナンスサーバ装置１０ａへのログイン操作を行う。操作端末３０ａは、ログイン操作に応じて、メンテナンスサーバ装置１０ａへログイン要求メッセージを送信する。メンテナンスサーバ装置１０ａは、操作端末３０ａから受信したログイン要求メッセージに応じてユーザ認証を行う。ユーザ認証方法は、例えば、ユーザＩＤとパスワードとの組を使用するものであってもよく、又は、生体認証であってもよい。
【００９３】
ユーザ認証が合格である場合には、操作端末３０ａからメンテナンスサーバ装置１０ａへのログインは成功である。一方、ユーザ認証が不合格である場合には、操作端末３０ａからメンテナンスサーバ装置１０ａへのログインは失敗である。ログインが成功である場合には以降の処理に進む。一方、ログインが失敗である場合には、図１１の処理を終了する。
【００９４】
なお、ログインが失敗である場合には、メンテナンスサーバ装置１０ａは所定のエラー処理を実行してもよい。例えば、当該エラー処理として、メンテナンスサーバ装置１０ａは、ログイン失敗のユーザＩＤをログイン禁止に設定したり、ログイン失敗を報知するアラームを所定の報告先へ通知したりしてもよい。
【００９５】
（ステップＳ１１２）  メンテナンス作業員は、操作端末３０ａにより、自動車５０のＧＷ装置５３のＧＷ＿ｖｅｎｄｅｒＩＤをメンテナンスサーバ装置１０ａへ送信する操作を行う。操作端末３０ａは、当該送信操作に応じて、メンテナンスサーバ装置１０ａへＧＷ＿ｖｅｎｄｅｒＩＤを送信する。メンテナンスサーバ装置１０ａの鍵生成部６４は、操作端末３０ａから受信したＧＷ＿ｖｅｎｄｅｒＩＤを使用して、上記したＫＤＦによりツール認証鍵Ｋ＿ｔを生成する。
【００９６】
なお、ツール認証鍵Ｋ＿ｔは、予め、メンテナンスサーバ装置１０ａ等のツール認証鍵保管装置に保管されていてもよい。この場合、メンテナンスサーバ装置１０ａは、ログインされた操作端末３０ａに対応するツール認証鍵Ｋ＿ｔをツール認証鍵保管装置から取得する。
【００９７】
（ステップＳ１１３）  メンテナンス作業員は、操作端末３０ａにより、自動車５０に対するメンテナンス開始操作を行う。操作端末３０ａは、メンテナンス開始操作に応じて、メンテナンスサーバ装置１０ａへメンテナンス開始要求メッセージを送信する。メンテナンスサーバ装置１０ａは、操作端末３０ａからメンテナンス開始要求メッセージを受信すると、メンテナンス開始要求メッセージを自動車５０のＧＷ装置５３へ送信する。
【００９８】
以降、メンテナンスサーバ装置１０ａと自動車５０のＧＷ装置５３との間の通信は、操作端末３０ａのサーバ・車両間中継部３２を介して中継される。操作端末３０ａは、メンテナンスサーバ装置１０ａと自動車５０のＧＷ装置５３との間の通信の中継を行うが、当該通信の内容を取り扱わない。また、メンテナンスサーバ装置１０ａと自動車５０のＧＷ装置５３との間の通信は、暗号化通信路によって、操作端末３０ａに対して秘匿されてもよい。
【００９９】
（ステップＳ１１４）  自動車５０のＧＷ装置５３の車両認証処理部５４２は、メンテナンスサーバ装置１０ａから受信したメンテナンス開始要求メッセージに応じて、認証情報ｎｏｎｃｅをメンテナンスサーバ装置１０ａへ送信する。認証情報ｎｏｎｃｅは、例えば乱数に基づいた値である。メンテナンスサーバ装置１０ａは、認証情報ｎｏｎｃｅを自動車５０のＧＷ装置５３から受信する。
【０１００】
（ステップＳ１１５）  メンテナンスサーバ装置１０ａのサーバ暗号処理部６２は、ツール認証鍵Ｋ＿ｔをサーバ記憶部１３に記憶される鍵登録鍵Ｋ＿ｍで暗号化して暗号化ツール認証鍵Ｋ＿ｍ（Ｋ＿ｔ）を生成する。ＭＡＣ生成部６３は、検証対象情報を対象にしてサーバ記憶部１３に記憶される符号鍵Ｋ＿ｍａｃでＣＭＡＣを生成する。ここでの一例として、検証対象情報は、暗号化ツール認証鍵Ｋ＿ｍ（Ｋ＿ｔ）と、操作端末３０ａの情報（ツール情報）と、操作端末３０ａに与えられたメンテナンス操作の権限を示す情報（操作権限）とである。メンテナンスサーバ装置１０ａは、暗号化ツール認証鍵Ｋ＿ｍ（Ｋ＿ｔ）とツール情報と操作権限とＣＭＡＣとを自動車５０のＧＷ装置５３へ送信する。自動車５０のＧＷ装置５３は、メンテナンスサーバ装置１０ａから、暗号化ツール認証鍵Ｋ＿ｍ（Ｋ＿ｔ）とツール情報と操作権限とＣＭＡＣとを受信する。
【０１０１】
（ステップＳ１１６）  メンテナンスサーバ装置１０ａのサーバ暗号処理部６２は、自動車５０のＧＷ装置５３から受信した認証情報ｎｏｎｃｅを、ツール認証鍵Ｋ＿ｔで暗号化して、暗号化認証情報Ｋ＿ｔ（ｎｏｎｃｅ）を生成する。メンテナンスサーバ装置１０ａは、暗号化認証情報Ｋ＿ｔ（ｎｏｎｃｅ）を、自動車５０のＧＷ装置５３へ送信する。自動車５０のＧＷ装置５３は、メンテナンスサーバ装置１０ａから、暗号化認証情報Ｋ＿ｔ（ｎｏｎｃｅ）を受信する。
【０１０２】
（ステップＳ１１７）  自動車５０のＧＷ装置５３のＭＡＣ検証部５４３は、メンテナンスサーバ装置１０ａから受信した暗号化ツール認証鍵Ｋ＿ｍ（Ｋ＿ｔ）とツール情報と操作権限とＣＭＡＣとを対象にして、当該ＣＭＡＣを、ＧＷ記憶部５３２が記憶する符号鍵Ｋ＿ｍａｃで検証する。ＣＭＡＣ検証が合格である場合には以降の処理に進む。一方、ＣＭＡＣ検証が不合格である場合には、図１１の処理を終了する。
【０１０３】
なお、ＣＭＡＣ検証が不合格である場合には、ＧＷ装置５３は所定のエラー処理を実行してもよい。例えば、当該エラー処理として、ＧＷ装置５３は、ＣＭＡＣ検証が不合格の操作端末３０ａをアクセス禁止に設定したり、操作端末３０ａの認証の不合格を報知するアラームを所定の報告先へ通知したりしてもよい。
【０１０４】
ＧＷ装置５３の車両暗号処理部５４１は、メンテナンスサーバ装置１０ａから受信した暗号化ツール認証鍵Ｋ＿ｍ（Ｋ＿ｔ）を、ＧＷ記憶部５３２が記憶する鍵登録鍵Ｋ＿ｍで復号する。ＧＷ記憶部５３２は、復号結果のツール認証鍵Ｋ＿ｔを記憶する。
【０１０５】
ＧＷ装置５３の車両認証処理部５４２は、メンテナンスサーバ装置１０ａから受信した暗号化認証情報Ｋ＿ｔ（ｎｏｎｃｅ）を、ＧＷ記憶部５３２に記憶されるツール認証鍵Ｋ＿ｔで復号する。車両認証処理部５４２は、暗号化認証情報Ｋ＿ｔ（ｎｏｎｃｅ）の復号結果が認証情報ｎｏｎｃｅに一致するか否かを判断する。この判断の結果、両者が一致である場合には、操作端末３０ａの認証が合格である。一方、両者が不一致である場合には、操作端末３０ａの認証が不合格である。
【０１０６】
ＧＷ装置５３は、操作端末３０ａの認証結果に基づいて、メンテナンスサーバ装置１０ａへ、アクセスの許可又は拒否を通知する。ＧＷ装置５３は、操作端末３０ａの認証が合格である場合には、アクセスの許可を、メンテナンスサーバ装置１０ａへ通知する。一方、ＧＷ装置５３は、操作端末３０ａの認証が不合格である場合には、アクセスの拒否を、メンテナンスサーバ装置１０ａへ通知する。
【０１０７】
メンテナンスサーバ装置１０ａは、自動車５０のＧＷ装置５３から受信したアクセスの許可又は拒否の通知を、操作端末３０ａへ送信する。操作端末３０ａは、メンテナンスサーバ装置１０ａから受信したアクセスの許可又は拒否の通知を、画面表示等で報知する。
【０１０８】
メンテナンス作業員は、アクセスの許可又は拒否の通知がアクセスの許可である場合、操作端末３０ａにより、自動車５０に対する所望のメンテナンス作業を、メンテナンスサーバ装置１０ａを介して実行する。自動車５０のＧＷ装置５３は、メンテナンスサーバ装置１０ａから受信したツール情報と操作権限とに基づいて、操作端末３０ａにより実行される自動車５０に対するメンテナンス作業を許可するか否かを判断する。当該判断の結果、許可されたメンテナンス作業は実行されるが、許可されなかったメンテナンス作業は実行されない。
【０１０９】
なお、操作端末３０ａの認証が不合格である場合には、メンテナンスサーバ装置１０ａは所定のエラー処理を実行してもよい。例えば、当該エラー処理として、メンテナンスサーバ装置１０ａは、認証が不合格の操作端末３０ａをアクセス禁止に設定したり、操作端末３０ａの認証の不合格を報知するアラームを所定の報告先へ通知したりしてもよい。
【０１１０】
なお、本実施形態に係るＣＭＡＣ算出対象及び暗号化対象の例は、第１実施形態に係る図６及び図７の例と同様であり、図６又は図７の例のいずれが使用されてもよい。また、図６及び図７の例において、第１実施形態と同様に、ツール情報及び操作権限に対して有効期限を設け、ツール情報及び操作権限に加えて有効期限を示す有効期限情報も含めてＣＭＡＣ算出対象（検証対象情報）にしてもよい。
【０１１１】
上述した第２実施形態によれば、操作端末３０ａにより自動車５０のメンテナンス作業が行われる際に、ツール認証鍵Ｋ＿ｔがメンテナンスサーバ装置１０ａから自動車５０のＧＷ装置５３（認証装置）へ供給され、当該ツール認証鍵Ｋ＿ｔを使用して、メンテナンスサーバ装置１０ａとＧＷ装置５３（認証装置）との間で認証処理が実行される。これにより、認証対象の操作端末３０ａの種別毎に個別の認証鍵を自動車５０に対して設定しなくてもよい。また、自動車５０の出荷後に販売された操作端末の新製品についても、当該自動車５０では認証できるので適用可能になる。このように本実施形態によれば、自動車５０の操作端末の認証の仕組みを改善することができるという効果が得られる。
【０１１２】
［第３実施形態］
図１２は、第３実施形態に係る車両メンテナンスシステム及び自動車の構成例を示す図である。図１２において図１の各部に対応する部分には同一の符号を付け、その説明を省略する。図１２に示される車両メンテナンスシステム１ｂは、メンテナンスツール３０ｂと、自動車５０に搭載される認証装置としてのＧＷ装置５３ｂとを備える。自動車５０のメンテナンスポート５６には、メンテナンスツール３０ｂを接続可能である。ＧＷ装置５３ｂと、メンテナンスポート５６に接続されたメンテナンスツール３０ｂとは、メンテナンスポート５６を介して、データを交換する。
【０１１３】
図１２に示されるメンテナンスツール３０bは、図１に示されるメンテナンスツール３０と同様に、例えば、自動車の整備工場や販売店等において、自動車５０に対してメンテナンス（保守）作業を行う場合に、当該自動車５０のメンテナンスポート５６に接続される。メンテナンス作業員は、メンテナンスツール３０bを操作して、自動車５０のメンテナンス項目を実施する。自動車５０のメンテナンス項目として、例えば、ＥＣＵ５５やＩＶＩ機器５２やＧＷ装置５３等の車載装置に対して行われる、診断、コンピュータプログラムの更新、パラメータの設定、及び装置の初期化や最新化などが挙げられる。
【０１１４】
図１３は、本実施形態に係るメンテナンスツールの機能構成例を示す図である。図１３において図３の各部に対応する部分には同一の符号を付け、その説明を省略する。図１３に示されるメンテナンスツール３０ｂは、メンテナンス操作部３３と、認証装置間通信部７１と、ツール記憶部７３と、ＭＡＣ生成部６３とを備える。ＭＡＣ生成部６３は、図２に示されるメンテナンスサーバ装置１０のものと同様である。ツール記憶部７３は、符号鍵Ｋ＿ｍａｃを記憶する。符号鍵Ｋ＿ｍａｃは、予め、メンテナンスツール３０bに設定される。
【０１１５】
なお、ツール記憶部７３及びＭＡＣ生成部６３は、セキュアエレメントであることが好ましい。さらには、ツール記憶部７３及びＭＡＣ生成部６３は、同じセキュアエレメントであることが好ましい。
【０１１６】
図１４は、本実施形態に係るＧＷ装置の機能構成例を示す図である。図１４において図４の各部に対応する部分には同一の符号を付け、その説明を省略する。図１４に示されるＧＷ装置５３ｂは、ＧＷ通信部５３１と、ＧＷ記憶部５３２と、メッセージ認証符号（ＭＡＣ）検証部５４３とを備える。ＧＷ記憶部５３２は、符号鍵Ｋ＿ｍａｃを記憶する。符号鍵Ｋ＿ｍａｃは、予め、ＧＷ装置５３ｂに設定される。例えば自動車５０の製造工場等で、符号鍵Ｋ＿ｍａｃがＧＷ装置５３ｂに設定される。符号鍵Ｋ＿ｍａｃは、メンテナンスツール３０ｂのツール記憶部７３に記憶されるものと同じである。
【０１１７】
なお、ＧＷ記憶部５３２及びＭＡＣ検証部５４３は、セキュアエレメントであることが好ましい。さらには、ＧＷ記憶部５３２及びＭＡＣ検証部５４３は、同じセキュアエレメントであることが好ましい。
【０１１８】
次に図１５を参照して、本実施形態に係る車両メンテナンス方法の例を説明する。図１５は、本実施形態に係る車両メンテナンス方法の例を示すシーケンスチャートである。図１５において、メンテナンスツール３０ｂは、メンテナンス対象の自動車５０（以下、単に自動車５０と称する）のメンテナンスポート５６に接続されている。
【０１１９】
（ステップＳ１２１）  メンテナンス作業員は、メンテナンスツール３０ｂに対して、自動車５０のＶＩＮやＧＷ装置５３ｂの情報（ＧＷ情報）などを入力する。
【０１２０】
（ステップＳ１２２）  メンテナンス作業員は、メンテナンスツール３０ｂにより、自動車５０に対するメンテナンス開始操作を行う。メンテナンスツール３０ｂは、メンテナンス開始操作に応じて、自動車５０のＧＷ装置５３ｂへメンテナンス開始要求メッセージを送信する。
【０１２１】
（ステップＳ１２３）  自動車５０のＧＷ装置５３ｂのＭＡＣ検証部５４３は、メンテナンスツール３０ｂから受信したメンテナンス開始要求メッセージに応じて、認証情報ｎｏｎｃｅをメンテナンスツール３０ｂへ送信する。認証情報ｎｏｎｃｅは、例えば乱数に基づいた値である。メンテナンスツール３０ｂは、認証情報ｎｏｎｃｅを自動車５０のＧＷ装置５３ｂから受信する。
【０１２２】
（ステップＳ１２４）  メンテナンスツール３０ｂのＭＡＣ生成部６３は、自動車５０のＧＷ装置５３ｂから受信した認証情報ｎｏｎｃｅを対象にして、ツール記憶部７３に記憶される符号鍵Ｋ＿ｍａｃでＣＭＡＣ「ＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）」を生成する。また、ＭＡＣ生成部６３は、検証対象情報を対象にしてツール記憶部７３に記憶される符号鍵Ｋ＿ｍａｃでＣＭＡＣ「ＣＭＡＣ＿Ｋ＿ｍａｃ（検証対象情報）」を生成する。ここでの一例として、検証対象情報は、メンテナンスツール３０ｂの情報（ツール情報）である。メンテナンスツール３０ｂは、ＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）とツール情報とＣＭＡＣ＿Ｋ＿ｍａｃ（ツール情報）とを、自動車５０のＧＷ装置５３ｂへ送信する。自動車５０のＧＷ装置５３ｂは、メンテナンスツール３０ｂから、ＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）とツール情報とＣＭＡＣ＿Ｋ＿ｍａｃ（ツール情報）とを受信する。
【０１２３】
（ステップＳ１２５）  自動車５０のＧＷ装置５３ｂのＭＡＣ検証部５４３は、認証情報ｎｏｎｃｅとメンテナンスツール３０ｂから受信したＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）とを対象にして、当該ＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）を、ＧＷ記憶部５３２が記憶する符号鍵Ｋ＿ｍａｃで検証する。当該ＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）の検証が合格である場合には、メンテナンスツール３０ｂの認証が合格であり、以降の処理に進む。一方、当該ＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）の検証が不合格である場合には、メンテナンスツール３０ｂの認証が不合格であり、図１５の処理を終了する。
【０１２４】
また、ＭＡＣ検証部５４３は、メンテナンスツール３０ｂから受信したツール情報とＣＭＡＣ＿Ｋ＿ｍａｃ（ツール情報）とを対象にして、当該ＣＭＡＣ＿Ｋ＿ｍａｃ（ツール情報）を、ＧＷ記憶部５３２が記憶する符号鍵Ｋ＿ｍａｃで検証する。当該ＣＭＡＣ＿Ｋ＿ｍａｃ（ツール情報）の検証が合格である場合には以降の処理に進む。一方、当該ＣＭＡＣ＿Ｋ＿ｍａｃ（ツール情報）の検証が不合格である場合には、図１５の処理を終了する。
【０１２５】
なお、ＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）及びＣＭＡＣ＿Ｋ＿ｍａｃ（ツール情報）の両方の検証が合格である場合にのみ、メンテナンスツール３０ｂの認証が合格であると判断してもよい。
【０１２６】
また、上記いずれかのＣＭＡＣ検証が不合格である場合には、ＧＷ装置５３ｂは所定のエラー処理を実行してもよい。例えば、当該エラー処理として、ＧＷ装置５３ｂは、ＣＭＡＣ検証が不合格のメンテナンスツール３０ｂをアクセス禁止に設定したり、メンテナンスツール３０ｂの認証の不合格を報知するアラームを所定の報告先へ通知したりしてもよい。
【０１２７】
ＧＷ装置５３ｂは、メンテナンスツール３０ｂの認証結果に基づいて、メンテナンスツール３０ｂへ、アクセスの許可又は拒否を通知する。ＧＷ装置５３ｂは、メンテナンスツール３０ｂの認証が合格である場合には、アクセスの許可を、メンテナンスツール３０ｂへ通知する。一方、ＧＷ装置５３ｂは、メンテナンスツール３０ｂの認証が不合格である場合には、アクセスの拒否を、メンテナンスツール３０ｂへ通知する。
【０１２８】
メンテナンスツール３０ｂは、自動車５０のＧＷ装置５３ｂから受信したアクセスの許可又は拒否の通知を、画面表示等で報知する。また、メンテナンスツール３０ｂは、自己が保持するＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）及びＣＭＡＣ＿Ｋ＿ｍａｃ（ツール情報）を消去する。
【０１２９】
メンテナンス作業員は、アクセスの許可又は拒否の通知がアクセスの許可である場合、メンテナンスツール３０ｂにより、自動車５０に対する所望のメンテナンス作業を実行する。自動車５０のＧＷ装置５３ｂは、メンテナンスツール３０ｂから受信したツール情報に基づいて、メンテナンスツール３０ｂにより実行される自動車５０に対するメンテナンス作業を許可するか否かを判断する。当該判断の結果、許可されたメンテナンス作業は実行されるが、許可されなかったメンテナンス作業は実行されない。
【０１３０】
なお、メンテナンスツール３０ｂの認証が不合格である場合には、ＧＷ装置５３ｂは所定のエラー処理を実行してもよい。例えば、当該エラー処理として、ＧＷ装置５３ｂは、認証が不合格のメンテナンスツール３０ｂをアクセス禁止に設定したり、メンテナンスツール３０ｂの認証の不合格を報知するアラームを所定の報告先へ通知したりしてもよい。
【０１３１】
図１６及び図１７は、本実施形態に係るＣＭＡＣ算出対象の例を示す図である。図１６の例では、一つのＣＭＡＣ算出対象は認証情報ｎｏｎｃｅであり、もう一つのＣＭＡＣ算出対象はツール情報である。図１７の例では、ＣＭＡＣ算出対象は、認証情報ｎｏｎｃｅとツール情報である。図１６又は図１７の例のいずれが使用されてもよい。
【０１３２】
なお、図１６及び図１７の例において、ツール情報に対して有効期限を設け、ツール情報に加えて有効期限を示す有効期限情報も含めてＣＭＡＣ算出対象にしてもよい。自動車５０のＧＷ装置５３ｂは、ＣＭＡＣ検証が合格したツール情報及び有効期限に対して、当該有効期限内で当該ツール情報を使用する。ＧＷ装置５３ｂは、自己が時計を備えていない場合、ＴＣＵ５１やＩＶＩ機器５２等に問い合わせて日時情報を取得する。
【０１３３】
また、第１実施形態と同様に、メンテナンスツール３０ｂに与えられたメンテナンス操作の権限を示す情報（操作権限）を自動車５０のＧＷ装置５３ｂへ供給してもよい。
【０１３４】
上述した第３実施形態によれば、メンテナンスツール３０ｂにより自動車５０のメンテナンス作業が行われる際に、認証情報ｎｏｎｃｅが自動車５０のＧＷ装置５３ｂ（認証装置）からメンテナンスツール３０ｂへ供給され、符号鍵Ｋ＿ｍａｃと当該認証情報ｎｏｎｃｅとを使用して、メンテナンスツール３０ｂとＧＷ装置５３ｂ（認証装置）との間でＣＭＡＣによる認証処理が実行される。これにより、認証対象のメンテナンスツールの種別毎に個別の認証鍵を自動車５０に対して設定しなくてもよい。また、自動車５０の出荷後に販売されたメンテナンスツールの新製品についても、当該自動車５０では認証できるので適用可能になる。このように本実施形態によれば、自動車５０のメンテナンスツールの認証の仕組みを改善することができるという効果が得られる。
【０１３５】
［第４実施形態］
図１８は、第４実施形態に係る車両メンテナンスシステム及び自動車の構成例を示す図である。図１８において図１の各部に対応する部分には同一の符号を付け、その説明を省略する。図１８に示される車両メンテナンスシステム１ｃは、メンテナンスサーバ装置１０ｃと、操作端末３０ａと、自動車５０に搭載される認証装置としてのＧＷ装置５３ｂとを備える。メンテナンスサーバ装置１０ｃと操作端末３０ａとは、通信ネットワーク２０により相互に通信を行う。自動車５０のメンテナンスポート５６には、操作端末３０ａを接続可能である。ＧＷ装置５３ｂと、メンテナンスポート５６に接続された操作端末３０ａとは、メンテナンスポート５６を介して、データを交換する。
【０１３６】
操作端末３０ａは、第２実施形態と同様のものであって、図１０に示される構成である。ＧＷ装置５３ｂは、第３実施形態と同様のものであって、図１４に示される構成である。
【０１３７】
図１９は、本実施形態に係るメンテナンスサーバ装置の機能構成例を示す図である。図１９において図２の各部に対応する部分には同一の符号を付け、その説明を省略する。図１９に示されるメンテナンスサーバ装置１０ｃは、端末間通信部１１と、車両間通信部１２と、サーバ記憶部１３と、ＭＡＣ生成部６３と、鍵生成部６４とを備える。
【０１３８】
端末間通信部１１は、通信ネットワーク２０により操作端末３０ａと通信を行う。車両間通信部１２は、メンテナンス対象の自動車５０と通信を行う。図１９の構成例では、車両間通信部１２は、通信ネットワーク２０及び操作端末３０ａを介して、メンテナンス対象の自動車５０と通信を行う。
【０１３９】
鍵生成部６４は、符号鍵Ｋ＿ｍａｃを生成する。サーバ記憶部１３は、符号鍵Ｋ＿ｍａｃを記憶する。符号鍵Ｋ＿ｍａｃは、自動車５０のＧＷ装置５３ｂのＧＷ記憶部５３２に記憶されるものと同じである。
【０１４０】
本実施形態に係る符号鍵Ｋ＿ｍａｃの生成方法の例を以下に示す。
【０１４１】
（符号鍵Ｋ＿ｍａｃの生成方法の例１）
符号鍵Ｋ＿ｍａｃは、任意の値に決定される。例えば、符号鍵Ｋ＿ｍａｃは、乱数に基づいて決定された値である。
【０１４２】
（符号鍵Ｋ＿ｍａｃの生成方法の例２）
符号鍵Ｋ＿ｍａｃの生成には、所定のＫＤＦが使用される。以下に、符号鍵Ｋ＿ｍａｃの生成に使用されるＫＤＦの例を示す。
Ｋ＿ｍａｃ＝ＫＤＦ（共通マスタ鍵、ＶＩＮ又はＧＷ＿ｖｅｎｄｅｒＩＤ）
ここで、ＶＩＮは、自動車５０の車両識別番号（Vehicle Identification Number）である。ＧＷ＿ｖｅｎｄｅｒＩＤは、ＧＷ装置５３ｂのベンダの識別情報（ＧＷベンダ識別情報）である。上記したＫＤＦによれば、自動車５０毎又はＧＷ装置５３ｂ（認証装置）のベンダ毎に異なる符号鍵Ｋ＿ｍａｃを生成することができる。
【０１４３】
次に図２０を参照して、本実施形態に係る車両メンテナンス方法の例を説明する。図２０は、本実施形態に係る車両メンテナンス方法の例を示すシーケンスチャートである。図２０において、操作端末３０ａは、メンテナンス対象の自動車５０（以下、単に自動車５０と称する）のメンテナンスポート５６に接続されている。
【０１４４】
（ステップＳ１３１）  メンテナンス作業員は、操作端末３０ａにより、メンテナンスサーバ装置１０ｃへのログイン操作を行う。操作端末３０ａは、ログイン操作に応じて、メンテナンスサーバ装置１０ｃへログイン要求メッセージを送信する。メンテナンスサーバ装置１０ｃは、操作端末３０ａから受信したログイン要求メッセージに応じてユーザ認証を行う。ユーザ認証方法は、例えば、ユーザＩＤとパスワードとの組を使用するものであってもよく、又は、生体認証であってもよい。
【０１４５】
ユーザ認証が合格である場合には、操作端末３０ａからメンテナンスサーバ装置１０ｃへのログインは成功である。一方、ユーザ認証が不合格である場合には、操作端末３０ａからメンテナンスサーバ装置１０ｃへのログインは失敗である。ログインが成功である場合には以降の処理に進む。一方、ログインが失敗である場合には、図２０の処理を終了する。
【０１４６】
なお、ログインが失敗である場合には、メンテナンスサーバ装置１０ｃは所定のエラー処理を実行してもよい。例えば、当該エラー処理として、メンテナンスサーバ装置１０ｃは、ログイン失敗のユーザＩＤをログイン禁止に設定したり、ログイン失敗を報知するアラームを所定の報告先へ通知したりしてもよい。
【０１４７】
（ステップＳ１３２）  メンテナンス作業員は、操作端末３０ａにより、自動車５０のＶＩＮやＧＷ装置５３ｂの情報（ＧＷ情報）をメンテナンスサーバ装置１０ｃへ送信する操作を行う。操作端末３０ａは、当該送信操作に応じて、メンテナンスサーバ装置１０ｃへＶＩＮ及びＧＷ情報を送信する。メンテナンスサーバ装置１０ｃは、操作端末３０ａからＶＩＮ及びＧＷ情報を受信する。ここでは、メンテナンスサーバ装置１０ｃの鍵生成部６４は、操作端末３０ａから受信したＶＩＮ又はＧＷ＿ｖｅｎｄｅｒＩＤを使用して、上記した本実施形態に係るＫＤＦにより符号鍵Ｋ＿ｍａｃを生成する。サーバ記憶部１３は、鍵生成部６４が生成した符号鍵Ｋ＿ｍａｃを記憶する。
【０１４８】
（ステップＳ１３３）  メンテナンス作業員は、操作端末３０ａにより、自動車５０に対するメンテナンス開始操作を行う。操作端末３０ａは、メンテナンス開始操作に応じて、メンテナンスサーバ装置１０ｃへメンテナンス開始要求メッセージを送信する。メンテナンスサーバ装置１０ｃは、操作端末３０ａからメンテナンス開始要求メッセージを受信すると、メンテナンス開始要求メッセージを自動車５０のＧＷ装置５３ｂへ送信する。
【０１４９】
以降、メンテナンスサーバ装置１０ｃと自動車５０のＧＷ装置５３ｂとの間の通信は、操作端末３０ａのサーバ・車両間中継部３２を介して中継される。操作端末３０ａは、メンテナンスサーバ装置１０ｃと自動車５０のＧＷ装置５３ｂとの間の通信の中継を行うが、当該通信の内容を取り扱わない。また、メンテナンスサーバ装置１０ｃと自動車５０のＧＷ装置５３ｂとの間の通信は、暗号化通信路によって、操作端末３０ａに対して秘匿されてもよい。
【０１５０】
（ステップＳ１３４）  自動車５０のＧＷ装置５３ｂのＭＡＣ検証部５４３は、メンテナンスサーバ装置１０ｃから受信したメンテナンス開始要求メッセージに応じて、認証情報ｎｏｎｃｅをメンテナンスサーバ装置１０ｃへ送信する。認証情報ｎｏｎｃｅは、例えば乱数に基づいた値である。メンテナンスサーバ装置１０ｃは、認証情報ｎｏｎｃｅを自動車５０のＧＷ装置５３ｂから受信する。
【０１５１】
（ステップＳ１３５）  メンテナンスサーバ装置１０ｃのＭＡＣ生成部６３は、自動車５０のＧＷ装置５３ｂから受信した認証情報ｎｏｎｃｅを対象にして、サーバ記憶部１３に記憶される符号鍵Ｋ＿ｍａｃでＣＭＡＣ「ＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）」を生成する。また、ＭＡＣ生成部６３は、検証対象情報を対象にしてサーバ記憶部１３に記憶される符号鍵Ｋ＿ｍａｃでＣＭＡＣ「ＣＭＡＣ＿Ｋ＿ｍａｃ（検証対象情報）」を生成する。ここでの一例として、検証対象情報は、操作端末３０ａの情報（ツール情報）である。メンテナンスサーバ装置１０ｃは、ＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）とツール情報とＣＭＡＣ＿Ｋ＿ｍａｃ（ツール情報）とを、自動車５０のＧＷ装置５３ｂへ送信する。自動車５０のＧＷ装置５３ｂは、メンテナンスサーバ装置１０ｃから、ＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）とツール情報とＣＭＡＣ＿Ｋ＿ｍａｃ（ツール情報）とを受信する。
【０１５２】
（ステップＳ１３６）  自動車５０のＧＷ装置５３ｂのＭＡＣ検証部５４３は、認証情報ｎｏｎｃｅとメンテナンスサーバ装置１０ｃから受信したＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）とを対象にして、当該ＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）を、ＧＷ記憶部５３２が記憶する符号鍵Ｋ＿ｍａｃで検証する。当該ＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）の検証が合格である場合には、操作端末３０ａの認証が合格であり、以降の処理に進む。一方、当該ＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）の検証が不合格である場合には、操作端末３０ａの認証が不合格であり、図２０の処理を終了する。
【０１５３】
また、ＭＡＣ検証部５４３は、メンテナンスサーバ装置１０ｃから受信したツール情報とＣＭＡＣ＿Ｋ＿ｍａｃ（ツール情報）とを対象にして、当該ＣＭＡＣ＿Ｋ＿ｍａｃ（ツール情報）を、ＧＷ記憶部５３２が記憶する符号鍵Ｋ＿ｍａｃで検証する。当該ＣＭＡＣ＿Ｋ＿ｍａｃ（ツール情報）の検証が合格である場合には以降の処理に進む。一方、当該ＣＭＡＣ＿Ｋ＿ｍａｃ（ツール情報）の検証が不合格である場合には、図２０の処理を終了する。
【０１５４】
なお、ＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）及びＣＭＡＣ＿Ｋ＿ｍａｃ（ツール情報）の両方の検証が合格である場合にのみ、操作端末３０ａの認証が合格であると判断してもよい。
【０１５５】
また、上記いずれかのＣＭＡＣ検証が不合格である場合には、ＧＷ装置５３ｂは所定のエラー処理を実行してもよい。例えば、当該エラー処理として、ＧＷ装置５３ｂは、ＣＭＡＣ検証が不合格の操作端末３０ａをアクセス禁止に設定したり、操作端末３０ａの認証の不合格を報知するアラームを所定の報告先へ通知したりしてもよい。
【０１５６】
ＧＷ装置５３ｂは、操作端末３０ａの認証結果に基づいて、メンテナンスサーバ装置１０ｃへ、アクセスの許可又は拒否を通知する。ＧＷ装置５３ｂは、操作端末３０ａの認証が合格である場合には、アクセスの許可を、メンテナンスサーバ装置１０ｃへ通知する。一方、ＧＷ装置５３ｂは、操作端末３０ａの認証が不合格である場合には、アクセスの拒否を、メンテナンスサーバ装置１０ｃへ通知する。
【０１５７】
メンテナンスサーバ装置１０ｃは、自動車５０のＧＷ装置５３ｂから受信したアクセスの許可又は拒否の通知を、操作端末３０ａへ送信する。操作端末３０ａは、メンテナンスサーバ装置１０ｃから受信したアクセスの許可又は拒否の通知を、画面表示等で報知する。
【０１５８】
メンテナンス作業員は、アクセスの許可又は拒否の通知がアクセスの許可である場合、操作端末３０ａにより、自動車５０に対する所望のメンテナンス作業を、メンテナンスサーバ装置１０ｃを介して実行する。自動車５０のＧＷ装置５３ｂは、メンテナンスサーバ装置１０ｃから受信したツール情報に基づいて、操作端末３０ａにより実行される自動車５０に対するメンテナンス作業を許可するか否かを判断する。当該判断の結果、許可されたメンテナンス作業は実行されるが、許可されなかったメンテナンス作業は実行されない。
【０１５９】
なお、操作端末３０ａの認証が不合格である場合には、メンテナンスサーバ装置１０ｃは所定のエラー処理を実行してもよい。例えば、当該エラー処理として、メンテナンスサーバ装置１０ｃは、認証が不合格の操作端末３０ａをアクセス禁止に設定したり、操作端末３０ａの認証の不合格を報知するアラームを所定の報告先へ通知したりしてもよい。
【０１６０】
なお、本実施形態に係るＣＭＡＣ算出対象の例は、第３実施形態に係る図１６及び図１７の例と同様であり、図１６又は図１７の例のいずれが使用されてもよい。また、図１６及び図１７の例において、第３実施形態と同様に、ツール情報に対して有効期限を設け、ツール情報に加えて有効期限を示す有効期限情報も含めてＣＭＡＣ算出対象にしてもよい。
【０１６１】
また、第２実施形態と同様に、操作端末３０ａに与えられたメンテナンス操作の権限を示す情報（操作権限）を自動車５０のＧＷ装置５３ｂへ供給してもよい。
【０１６２】
上述した第４実施形態によれば、操作端末３０ａにより自動車５０のメンテナンス作業が行われる際に、認証情報ｎｏｎｃｅが自動車５０のＧＷ装置５３ｂ（認証装置）からメンテナンスサーバ装置１０ｃへ供給され、符号鍵Ｋ＿ｍａｃと当該認証情報ｎｏｎｃｅとを使用して、メンテナンスサーバ装置１０ｃとＧＷ装置５３ｂ（認証装置）との間でＣＭＡＣによる認証処理が実行される。これにより、認証対象の操作端末３０ａの種別毎に個別の認証鍵を自動車５０に対して設定しなくてもよい。また、自動車５０の出荷後に販売された操作端末の新製品についても、当該自動車５０では認証できるので適用可能になる。このように本実施形態によれば、自動車５０のメンテナンスツールの認証の仕組みを改善することができるという効果が得られる。
【０１６３】
以上、本発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。
【０１６４】
上述した第１実施形態及び第２実施形態において、メンテナンスツール３０及びＧＷ装置５３にＳＨＥ（Secure Hardware Extension）を適用してもよい。ＳＨＥは耐タンパー性を有するセキュアエレメントの例である。ＳＨＥを適用する場合、暗号化ツール認証鍵Ｋ＿ｍ（Ｋ＿ｔ）とは、ＳＨＥにおいて、鍵登録鍵Ｋ＿ｍを「AuthID」鍵に使用した「Ｍ１、Ｍ２及びＭ３パラメータ形式のツール認証鍵」に相当する。また、暗号化ツール認証鍵Ｋ＿ｍ（Ｋ＿ｔ）を鍵登録鍵Ｋ＿ｍで復号することは、ＳＨＥにおいて、鍵登録鍵Ｋ＿ｍを使用して鍵を更新することに相当する。なお、ＳＨＥについては、例えば非特許文献２に記載されている。
【０１６５】
上述した実施形態は、例えば、自動車の製造工場や整備工場、販売店等において、自動車に適用してもよい。
【０１６６】
上述した実施形態では、車両として自動車を例に挙げたが、原動機付自転車や鉄道車両等の自動車以外の他の車両にも適用可能である。
【０１６７】
また、上述した各装置の機能を実現するためのコンピュータプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行するようにしてもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものであってもよい。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、フラッシュメモリ等の書き込み可能な不揮発性メモリ、ＤＶＤ（Digital Versatile Disc）等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。
【０１６８】
さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（例えばＤＲＡＭ（Dynamic Random Access Memory））のように、一定時間プログラムを保持しているものも含むものとする。
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【符号の説明】
【０１６９】
１，１ａ，１ｂ，１ｃ…車両メンテナンスシステム、１０，１０ａ，１０ｃ…メンテナンスサーバ装置、１１…端末間通信部、１２…車両間通信部、１３…サーバ記憶部、２０…通信ネットワーク、３０，３０ｂ…メンテナンスツール、３０ａ…操作端末、３１…サーバ間通信部、３２…サーバ・車両間中継部、３３…メンテナンス操作部、５０…自動車、５１…ＴＣＵ、５２…ＩＶＩ機器、５３，５３ｂ…ＧＷ装置、５４…車載ネットワーク、５５…ＥＣＵ、５６…メンテナンスポート、６１…サーバ通信部、６２…サーバ暗号処理部、６３…ＭＡＣ生成部、６４…鍵生成部、７１…認証装置間通信部、７２…ツール認証処理部、７３…ツール記憶部、７４…ツール暗号処理部、５３１…ＧＷ通信部、５３２…ＧＷ記憶部、５４１…車両暗号処理部、５４２…車両認証処理部、５４３…ＭＡＣ検証部
【図１】
2020088417.tif 000003
【図２】
2020088417.tif 000004
【図３】
2020088417.tif 000005
【図４】
2020088417.tif 000006
【図５】
2020088417.tif 000007
【図６】
2020088417.tif 000008
【図７】
2020088417.tif 000009
【図８】
2020088417.tif 000010
【図９】
2020088417.tif 000011
【図１０】
2020088417.tif 000012
【図１１】
2020088417.tif 000013
【図１２】
2020088417.tif 000014
【図１３】
2020088417.tif 000015
【図１４】
2020088417.tif 000016
【図１５】
2020088417.tif 000017
【図１６】
2020088417.tif 000018
【図１７】
2020088417.tif 000019
【図１８】
2020088417.tif 000020
【図１９】
2020088417.tif 000021
【図２０】
2020088417.tif 000022