(57)【要約】【課題】車輌を特定し得る識別情報の車外への送信を制限し得る車載中継装置及び通信システムを提供する。【解決手段】セキュリティコントローラ１０が記憶部１７に記憶した車輌固有ＩＤ１７ｂ又は乱数などに基づいて生成した仮ＩＤのいずれかを選択し、選択したＩＤを用いて路側通信装置３を介したサーバ装置との通信を行う。セキュリティコントローラ１０は、生成した仮ＩＤを用いた通信を終えた場合、この仮ＩＤを破棄する。セキュリティコントローラ１０は、ＣＰＵ１１にて情報送信処理プログラムを実行することで、車載機器５０からの情報をサーバ装置５へ送信する。セキュリティコントローラ１０は、各情報送信プログラムに対するアクセス権限レベルを設定したアクセス権限レベルテーブル１７ｃを記憶部１７に記憶し、情報送信プログラムのアクセス権限レベルに応じて車輌固有ＩＤ１７ｂ又は仮ＩＤのいずれを用いて通信を行うかを判定する。【選択図】図２
2014195143.tif 000002
【特許請求の範囲】
【請求項１】
車輌に搭載された一又は複数の車載機器との通信を行う車内通信部、及び、前記車輌外に設置された車外通信装置との通信を行う車外通信部を備え、前記車載機器及び前記車外通信装置との間の通信を中継する車載中継装置において、
前記車外通信装置への送信情報に、該送信情報の送信元を前記車外通信装置が識別するための識別情報を付し、識別情報が付された送信情報を前記車外通信部にて前記車外通信装置へ送信する処理を行う通信処理手段と、
記憶部に記憶された第１の情報を取得する取得手段と、
前記第１の情報とは異なる第２の情報を生成する生成手段と、
前記取得手段が取得した第１の情報又は前記生成手段が生成した第２の情報のいずれを前記通信処理手段が前記識別情報として用いるべきであるかを判定する判定手段と
を備え、
前記通信処理手段は、前記判定手段の判定結果に応じて、前記取得手段が取得した第１の情報又は前記生成手段が生成した第２の情報のいずれかを前記識別情報として用いて、前記車外通信装置へ情報を送信する処理を行うようにしてあること
を特徴とする車載中継装置。
【請求項２】
前記生成手段が生成した第２の情報を用いた前記車外通信装置との通信を行った後、所定条件が成立したか否かにより前記第２の情報を破棄すべきか否かを判定する破棄判定手段を更に備え、
該破棄判定手段が前記第２の情報を破棄すべきと判定した場合に、前記第２の情報を破棄するようにしてあること
を特徴とする請求項１に記載の車載中継装置。
【請求項３】
前記所定条件には、前記車外通信装置との通信を終えたこと、所定期間に亘って前記車外通信装置との通信を行っていないこと、前記生成手段が前記第２の情報を生成してから所定期間が経過したこと、前記車外通信装置から要求が与えられたこと、又は、前記車輌の原動機の始動に係るスイッチが所定状態に切り替えられたことを含むこと
を特徴とする請求項２に記載の車載中継装置。
【請求項４】
前記車内通信部にて前記車載機器から受信した情報を前記車外通信装置へ送信する処理を行う一又は複数の情報送信処理プログラムを記憶したプログラム記憶部と、
該プログラム記憶部に記憶された情報送信処理プログラムを実行する処理部と、
前記車輌内の情報に対するアクセス権限のレベルを前記情報送信処理プログラム毎に記憶したアクセス権限レベル記憶部と
を備え、
前記判定手段は、前記アクセス権限レベル記憶部が記憶したアクセス権限のレベルに基づいて判定を行うようにしてあること
を特徴とする請求項１乃至請求項３のいずれか１つに記載の車載中継装置。
【請求項５】
前記判定手段は、
前記アクセス権限のレベルが低い情報送信処理プログラムによる前記車外通信装置との通信を、前記生成手段が生成した第２の情報を用いた通信を行うべきと判定し、
前記アクセス権限のレベルが高い情報送信処理プログラムによる前記車外通信装置との通信を、前記第１の情報を用いた通信を行うべきと判定するようにしてあること
を特徴とする請求項４に記載の車載中継装置。
【請求項６】
前記アクセス権限のレベルは、前記情報処理プログラムが情報を送信する送信先に基づいて定められていること
を特徴とする請求項４又は請求項５に記載の車載中継装置。
【請求項７】
前記第１の情報は、前記車輌に固有の情報であること
を特徴とする請求項１乃至請求項６のいずれか１つに記載の車載中継装置。
【請求項８】
前記生成手段は、乱数を用いて第２の情報を生成するようにしてあること
を特徴とする請求項１乃至請求項７のいずれか１つに記載の車載中継装置。
【請求項９】
車輌に搭載された一又は複数の車載機器と、前記車輌外に設置された車外通信装置と、前記車載機器との通信を行う車内通信部及び前記車外通信装置との通信を行う車外通信部を有し、前記車載機器及び前記車外通信装置との間の通信を中継する車載中継装置とを備える通信システムにおいて、
前記車載中継装置は、
前記車外通信装置への送信情報に、該送信情報の送信元を前記車外通信装置が識別するための識別情報を付し、識別情報が付された送信情報を前記車外通信部にて前記車外通信装置へ送信する処理を行う通信処理手段と、
記憶部に記憶された第１の情報を取得する取得手段と、
前記第１の情報とは異なる第２の情報を生成する生成手段と、
前記取得手段が取得した第１の情報又は前記生成手段が生成した第２の情報のいずれを前記通信処理手段が前記識別情報として用いるべきであるかを判定する判定手段と
を有し、
前記通信処理手段は、前記判定手段の判定結果に応じて、前記取得手段が取得した第１の情報又は前記生成手段が生成した第２の情報のいずれかを前記識別情報として用いて、前記車外通信装置へ情報を送信する処理を行うようにしてあること
を特徴とする通信システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車輌内に搭載された車載機器と外部の車外通信装置との間で通信を中継する車載中継装置及び通信システムに関する。
【背景技術】
【０００２】
特許文献１には、移動体側通信装置と路側通信装置との間の通信に係る通信システムが記載されている。移動体側通信装置は、路側通信装置自体又はその構成装置の識別情報を受信すると共に、路側通信装置へ送信するデータに付与する送信元情報を生成する。移動体側通信装置は、送信元情報の生成に必要なデータを、路側通信装置から受信した識別情報を用いて暗号化する。移動体側通信装置は、暗号化したデータに送信元情報を付与して路側通信装置へ送信する。
【０００３】
上記のような路車間通信を行う通信システムでは、例えば交通センターなどが各車輌から情報を収集して各地域の渋滞状況又は気候等を把握し、これらの情報を各車輌へフィードバックすることによって、車輌の運転者による快適な運転を実現できる。また例えば警察などが車輌情報を収集することによって、盗難車輌又は行方不明車輌等の探索を実現できる。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１０−１８３２６１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、車輌の情報を収集する交通センターなどにおいて情報漏えいが発生する可能性は否めない。例えば車輌に固有の識別情報及び車輌の位置情報を収集することによって、車輌の走行履歴などを容易に判断することができ、これらの情報は車輌のユーザのプライバシーにかかわる情報である。このため車輌を特定し得る情報は送信しないことが好ましい。これに対して警察などが盗難車輌又は行方不明車輌等の探索を行うためには、車輌を特定し得る情報を収集する必要がある。
【０００６】
本発明は、斯かる事情に鑑みてなされたものであって、その目的とするところは、車輌を特定し得る識別情報の車外への送信を制限し得る車載中継装置及び通信システムを提供することにある。
【課題を解決するための手段】
【０００７】
本発明に係る車載中継装置は、車輌に搭載された一又は複数の車載機器との通信を行う車内通信部、及び、前記車輌外に設置された車外通信装置との通信を行う車外通信部を備え、前記車載機器及び前記車外通信装置との間の通信を中継する車載中継装置において、前記車外通信装置への送信情報に、該送信情報の送信元を前記車外通信装置が識別するための識別情報を付し、識別情報が付された送信情報を前記車外通信部にて前記車外通信装置へ送信する処理を行う通信処理手段と、記憶部に記憶された第１の情報を取得する取得手段と、前記第１の情報とは異なる第２の情報を生成する生成手段と、前記取得手段が取得した第１の情報又は前記生成手段が生成した第２の情報のいずれを前記通信処理手段が前記識別情報として用いるべきであるかを判定する判定手段とを備え、前記通信処理手段は、前記判定手段の判定結果に応じて、前記取得手段が取得した第１の情報又は前記生成手段が生成した第２の情報のいずれかを前記識別情報として用いて、前記車外通信装置へ情報を送信する処理を行うようにしてあることを特徴とする。
【０００８】
また、本発明に係る車載中継装置は、前記生成手段が生成した第２の情報を用いた前記車外通信装置との通信を行った後、所定条件が成立したか否かにより前記第２の情報を破棄すべきか否かを判定する破棄判定手段を更に備え、該破棄判定手段が前記第２の情報を破棄すべきと判定した場合に、前記第２の情報を破棄するようにしてあることを特徴とする。
【０００９】
また、本発明に係る車載中継装置は、前記所定条件には、前記車外通信装置との通信を終えたこと、所定期間に亘って前記車外通信装置との通信を行っていないこと、前記生成手段が前記第２の情報を生成してから所定期間が経過したこと、前記車外通信装置から要求が与えられたこと、又は、前記車輌の原動機の始動に係るスイッチが所定状態に切り替えられたことを含むことを特徴とする。
【００１０】
また、本発明に係る車載中継装置は、前記車内通信部にて前記車載機器から受信した情報を前記車外通信装置へ送信する処理を行う一又は複数の情報送信処理プログラムを記憶したプログラム記憶部と、該プログラム記憶部に記憶された情報送信処理プログラムを実行する処理部と、前記車輌内の情報に対するアクセス権限のレベルを前記情報送信処理プログラム毎に記憶したアクセス権限レベル記憶部とを備え、前記判定手段は、前記アクセス権限レベル記憶部が記憶したアクセス権限のレベルに基づいて判定を行うようにしてあることを特徴とする。
【００１１】
また、本発明に係る車載中継装置は、前記判定手段が、前記アクセス権限のレベルが低い情報送信処理プログラムによる前記車外通信装置との通信を、前記生成手段が生成した第２の情報を用いた通信を行うべきと判定し、前記アクセス権限のレベルが高い情報送信処理プログラムによる前記車外通信装置との通信を、前記第１の情報を用いた通信を行うべきと判定するようにしてあることを特徴とする。
【００１２】
また、本発明に係る車載中継装置は、前記アクセス権限のレベルが、前記情報処理プログラムが情報を送信する送信先に基づいて定められていることを特徴とする。
【００１３】
また、本発明に係る車載中継装置は、前記第１の情報が、前記車輌に固有の情報であることを特徴とする。
【００１４】
また、本発明に係る車載中継装置は、前記生成手段が、乱数を用いて第２の情報を生成するようにしてあることを特徴とする。
【００１５】
また、本発明に係る通信システムは、車輌に搭載された一又は複数の車載機器と、前記車輌外に設置された車外通信装置と、前記車載機器との通信を行う車内通信部及び前記車外通信装置との通信を行う車外通信部を有し、前記車載機器及び前記車外通信装置との間の通信を中継する車載中継装置とを備える通信システムにおいて、前記車載中継装置は、前記車外通信装置への送信情報に、該送信情報の送信元を前記車外通信装置が識別するための識別情報を付し、識別情報が付された送信情報を前記車外通信部にて前記車外通信装置へ送信する処理を行う通信処理手段と、記憶部に記憶された第１の情報を取得する取得手段と、前記第１の情報とは異なる第２の情報を生成する生成手段と、前記取得手段が取得した第１の情報又は前記生成手段が生成した第２の情報のいずれを前記通信処理手段が前記識別情報として用いるべきであるかを判定する判定手段とを有し、前記通信処理手段は、前記判定手段の判定結果に応じて、前記取得手段が取得した第１の情報又は前記生成手段が生成した第２の情報のいずれかを前記識別情報として用いて、前記車外通信装置へ情報を送信する処理を行うようにしてあることを特徴とする。
【００１６】
本発明においては、記憶部から取得した第１の情報、又は、車載中継装置が例えば乱数などに基づいて生成した第２の情報のいずれかを選択し、選択した情報を識別情報として用いて、車載中継装置が車外通信装置との通信を行う。車外通信装置との通信に用いる識別情報を車載中継装置が必要に応じて使い分けることにより、車輌を特定し得る情報の車外への送信を制限することができる。
【００１７】
また、本発明においては、生成した第２の情報を識別情報として用いた車外通信装置との通信を行った後、車載中継装置は所定条件が成立した場合に、生成した第２の情報を破棄する。その後に車外通信装置との通信を行う必要が生じた場合、車載中継装置は第２の情報を新たに生成すればよい。これにより、車外通信装置との通信を行う都度、異なる識別情報が用いられることとなる。
【００１８】
第２の情報を破棄するか否かを判定するための所定条件には、下記の複数の条件のうち、少なくとも１つの条件を含む。
・車載中継装置と車外通信装置との通信が終了したこと。ここで通信とは、車載中継装置と車外通信装置との間でデータ送受信を１回行うことであってよく、何らかの処理に必要な複数回のデータ送受信を行うことであってよい。
・車載中継装置と車外通信装置との通信が所定期間に亘って行われていないこと。所定期間には、例えば数分、数十分、数時間…などが設定され得る。通信が行われない要因には、例えば車輌が通信範囲外を走行している、処理上において通信の必要がないなどが考えられる。
・車載中継装置が第２の情報を生成してから所定期間が経過したこと。所定期間には、例えば数分、数十分、数時間…などが設定され得る。
・車外通信装置から車載中継装置へ、通信を終了する又は第２の情報を更新する等の要求が与えられたこと。
・車輌の原動機の始動に係るスイッチ、いわゆるイグニッションスイッチが所定状態（例えばオフ状態など）に切り替えられたこと。
【００１９】
また、本発明においては、車載中継装置が情報送信処理プログラムを処理部にて実行することで、車載機器からの情報を車外通信装置へ送信する。各情報送信処理プログラムに対してアクセス権限レベルを設定しておき、このレベルに基づいて第１の情報又は第２の情報のいずれを識別情報として用いて車外通信装置との通信を行うかの判定を行う。これにより、例えば情報送信処理プログラムによる通信先などに応じてアクセス権限レベルを適切に設定することで、いずれの情報を識別情報として用いるかを適切に判定することができる。
例えば、アクセス権限レベルが低い情報送信処理プログラムによる車外通信装置との通信には、車載中継装置が生成した第２の情報を用い、アクセス権限レベルが高い情報送信処理プログラムによる車外通信装置との通信には、第１の情報を用いる構成とすることができる。
【発明の効果】
【００２０】
本発明による場合は、車載中継装置が記憶部から取得した第１の情報又は生成した第２の情報のいずれかを識別情報として用いて車外通信装置との通信を行う構成とすることにより、車輌を特定し得る情報の車外への送信を制限することができる。よって車輌のユーザのプライバシーにかかわる情報などが漏洩する可能性を低減することができる。
【図面の簡単な説明】
【００２１】
【図１】本実施の形態に係る通信システムの構成を示す模式図である。
【図２】セキュリティコントローラの構成を示すブロック図である。
【図３】アクセス権限レベルテーブルの一構成例を示す模式図である。
【図４】アクセス許可レベルテーブルの一構成例を示す模式図である。
【図５】セキュリティコントローラによる情報送信処理の手順を示すフローチャートである。
【図６】セキュリティコントローラによる情報送信処理の手順を示すフローチャートである。
【発明を実施するための形態】
【００２２】
以下、本発明をその実施の形態を示す図面に基づき具体的に説明する。図１は、本実施の形態に係る通信システムの構成を示す模式図である。図において一点鎖線で示す１は車輌であり、車輌１にはセキュリティコントローラ１０、ゲートウェイ３０及び複数の車載機器５０等が搭載されている。車輌１には、共通の通信線にバス接続された複数の車載機器５０による通信グループが複数存在し、通信グループ間の通信をゲートウェイ３０が中継している。このためゲートウェイ３０には、複数の通信線が接続されている。またゲートウェイ３０は、セキュリティコントローラ１０が接続されており、セキュリティコントローラ１０からの情報を車載機器５０へ送信すると共に、車載機器５０から受信した情報をセキュリティコントローラ１０へ与える。
【００２３】
セキュリティコントローラ１０は、車輌１の外部に設置された路側通信装置３と、ゲートウェイ３０及び車載機器５０等を含んで構成された車輌１の車内ネットワークとの間の通信を中継する機能を有し、ゲートウェイ３０に接続されている。路側通信装置３は、例えば主要道路の交差点などに設置され、電波又は光等を利用した無線通信により車輌１との間で情報の送受信を行うことができる。また路側通信装置３は、専用の通信網又はインターネット等を介してサーバ装置５に接続され、車輌１及びサーバ装置５の間の情報送受信を中継する。
【００２４】
サーバ装置５は、車輌１の外部の適所に設置され、路側通信装置３を介して車輌１との通信を行う。例えばサーバ装置５は、交通センターの渋滞情報を管理するための装置とすることができる。この場合にサーバ装置５は、車輌１から送信される車速情報及び位置情報等を収集して渋滞の有無等を判断すると共に、渋滞情報を車輌１へフィードバックする。また例えばサーバ装置５は、警察による車輌位置の割り出しを行うための装置とすることができる。この場合にサーバ装置５は、車輌１から送信される車輌固有の識別情報及び車輌１の位置情報等を収集して、特定の車輌１の位置を割り出す処理を行う。なおサーバ装置５は、上記以外の種々の処理を行うものであってよい。
【００２５】
図２は、セキュリティコントローラ１０の構成を示すブロック図である。セキュリティコントローラ１０は、ＣＰＵ（Central Processing Unit）１１、ＲＡＭ（Random Access Memory）１２、位置情報取得部１３、無線通信部１５、車内通信部１６及び記憶部１７等を備えて構成されている。ＣＰＵ１１は、記憶部１７のプログラム記憶部１７ａに記憶された一又は複数のプログラムをＲＡＭ１２に読み出して実行することにより、種々の処理を行う演算処理装置である。図示の例では、ＣＰＵ１１が３つのプログラムＡ〜Ｃを実行している。ＣＰＵ１１は、例えば時分割などで複数のプログラムを切り替えて実行することにより、複数のプログラムを並列的に実行することができる。また本実施の形態においては、ＣＰＵ１１にて実行されるプログラムには、車輌１に関する情報を車載機器５０から取得し、路側通信装置３を介して特定のサーバ装置５へ車輌情報を送信する処理を行うプログラムが含まれる。
【００２６】
ＲＡＭ１２は、ＳＲＡＭ（Static ＲＡＭ）又はＤＲＡＭ（Dynamic RAM）等のメモリ素子で構成され、ＣＰＵ１１が実行するプログラム及び実行に必要なデータ等が一時的に記憶される。位置情報取得部１３は、車輌１の位置情報を取得してＣＰＵ１１へ与える。位置情報取得部１３は、例えばＧＰＳ（Global Positioning System）の信号を受信するアンテナなどが接続され、受信信号に基づいて車輌１の位置（緯度及び経度等）を算出する構成とすることができる。更に、位置情報取得部１３は、速度センサ、加速度センサ又はジャイロセンサ等のセンサから得られる情報、並びに、地図情報等を利用して車輌１の位置を算出してもよい。なお車輌１にカーナビゲーション装置が搭載されている場合、車輌１の位置を算出する処理はカーナビゲーション装置が行い、算出結果をセキュリティコントローラ１０が取得して利用する構成であってもよい。
【００２７】
無線通信部１５は、電波又は光等の無線信号を利用して、車輌１の外部に設置された路側通信装置３との間で無線通信を行う。無線通信部１５は、ＣＰＵ１１から与えられた情報を路側通信装置３へ送信すると共に、路側通信装置３から受信した情報をＣＰＵ１１へ与える。車内通信部１６は、車輌１に搭載されたゲートウェイ３０に通信ケーブルを介して接続されている。車内通信部１６は、例えばＣＡＮ（Controller Area Network）又はＬＩＮ（Local Interconnect Network）等の規格に応じて、ゲートウェイ３０との通信を行う。車内通信部１６は、ＣＰＵ１１から与えられた情報をゲートウェイ３０へ送信すると共に、ゲートウェイ３０から受信した情報をＣＰＵ１１へ与える。
【００２８】
記憶部１７は、フラッシュメモリ若しくはＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）等の不揮発性のメモリ素子、又は、ハードディスクなどの磁気記憶装置等を用いて構成されている。記憶部１７は、ＣＰＵ１１が実行するプログラム及び実行に必要なデータ等を記憶するプログラム記憶部１７ａを有する。また記憶部１７は、車輌固有ＩＤ１７ｂ、アクセス権限レベルテーブル１７ｃ及びアクセス許可レベルテーブル１７ｄ等を記憶する。
【００２９】
車輌固有ＩＤ１７ｂは、車輌１に対して一意的に付される情報である。異なる車輌１には車輌固有ＩＤ１７ｂとして異なる情報が付され、同一の情報を有する車輌１は存在しない。なお車輌固有ＩＤ１７ｂは、必ずしもセキュリティコントローラ１０の記憶部１７に記憶されていなくてもよい。例えば車輌固有ＩＤ１７ｂは、ゲートウェイ３０又はその他の車載機器５０等が記憶していてもよく、セキュリティコントローラ１０が車内ネットワークを介してこれらの装置から車輌固有ＩＤ１７ｂを取得してもよい。
【００３０】
本実施の形態に係る通信システムでは、サーバ装置５が通信相手を特定するために、車輌１から路側通信装置３を介してサーバ装置５へ送信される情報にはＩＤ（識別情報）が付される。本実施の形態に係るセキュリティコントローラ１０は、乱数などに基づく仮ＩＤを生成する機能を有している。セキュリティコントローラ１０は、例えば通信相手となるサーバ装置５の種別などに応じて、生成した仮ＩＤ又は記憶部１７に記憶した車輌固有ＩＤ１７ｂのいずれかのＩＤを選択し、選択したＩＤを用いてサーバ装置５との通信を行う。このときにセキュリティコントローラ１０は、記憶部１７に記憶したアクセス権限レベルテーブル１７ｃに基づいて、仮ＩＤ又は車輌固有ＩＤ１７ｂのいずれを用いて通信を行うかを判定する。
【００３１】
図３は、アクセス権限レベルテーブル１７ｃの一構成例を示す模式図である。アクセス権限レベルテーブル１７ｃには、記憶部１７のプログラム記憶部１７ａに記憶された各プログラムと、アクセス権限レベルとが対応付けて記憶されている。図示の例では、プログラムとして、警察への情報送信を行うプログラム、交通センターへの情報送信を行うプログラム…のようにプログラム名又はプログラムの説明等が記載されているが、これは一例であって、プログラムを識別し得る情報であればどのような情報であってもよい。
【００３２】
またアクセス権限レベルテーブル１７ｃのアクセス権限レベルとして、レベル１〜３の３段階が設定されている。ただしこれは一例であり、アクセス権限レベルは２段階又は４段階以上であってもよい。アクセス権限レベルは、その数値が大きいほど、高いアクセス権限を有していることを示している。即ち、アクセス権限レベル３のプログラムは、アクセス権限レベル１又は２のプログラムより、より多くの情報にアクセスすることができる。図示の例では、警察への情報送信を行うプログラムは、最も高いアクセス権限レベル３が設定されている。また交通センターへの情報送信を行うプログラムは、最も低いアクセス権限レベル１が設定されている。なお、図示の例では、アクセス権限レベルを数値で表現しているが、これは一例であって、優先順位を識別し得る情報であればどのような情報であってもよい。
【００３３】
アクセス権限レベルテーブル１７ｃは、例えばセキュリティコントローラ１０の記憶部１７にプログラムのインストールが行われた場合に、セキュリティコントローラ１０によって登録される構成とすることができる。この場合、セキュリティコントローラ１０は、例えばプログラムの配信元を電子署名などの情報に基づいて判断し、配信元の信頼性などに基づいてアクセス権限レベルを決定して、インストールしたプログラムのアクセス権限レベルをアクセス権限レベルテーブル１７ｃに登録することができる。また、車輌１のディーラ又は製造会社等がアクセス権限レベルテーブル１７ｃを作成し、セキュリティコントローラ１０へ提供する構成とすることができる。この場合、セキュリティコントローラ１０は、車輌１のディーラ又は製造会社等のサーバ装置へアクセスしてアクセス権限レベルテーブル１７ｃを取得してもよい。また、車輌１のディーラ又は整備工場等において、セキュリティコントローラ１０に専用の情報更新装置などを接続し、ディーラ又は整備工場等の作業者によってアクセス権限レベルテーブル１７ｃの登録又は更新等を行う構成とすることができる。
【００３４】
アクセス権限レベルテーブル１７ｃは、どのような方法で設定され、セキュリティコントローラ１０の記憶部１７に記憶されてもよいが、各プログラムに対するアクセス権限レベルは適切に設定されている必要がある。本実施の形態において、路側通信装置３を介してサーバ装置５への情報送信を行うプログラムに関しては、その情報送信先に応じてアクセス権限レベルが設定されている。
【００３５】
本実施の形態に係るセキュリティコントローラ１０は、アクセス権限レベルが３に設定された情報送信プログラムがサーバ装置５へ情報送信を行う場合、記憶部１７に記憶した車輌固有ＩＤ１７ｂを用いた通信を行う。これに対してアクセス権限レベルが１又は２に設定された情報送信プログラムがサーバ装置５へ情報送信を行う場合、自らが作成した仮ＩＤを一時的に用いて通信を行う。
【００３６】
また、セキュリティコントローラ１０は、車輌１の車内ネットワークにて送受信される各情報（即ち、車内通信部１６にて送受信する各情報）について、プログラムによるアクセスを許可するアクセス権限レベルを、アクセス許可レベルとしてアクセス許可テーブル１７ｄに記憶している。図４は、アクセス許可レベルテーブル１７ｄの一構成例を示す模式図である。アクセス許可レベルテーブル１７ｄには、送受信される情報の種別と、アクセス許可レベルとが対応付けて記憶されている。図示の例では、アクセス許可レベルテーブル１７ｄの情報種別として、エンジン制御情報、ユーザ情報、位置情報及び車速情報等が一例として記載されている。これらの情報種別は、例えば車内ネットワークがＣＡＮの規格に従うものである場合、送受信されるフレームに付されたＩＤ番号及びフレーム内における情報の格納順序等に基づいて判断することができる。
【００３７】
またアクセス許可レベルテーブル１７ｄのアクセス許可レベルとして、レベル１〜３の３段階が設定されている。ただしこれは一例であり、アクセス許可レベルは２段階又は４段階以上であってもよい。アクセス許可レベルは、その数値が大きいほど、情報に対するアクセスに必要なアクセス権限レベルが高いことを示している。即ち、アクセス許可レベル３の情報は、アクセス権限レベル３以上のプログラムがアクセス可能である。またアクセス許可レベル１の情報は、アクセス権限レベル１以上のプログラムがアクセス可能である。図示の例では、エンジン制御情報及びユーザ情報がアクセス許可レベル３に設定され、位置情報及び車速情報がアクセス許可レベル１に設定されている。なお、図示の例では、アクセス許可レベルを数値で表現しているが、これは一例であって、優先順位を識別し得る情報であればどのような情報であってもよい。
【００３８】
セキュリティコントローラ１０のＣＰＵ１１は、プログラムの実行により車内ネットワークの情報に対するアクセス要求がなされた場合、このプログラムのアクセス権限レベルと、アクセス要求に係る情報のアクセス許可レベルとを判定する。プログラムのアクセス権限レベルが情報のアクセス許可レベル以上である場合、ＣＰＵ１１は、このプログラムによる情報のアクセスを許可する。即ちＣＰＵ１１は、アクセス要求に係る情報を、車内通信部１６の受信情報から取得して、このプログラムの処理に用いる。これに対して、プログラムのアクセス権限レベルが情報のアクセス許可レベルに満たない場合、ＣＰＵ１１は、このプログラムによる情報のアクセスを許可しない。アクセスが許可されなかった場合の処理は、各プログラムに任される。
【００３９】
同様にセキュリティコントローラ１０のＣＰＵ１１は、プログラムの実行により車内ネットワークへの情報送信要求がなされた場合、このプログラムのアクセス権限レベルと、送信しようとする情報のアクセス許可レベルとを判定する。プログラムのアクセス権限レベルが情報のアクセス許可レベル以上である場合、ＣＰＵ１１は、このプログラムによる情報送信を許可し、車内通信部１６から車内ネットワークへの情報送信を行う。これに対して、プログラムのアクセス権限レベルが情報のアクセス許可レベルに満たない場合、ＣＰＵ１１は、このプログラムによる情報送信を許可しない。
【００４０】
これにより、セキュリティコントローラ１０のＣＰＵ１１がサーバ装置５へ情報送信するプログラムを実行する場合、このプログラムによってサーバ装置５へ送信される情報の種別が、情報送信プログラムのアクセス権限レベルと、送信する情報のアクセス許可レベルとに応じて制限される。
【００４１】
本実施の形態に係る通信システムでは、例えば車輌１の走行中に、車外に設置された路側通信装置３から車輌１へ情報送信の要求が発せられた場合に、路側通信装置３を介したサーバ装置５及びセキュリティコントローラ１０の通信が開始される。セキュリティコントローラ１０は、路側通信装置３から受信した情報を基に通信相手となるサーバ装置５を判断し、通信相手に応じた情報送信プログラムをＣＰＵ１１にて実行する。セキュリティコントローラ１０は、情報送信プログラムのアクセス権限レベルに応じて車輌固有ＩＤ１７ｂ又は仮ＩＤのいずれを用いて通信を行うかを判定する。
【００４２】
例えば通信相手となるサーバ装置５が交通センターのものである場合、セキュリティコントローラ１０は、記憶部１７のプログラム記憶部１７ａに記憶された交通センターへの情報送信プログラムを実行する。交通センターへの情報送信プログラムのアクセス権限レベルは図３に示すようにレベル１であるため、セキュリティコントローラ１０は、通信用の仮ＩＤを生成する。仮ＩＤは、例えばその時点における車輌１の位置（経度又は緯度等）、日付又は時刻等の情報を基に生成してもよく、乱数によって生成してもよく、これらの組み合わせによって生成してもよい。セキュリティコントローラ１０は、生成した仮ＩＤを送信してサーバ装置５に登録し、以後はこの仮ＩＤを用いて通信を行う。またセキュリティコントローラ１０から仮ＩＤを受信したサーバ装置５は、この仮ＩＤを通信相手のＩＤとして登録し、以後の通信においては登録した仮ＩＤに基づいて通信相手を識別する。
【００４３】
仮ＩＤの登録によってサーバ装置５との通信を確立したセキュリティコントローラ１０は、交通センターへの情報送信プログラムの処理によって、車内ネットワークから必要な情報を収集し、サーバ装置５へ送信する。このときセキュリティコントローラ１０は、サーバ装置５に登録した仮ＩＤを送信情報に付して、サーバ装置５への情報送信を行う。また交通センターへの情報送信プログラムの処理に基づいてセキュリティコントローラ１０がサーバ装置５へ送信することができる情報は、図４のアクセス許可レベルテーブル１７ｄにてアクセス許可レベルが１に設定された情報のみである。
【００４４】
交通センターへの情報送信プログラムの処理によって、セキュリティコントローラ１０は、例えば車輌１の位置情報及び車速情報を交通センターのサーバ装置５へ送信する。サーバ装置５は、様々な車輌１から収集した位置情報及び車速情報に基づいて例えば道路の渋滞状況を判断し、渋滞情報を車輌１へ送信する。路側通信装置３を介してサーバ装置５からの渋滞情報を受信したセキュリティコントローラ１０は、例えば車輌１に搭載されたカーナビゲーション装置へゲートウェイ３０を介して渋滞情報を送信し、カーナビゲーション装置による渋滞情報の表示などを行うことができる。なおサーバ装置５から受信した渋滞情報をカーナビゲーション装置へ送信する処理は、交通センターへの情報送信プログラムの処理により行ってもよく、その他のプログラムの処理により行ってもよい。ただし交通センターへの情報送信プログラムの処理によって渋滞情報をカーナビゲーション装置へ送信する場合、アクセス許可レベルテーブル１７ｄには、渋滞情報のアクセス許可レベルが１に設定されている必要がある。
【００４５】
その後、セキュリティコントローラ１０は、仮ＩＤを用いて路側通信装置３を介したサーバ装置５との通信を行う。何らかの通信終了要因が発生した場合、セキュリティコントローラ１０は、通信に用いていた仮ＩＤを破棄し、以後はこの仮ＩＤを用いた通信を行わない。通信終了要因には、例えば所定時間に亘って路側通信装置３との通信が行われていないこと、仮ＩＤの生成から所定時間が経過したこと、サーバ装置５から通信を終了する要求が与えられたこと、又は、車輌１のイグニッションスイッチがオフに切り換えられたこと等の種々の要因を含み得る。なお仮ＩＤを破棄する条件は、上記のものに限らず、その他種々の条件を採用することができる。
仮ＩＤの有効期間は、車輌１のエンジンの始動から停止までの期間を最長とし、これよりも短い期間であることが好ましい。ただしこれ以上の期間に亘って仮ＩＤを使用し続けることを否定するものではない。
【００４６】
また例えば通信相手となるサーバ装置５が警察のものである場合、セキュリティコントローラ１０は、記憶部１７のプログラム記憶部１７ａに記憶された警察への情報送信プログラムを実行する。警察への情報送信プログラムのアクセス権限レベルは図３に示すようにレベル３であるため、セキュリティコントローラ１０は、記憶部１７に記憶した車輌固有ＩＤ１７ｂを読み出す。セキュリティコントローラ１０は、読み出した車輌固有ＩＤ１７ｂを送信してサーバ装置５に登録し、以後はこの車輌固有ＩＤ１７ｂを用いて通信を行う。またセキュリティコントローラ１０から車輌固有ＩＤ１７ｂを受信したサーバ装置５は、この車輌固有ＩＤ１７ｂを通信相手のＩＤとして登録し、以後の通信においては登録した車輌固有ＩＤ１７ｂに基づいて通信相手を識別する。
【００４７】
車輌固有ＩＤ１７ｂの登録によってサーバ装置５との通信を確立したセキュリティコントローラ１０は、警察への情報送信プログラムの処理によって、車内ネットワークから必要な情報を収集し、サーバ装置５へ送信する。このときセキュリティコントローラ１０は、サーバ装置５に登録した車輌固有ＩＤ１７ｂを送信情報に付して、サーバ装置５への情報送信を行う。また警察への情報送信プログラムの処理に基づいてセキュリティコントローラ１０がサーバ装置５へ送信することができる情報は、図４のアクセス許可レベルテーブル１７ｄにてアクセス許可レベルが１〜３に設定された情報、即ち車内ネットワークで扱われる全情報である。
【００４８】
警察への情報送信プログラムの処理によって、セキュリティコントローラ１０は、例えば車輌１の位置情報及びユーザ情報を警察のサーバ装置５へ送信する。サーバ装置５は、例えば盗難車輌又は行方不明車輌等に付された車輌固有ＩＤ１７ｂ及びこの車輌に係るユーザ情報等を、車輌１の製造会社又はディーラ等から取得する。サーバ装置５は、様々な車輌１から収集した車輌固有ＩＤ１７ｂ及びユーザ情報に基づいて、盗難車輌又は行方不明車輌等と路側通信装置３との通信が行われたか否かを判定し、通信が行われた場合には車輌１から送信された位置情報に基づいて、車輌１の位置を割り出すことができる。
【００４９】
図５及び図６は、セキュリティコントローラ１０による情報送信処理の手順を示すフローチャートである。セキュリティコントローラ１０のＣＰＵ１１は、路側通信装置３からの通信要求を無線通信部１５にて受信したか否かを判定する（ステップＳ１）。通信要求を受信していない場合（Ｓ１：ＮＯ）、ＣＰＵ１１は、通信要求を受信するまで待機する。通信要求を受信した場合（Ｓ１：ＹＥＳ）、ＣＰＵ１１は、通信要求に付された情報を基に通信相手の判定を行い（ステップＳ２）、通信相手に応じた情報送信プログラムを実行する（ステップＳ３）。
【００５０】
ＣＰＵ１１は、記憶部１７に記憶したアクセス権限レベルテーブル１７ｃを参照し、ステップＳ３にて実行した情報送信プログラムのアクセス権限レベルがレベル３であるか否かを判定する（ステップＳ４）。アクセス権限レベルがレベル３の場合（Ｓ４：ＹＥＳ）、ＣＰＵ１１は、記憶部１７に記憶した車輌固有ＩＤ１７ｂを読み出す（ステップＳ５）。アクセス権限レベルがレベル３ではない場合、即ちアクセス権限レベルがレベル１又は２である場合（Ｓ４：ＮＯ）、ＣＰＵ１１は、乱数などに基づいて仮ＩＤを生成する（ステップＳ６）。次いでＣＰＵ１１は、ステップＳ５にて読み出した車輌固有ＩＤ１７ｂ又はステップＳ６にて生成した仮ＩＤをサーバ装置５へ送信して認証処理などを行うことによって、サーバ装置５に通信用のＩＤを登録する（ステップＳ７）。
【００５１】
その後、ＣＰＵ１１は、情報送信プログラムの処理により、サーバ装置５が必要とする情報を収集すると共に、ステップＳ７にて登録したＩＤを用いて収集した情報をサーバ装置５へ送信する（ステップＳ８）。ＣＰＵ１１は、情報送信を終了する何らかの条件が成立したか否かを判定し（ステップＳ９）、情報送信終了の条件が成立していない場合（Ｓ９：ＮＯ）、ステップＳ８へ処理を戻して、情報収集及び送信を繰り返し行う。情報送信終了の条件が成立した場合（Ｓ９：ＹＥＳ）、ＣＰＵ１１は、サーバ装置５への情報送信に用いたＩＤが仮ＩＤであったか否かを判定する（ステップＳ１０）。情報送信を仮ＩＤで行っていた場合（Ｓ１０：ＹＥＳ）、ＣＰＵ１１は、この仮ＩＤを破棄し（ステップＳ１１）、処理を終了する。情報送信を仮ＩＤで行っていない場合、即ち車輌固有ＩＤ１７ｂで行っていた場合（Ｓ１０：ＮＯ）、ＣＰＵ１１は、処理を終了する。
【００５２】
以上の構成の通信システムは、セキュリティコントローラ１０が記憶部１７に記憶した車輌固有ＩＤ１７ｂ又は乱数などに基づいて生成した仮ＩＤのいずれかを選択し、選択したＩＤを用いて路側通信装置３を介したサーバ装置５との通信を行う。サーバ装置５との通信に用いるＩＤをセキュリティコントローラ１０が必要に応じて使い分けることにより、車輌１を特定し得る情報の車外への送信を制限することができる。
【００５３】
またセキュリティコントローラ１０は、生成した仮ＩＤを用いた通信を終えた場合、この仮ＩＤを破棄する。その後にサーバ装置５との通信を行う必要が生じた場合、セキュリティコントローラ１０は新たな仮ＩＤを生成する。これにより、セキュリティコントローラ１０がサーバ装置５との通信を行う都度、異なる仮ＩＤが用いられることとなる。
【００５４】
またセキュリティコントローラ１０は、ＣＰＵ１１にて情報送信処理プログラムを実行することで、車載機器５０からの情報をサーバ装置５へ送信する。セキュリティコントローラ１０は、各情報送信プログラムに対するアクセス権限レベルを設定したアクセス権限レベルテーブル１７ｃを記憶部１７に記憶し、情報送信プログラムのアクセス権限レベルに応じて車輌固有ＩＤ１７ｂ又は仮ＩＤのいずれを用いて通信を行うかを判定する。例えばアクセス権限レベルが低い（レベル１又は２の）情報送信プログラムによるサーバ装置５との通信には仮ＩＤを用い、アクセス権限レベルが高い（レベル３の）情報送信プログラムによるサーバ装置５との通信には車輌固有ＩＤ１７ｂを用いる。これにより、例えば情報送信プログラムによる通信相手などに応じてアクセス権限レベルを適切に設定することで、セキュリティコントローラ１０は、いずれのＩＤを用いて通信を行うかを適切に判定することができる。
【００５５】
またセキュリティコントローラ１０は、情報送信プログラムのアクセス権限レベルに応じて、車外へ送信する情報を制限する。即ち、セキュリティコントローラ１０は、車内ネットワークにて扱われる情報のアクセス許可レベルをアクセス許可レベルテーブル１７ｄとして記憶部１７に記憶し、情報送信プログラムのアクセス権限レベルと、情報のアクセス許可レベルとに応じて、情報送信プログラムが車外へ送信する情報を制限する。これにより、車内の重要な情報が車外へ漏れることを防止できる。
【００５６】
なお本実施の形態においては、セキュリティコントローラ１０にゲートウェイ３０が接続され、ゲートウェイ３０に複数の車載機器５０が接続される構成としたが、この車内ネットワークの構成は一例であって、これに限るものではない。例えばセキュリティコントローラ１０がゲートウェイの機能を兼ね備える構成とし、セキュリティコントローラ１０に複数の車載機器５０を接続する構成としてもよい。また何れかの車載機器５０がセキュリティコントローラ１０の機能を兼ね備える構成としてもよい。また車輌１に複数のセキュリティコントローラ１０を搭載してもよい。
【００５７】
またセキュリティコントローラ１０が通信を行うサーバ装置５として、交通センター及び警察のものを例に説明を行ったが、これは一例であって、サーバ装置５はどのようなサービスに用いられるものであってもよい。またセキュリティコントローラ１０及びサーバ装置５が路側通信装置３を介して通信を行う構成としたが、これに限るものではなく、例えば公衆の無線ＬＡＮ（Local Area Network）又は携帯電話網等を介して通信を行う構成であってもよい。
【符号の説明】
【００５８】
１  車輌
３  路側通信装置
５  サーバ装置
１０  セキュリティコントローラ（車載中継装置）
１１  ＣＰＵ（通信処理手段、取得手段、生成手段、判定手段、破棄判定手段、処理部）
１２  ＲＡＭ
１３  位置情報取得部
１５  無線通信部（車外通信部）
１６  車内通信部
１７  記憶部
１７ａ  プログラム記憶部
１７ｂ  車輌固有ＩＤ（所定の識別情報）
１７ｃ  アクセス権限レベルテーブル（アクセス権限レベル記憶部）
１７ｄ  アクセス許可レベルテーブル
３０  ゲートウェイ
５０  車載機器
【図１】
2014195143.tif 000003
【図２】
2014195143.tif 000004
【図３】
2014195143.tif 000005
【図４】
2014195143.tif 000006
【図５】
2014195143.tif 000007
【図６】
2014195143.tif 000008