(57)【要約】【課題】遠隔機器に導入されたローカル・データ処理システム内で使用状況データを処理するためのシステムおよび方法を提供すること。【解決手段】このシステムは、遠隔機器から情報を受信し、その情報を処理して使用支払いを得るための中央サーバと、遠隔機器上に導入されたローカル・データ処理システムとを含み、ローカル・データ処理システムは、遠隔機器から使用状況データを収集するための監視システムと、使用状況データを管理するためのプロセッサと、プロセッサから中央サーバに情報を伝送するための通信システムと、セキュリティ・システムとを備え、セキュリティ・システムは、中央サーバに送信される情報を保護し、中央サーバで処理された情報を保護するための暗号化システムを含む。
2005510813.tif 000002
【特許請求の範囲】
【請求項１】
遠隔機器に導入されたローカル・データ処理システム内で使用状況データを処理するためのシステムであって、前記ローカル・データ処理システムが、
前記遠隔機器から使用状況データを収集するためのセンサと、
前記収集された使用状況データを処理し、前記収集された使用状況データに基づいて料金を計算するためのプロセッサとを含むシステム。
【請求項２】
前記計算された料金を無線伝送チャネルを介して中央サーバに送信するための通信システムをさらに含む、請求項１に記載のシステム。
【請求項３】
セキュリティ・システムをさらに含み、前記セキュリティ・システムが、前記ローカル・データ処理システムの少なくとも１つのコンポーネントを包み込む改ざん防止用包装を含む、請求項２に記載のシステム。
【請求項４】
セキュリティ・システムをさらに含み、前記セキュリティ・システムが、前記センサと前記プロセッサの間で送信される使用状況データを暗号化するための暗号化システムを含む、請求項１に記載のシステム。
【請求項５】
前記セキュリティ・システムがさらに、前記使用状況データを保護する、請求項４に記載のシステム。
【請求項６】
前記処理された使用状況データを受信し、使用支払いを保証するための中央サーバをさらに含み、前記使用支払いが、前記処理された使用状況データから決定される、請求項５に記載のシステム。
【請求項７】
前記セキュリティ・システムがさらに、前記通信システムと前記中央サーバの間で送信されるデータを暗号化するための第２の暗号化システムを含む、請求項６に記載のシステム。
【請求項８】
データを遠隔機器と中央サーバの間で安全に伝送する方法であって、
第１の機器でデータＤを生成するステップと、
前記データＤを第１の鍵Ｋを用いて暗号化してＫ（Ｄ）を生成するステップと、
Ｋ（Ｄ）を前記中央サーバの安全なパートナに送信するステップと、
前記安全なパートナ側でＫ（Ｄ）を復号化してＤを復元するステップと、
データＤを前記第１の機器と関連づけるタグＴをＤに付加し、ＤおよびＴを第２の鍵ｋを用いて暗号化してｋ（Ｄ，Ｔ）を生成するステップと、
ｋ（Ｄ，Ｔ）を前記中央サーバに送信するステップと、
前記中央サーバでｋ（Ｄ，Ｔ）を復号化してＤおよびＴを復元するステップと、
データＤを前記中央サーバで処理するステップとを含む方法。
【請求項９】
Ｄの前記処理に応答して応答Ａを生成するステップと、
ＡおよびＴを前期第２の鍵ｋを用いて暗号化してｋ（Ａ，Ｔ）を生成するステップと、
ｋ（Ａ，Ｔ）を前記安全なパートナに送信するステップと、
前記安全なパートナ側でｋ（Ａ，Ｔ）を復号化してＡおよびＴを復元するステップと、
Ａを第１の鍵Ｋを用いて暗号化してＫ（Ａ）を生成するステップと、
Ｋ（Ａ）を前記第１の機器に送信するステップと、
前記第１の機器側でＫ（Ａ）を復号化して応答Ａを復元するステップとを含む、請求項８に記載の方法。
【請求項１０】
遠隔機器で収集された使用状況データを管理するための方法であって、
使用状況データを収集するため前記遠隔機器にセンサを提供するステップと、
前記遠隔機器上に位置するプロセッサに前記使用状況データを伝送するステップと、
前記使用状況データに基づいて前記プロセッサ上で料金を計算するステップと、
前記料金を無線伝送チャネルを介してサーバに伝送するステップとを含む方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データ収集およびセキュリティ・システムに関し、より詳細には、遠隔地に位置する機器から使用状況データを安全に収集するためのシステムおよび方法に関する。
【背景技術】
【０００２】
自動車の操作に対する保険またはレンタル料を実際の使用状況に基づいて決定するための方法が確立されている。例えば、米国特許第５７９７１３４号「保険料を決定するための自動車監視システム（Motor Vehicle Monitoring System For Determing A Cost Of Insurance）」では、運転者の車から直接収集したデータに自動車保険料を基づかせるためのシステムが提供されている。このシステムは様々な運転特性（場所、スピード、シートベルトの着用など）を監視し、運転特性はその後、被保険者の保険料を計算する会社にアップロードされる。自動車のレンタル料を決定するための類似のシステムも提案された。その他の関連するシステムとして、レメルソン（Lemelson）に交付された米国特許第５５７００８７号「自動車運転監視および方法（MotorVehicle Performance Monitor and Method）」、レメルソンに交付された米国特許第５８０５０７９号「自動車運転監視および方法（MotorVehicle Performance Monitor and Method）」、マクミランら（McMillan et al.）に交付された米国特許第６０６４９７０号「保険料を決定するための自動車監視システム（MotorVehicle Monitoring System For Determing A Cost Of Insurance）」がある。
【０００３】
残念ながら、こうした情報を収集するための現在の方法は、供給されたデータのセキュリティまたはプライバシを保証しない。例えば、（被保険者が自分の車でいつどこへ旅行したかといった）保険会社が保険料率を計算するために収集したデータは、第三者に利用される場合がある。個人から収集したデータは非公開に保つという保険会社の約束にもかかわらず、個人保険加入者の私的なデータが、保険会社のコンピューティング・システムまたは伝送チャネルにアクセスできる誰かによってアクセスされる場合がある。そうしたデータは容易に危険にさらされ、権限がない者に使用される場合がある。そうしたデータを処理する会社が、例えば、電話で販売活動を行う業者などに情報を売ることによって、加入者のプライバシを漏洩させることもある。
【特許文献１】米国特許第５７９７１３４号
【特許文献２】米国特許第５５７００８７号
【特許文献３】米国特許第５８０５０７９号
【特許文献４】米国特許第６０６４９７０号
【特許文献５】米国特許第５１５９６２９号
【特許文献６】米国特許出願第０９／３９７５０３号
【特許文献７】米国特許出願第０９／２３３４８７号
【特許文献８】米国特許出願第０９／２２８２３１号
【非特許文献１】アルフレッド  Ｊ．メネゼス（Alfred J. Menezes）、ポール  Ｃ．ヴァン  オールショット（PaulC. van Oorschot）、スコット  Ａ．ヴァンストーン（Scott A. Vanstone）、応用暗号ハンドブック（Handbook ofapplied Cryptography）」、ＣＲＣプレス（CRC Press）、１９９７年
【発明の開示】
【発明が解決しようとする課題】
【０００４】
したがって、システム利用者に対してプライバシ、セキュリティ、および機密性を保証する、データ収集システムを提供することが必要とされている。
【０００５】
さらに、関連技術は、自動車の保険料率およびレンタル料の根拠となる使用状況情報の収集について教示しているが、関連技術は、レンタル料および保険料を決定するのに使用状況情報を利用できる、その他の機器向けの応用例については教示できていない。したがって、上述の課題に対処する必要がある。
【課題を解決するための手段】
【０００６】
本発明は、遠隔機器から収集された使用状況データを管理するためのシステムを提供することによって、上述およびその他の問題に対処する。第１の態様では、本発明は、遠隔機器上に導入されたローカル・データ処理システム内で使用状況データを処理するためのシステムを提供し、ローカル・データ処理システムは、遠隔機器から使用状況データを収集するためのセンサと、収集された使用状況データを処理し、収集された使用状況データに基づいて料金を計算するためのプロセッサとを含む。
【０００７】
第２の態様では、本発明は、遠隔機器上で収集された使用状況データを管理するためのシステムを提供し、遠隔機器から使用状況データを収集するための監視システムと、収集された使用状況データを処理するためのプロセッサと、処理済の使用状況データを伝送するための通信システムと、使用状況データを保護するためのセキュリティ・システムとを備えたローカル・データ処理システムを含む。
【０００８】
第３の態様では、本発明は、遠隔機器上で収集された使用状況情報を管理するためのシステムを提供し、遠隔機器から情報を受信するため、およびその情報を処理して使用支払いを得るための中央サーバと、遠隔機器上に導入されたローカル・データ処理システムとを含み、ローカル・データ処理システムは、遠隔機器から使用状況データを収集するための監視システムと、使用状況データを管理するためのプロセッサと、プロセッサから中央サーバに使用状況データを伝送するための通信システムと、セキュリティ・システムとを備え、セキュリティ・システムは、中央サーバに送信された情報を保護するため、および中央サーバで処理された情報を保護するための暗号化システムを含む。
【０００９】
第４の態様では、本発明は、遠隔機器と中央サーバの間で安全にデータを伝送する方法を提供し、第１の装置上でデータＤを生成するステップと、データＤを第１の鍵Ｋを用いて暗号化してＫ（Ｄ）を生成するステップと、Ｋ（Ｄ）を中央サーバの安全なパートナに送信するステップと、安全なパートナ側でＫ（Ｄ）を復号化してＤを復元するステップと、データＤを第１の装置に関連づけるタグＴをＤに追加し、ＤおよびＴを第２の鍵ｋを用いて暗号化してｋ（Ｄ，Ｔ）を生成するステップと、ｋ（Ｄ，Ｔ）を中央サーバに送信するステップと、中央サーバでｋ（Ｄ，Ｔ）を復号化してＤおよびＴを復元するステップと、中央サーバでデータＤを処理するステップとを含む。
【００１０】
第５の態様では、本発明は、遠隔機器上で収集された使用状況データを管理するための方法を提供し、遠隔機器上に使用状況データを収集するためのセンサを提供するステップと、使用状況データを遠隔機器上に位置するプロセッサに伝送するステップと、プロセッサ上で使用状況データに基づいて料金を計算するステップと、料金を無線伝送チャネルを介してサーバに伝送するステップとを含む。
【００１１】
本発明の上記およびその他の特徴は、本発明の様々な態様についての以下の詳細な説明を添付の図面と併せて読むことによってより容易に理解されよう。
【発明を実施するための最良の形態】
【００１２】
図面は略図に過ぎず、本発明の具体的な要素の図示を意図したものではない。図面は本発明の代表的な実施形態の図示を意図したに過ぎず、したがって、本発明の範囲を限定するものと見なすべきではない。図面中で同じ番号は同じ要素を表す。
【００１３】
Ｉ．概要
本発明は、車両または他の装置の使用状況を監視するため、「料金」（例えば、費用、料率、料金、手数料など）を計算するため、使用状況情報と車両／機器の操作に関する情報とを保存するため、および支払いを得るための安全なシステムを提供する。料金を計算した後、これを中央サーバに中継することができ、中央サーバではクレジットカード支払いシステムの利用によって支払いを保証することができる。料金は合計額を計算するために足し合わせることができ、あるいは時間または使用量の増加分に分割することができる。クレジットカード支払いシステムを利用して、増加使用量に対する少額の支払いを得ることができる。これによって、固定価格の保険料体系に対して、保険料の全額を変化または低下させることができる。手数料または料金の決定に加えて、リスクの決定に計算結果を利用することができる。例えば、あるドライバがスピード違反など好ましからぬ行動を頻繁に繰り返すことが分った場合、危険性の高い加入者のグループにそのドライバを割り振ることができる。レンタル機器の場合、システムは常軌を逸した使用を計測し、レンタル費用に適切な調整を施すことができる。
【００１４】
次に図１を参照すると、例示的な遠隔使用状況監視システムの全体的な概要が示されており、このシステムは、ローカル・データ処理システム１１を備えた遠隔機器１０、および中央サーバ１２を含む。ローカル・データ処理システム１１は、遠隔機器１０に組み込むことができる。遠隔機器１０は、車両、船、飛行機、道具、建設機械、家庭用具、医療機器、運動器具、暖房／空調システム、居住施設、機械的装置、電子的装置、工場、商業施設、被保険物などをはじめとする、あらゆる装置または物を含むことができるが、これらに限定されるものではない。ローカル・データ処理システム１１は、無線伝送チャネルを介して中央サーバ１２と通信可能である。本適用例では、「顧客」という語を、遠隔機器１０の操作者、所有者、ユーザ、被保険者、責任団体、加入者などの任意の１つと定義することができる。
【００１５】
ローカル・データ処理システム１１は、遠隔機器１０から使用状況データを収集するための監視システム１４を含む。監視システムは、機器の活動（例えば、スピード、場所、重さ、走行距離、加速、シートベルトの着用、ブレーキなど）を計測または分析する１つまたは複数のセンサを含むことができる。ローカル・データ処理システム１１はさらに、使用状況データを処理するための処理システム１６を含む。処理システム１６は、プロセッサと、使用状況データを分析し、料金を生成することができるソフトウェア・プログラムとを含むことができる。ローカル・データ処理システム１１はさらに、収集し、処理し、伝送するデータのプライバシ、セキュリティ、および機密性を保証するためのセキュリティ・システム１８を含むことができる。セキュリティ・システム１８については以下で詳細に説明する。ローカル・データ処理システム１１はその上さらに、料金、未加工の使用状況データ、またはデータ要求などの情報を中央サーバ１２に伝送するための通信システム２０を含むことができる。
【００１６】
中央サーバ１２は、通信システム２８と、復号化を行うため、および伝送情報のためのセキュリティを維持するためのセキュリティ・システム２２と、処理システム２４と、支払いを得るための請求システム２６とを含むことができる。中央サーバ１２は、機器の保険者または賃貸者である事業体、サービス・プロバイダ、またはサードパーティ（本明細書では集合的に「企業」と呼ぶ）が管理することができる。
【００１７】
安全に料金を決定するために、以下に示す２つの例示的なケースを利用することができる。第１のケースでは、料金は遠隔機器１０でローカルに計算される。こうすることで、機器がどこでどのように使用されたかといった使用状況データが機器の外に出ることは決してなく、したがって、使用状況データは確実に秘密に保たれる（すなわち、使用状況データを伝送中に傍受したり、企業が世間にまき散らしたりすることはできない）。このケースでは、ローカル・データ処理システム１１内の安全なローカル・コンピューティング・システム、例えば、ＩＢＭ  ４７５８  ＰＣＩ暗号コプロセッサ（以降、４７５８）で、データが獲得され、計算が実行され、計算の結果（料金または料金の変更）が保存される。計算の結果は、少なくとも一時的には、４７５８または他の記憶装置を用いて安全な方式で保存される。使用状況データ、計算、および計算結果は、４７５８内に保存されるおかげで保護される。データは顧客だけが利用できる鍵を用いて暗号化することができる。例えば、料金などの結果は、中央サーバ１２を介して企業に伝送され、顧客および企業をサードパーティから保護するため、企業には知られている鍵を用いた暗号化によって保護することができる。企業のコンピュータに保存するため、使用状況データを企業に送信することもできる。プライバシを保証するため、使用状況データは、顧客だけが知っている鍵を用いて暗号化される。
【００１８】
第２のケースでは、使用状況データの獲得または計算の一部またはすべてが、遠隔機器１０でローカルに行われず、それを、中央サーバ１２、またはサードパーティのコンピュータで実行することができる。顧客ロケーションのローカル・コンピュータでデータ要求または見積り要求あるいはその両方が遂行できない場合、顧客の匿名性が保護されるように、車両の保険契約に関する以下の例示的な方式で要求を処理することができる。
【００１９】
顧客の車両内の安全なローカル・コンピューティング・システム（ｎ）は、周知の標準的な保護プロトコル（例えば、ＳＳＬ、ＩＰＳｅｃ、ＳＳＨなど）を用いて、保険会社、その代理組織、または中間的なデータ収集企業に所属する受信システムまたは基地局（ｍ）への安全な認証された通信パスを確立する。認証および否認防止上の理由でデジタル署名され、機密性の目的で保険会社の公開鍵で暗号化された要求および関連データは、同様に安全で認証された通信リンクを介してｍから保険会社の要求処理システム（すなわち、中央サーバ１２）に転送される。中央サーバ１２は、バックオフィス・システムおよびデータベースを使用して、またはサードパーティの情報プロバイダをも利用して、要求を遂行することができる。さらに、要求処理システムとバックオフィス・システム／データベースの間のすべての通信も、周知のプロトコルによって保護することができる。デジタル署名された受信通知がすべての要求に対して返信され、すべての要求−応答トランザクションの監査ログにはタイムスタンプが押され、デジタル署名され、将来の参照（例えば、請求書作成、データ・マイニングなど）のために安全に保存される。
【００２０】
いずれの実施形態でも、料金を計算でき、または料金を中央サーバ１２に中継でき、あるいはその両方ができる。中央サーバでは、例えば、クレジットカード支払いシステムを利用して、料金が課される。料金は合計額を計算するために足し合わせることができ、あるいは時間または使用量の増加分に分割することができる。クレジットカード支払いシステムを利用して、増加使用量に対する少額の支払いを得ることができる。ある適用例では、クレジットカードを使用する顧客は、例えば、固定価格の保険料体系に対して、保険料の全額を変化または低下させることができる。手数料または料金の決定に加えて、リスクの決定に計算結果を利用することができる。例えば、あるドライバがスピード違反など好ましからぬ行動を頻繁に繰り返すことが分った場合、危険性の高い加入者のグループにそのドライバを割り振ることができる。
【００２１】
ＩＩ．セキュリティ・システム
例示的なセキュリティ・システムについて説明するために、保険料を決定するために車両から使用状況情報を収集するシステムを開示する。しかし、遠隔機器から使用状況情報を収集するどのようなシステムにも、本発明のセキュリティ・システムを適用できることは理解されよう。
【００２２】
Ａ．改ざんに対する保護
料金はエンドユーザの機器使用状況に基づいて計上されるので、収集データの改ざんに対する保護は重要である。改ざんに対する様々なタイプの保護を利用することができる。例えば、自動車の場合、（１）データの偽造データでの置換、データの一部消去、または偽造データの生成がユーザにとって非常に難しいか、（２）改ざん、または改ざんの試み、あるいはその両方が行われた証跡を残す装置を備えるかするシステムを含むことが好ましい。
【００２３】
こうした解決策を提供する様々な周知のシステムが存在する。例えば、ダブルら（Doubleet al.）に交付された米国特許第５１５９６２９号「電子組立品への侵入の防止によるデータ保護（DATA PROTECTION BY PROTECTIONOF INTRUSION INTO ELECTRONIC ASSEMBLIES）」は、電子装置への侵入を防止するためのシステムを提示している。追加の同時係属中の特許出願には、１９９９年９月１７日に出願された米国特許出願第０９／３９７５０３号「物に付ける複製および偽造防止用の識別マークおよび複製および偽造に強い物を生成するための方法および装置（METHODAND APPARATUS FOR PRODUCING DUPLICATION-AND IMITATION-RESISTANT IDENTIFYINGMARKS ON OBJECTS, AND DUPLICATION-AND IMITATION-RESISTANT OBJECTS）」、１９９９年１月２０日に出願された米国特許出願第０９／２３３４８７号「電子署名データを送信および保存するためのイベント・レコーダ（EVENT-RECORDERFOR TRANSMITTING AND STORING ELECTRONIC SIGNATURE DATA）」、１９９９年１月１１日に出願された米国特許出願第０９／２２８２３１号「物品の履歴面を安全に決定するための方法および装置（METHODAND APPARATUS FOR SECURELY DETERMINING ASPECTS OF THE HISTORY OF A GOOD）」があり、最後のものは欧州特許出願第１０２０８１３号として公開されている。
【００２４】
本発明のための具体的な解決策は、ローカル・データ処理システム１１の一部またはすべてのコンポーネントを、泡の不規則なパターン、または不規則な磁気を帯びた含有物、あるいはその両方の中に組み込まれた署名を含むエポキシ樹脂の層の中に包み込む。改ざんが行われていないことを保証するために、このような包み込まれた各コンポーネントの（泡の配置のための）光学および（不規則に配置された磁気を帯びた含有物のための）磁気読み取りを監視することができる。さらに、ローカル・データ処理システム１１内のコンポーネントのうちの無線伝送コンポーネントを使用する代りに、有線通信を使用することができる。車両に対する適用例では、車中のすべての電気的コンポーネントにサービス提供を行うバスを利用することができる。様々なコンポーネントを接続するバスは、以下で説明するような暗号化およびその他の安全制御が実施されているかぎり、それ自体を保護する必要はない（これを行うと、車の制御や運転におけるバスのその他の使用がより難しくなる場合がある）。
【００２５】
遠隔機器１０内のコンポーネント間のデータ・フローを保護するため、１対の秘密鍵／公開鍵を利用することができ、車を表す番号と共に泡データまたは磁気データあるいはその両方に秘密鍵を用いて署名をし、それを車に書き込むことができる。（上で説明したような）エポキシ樹脂を破壊して、特定のコンポーネントを改ざんした場合、または正式なコンポーネントを新しいコンポーネントで置き換えた場合、正しい署名を得ることができず、改ざんが明らかになる。この実施形態では、鍵の公開部分を使用し標準的な手順に従って、誰でもインストールが真正なものかどうか簡単にチェックすることができる。
【００２６】
偽造データに関連する問題を回避するため、コンポーネントは、古典的な暗号による保護を用いて互いに対話することができる。各コンポーネントの伝送ユニットに組み込まれたクロックが、例えば、車両の動きやその特性、または停止していることを記述するために、データが適切に交換されていることを保証することができる。暗号による保護のため、偽造データをコンポーネントに入力することはできない。料金および料率の計算がローカルに実行される場合、安全なハードウェアを使用することによって、計算を保護することができる。
【００２７】
図２および図３には、車両１００（図３参照）で使用するための、例示的な安全なデータ処理アプリケーション（図２参照）が示されている。このアプリケーションは、ＧＰＳ衛星１０１から時刻および位置データを取得できるＧＰＳ位置探査器１２０などの、使用状況データを収集するための様々なセンサと、スピードメータ１３０と、その他のセンサ１３５、１３６（例えば、走行距離計、加速度計、重量、シートベルト着用、ブレーキなど）を含む。各センサは、電子制御ユニット（ＥＣＵ）１２５、１４０、１４５と通信を行うことができる。各ＥＣＵは、カー・バス１０５を介してローカル組み込みコンピューティング・システム１５０と通信を行う。ローカル組み込みコンピューティング・システム１５０は、例えば、ソフトウェア・アプリケーションを実行するローカル・プロセッサ１６０やＩＢＭ  ４７５８コプロセッサ１５５を用いて、収集された使用状況データを処理する。処理されたデータは、通信システム１７０を介して中央サーバに送信される。料金を計算するための、またはそれとは別に使用状況データを処理するための任意のアルゴリズムを使用することができる。
【００２８】
この例示的な実施形態では、（破線によって示される）いくつかのコンポーネントは、改ざんに強い方式、例えば、エポキシ樹脂を用いてパッケージ化される。いくつかのコンポーネントだけを、例えば、クリティカルであると見なされるコンポーネントだけを、改ざんに強いものにすればよいことが理解されよう。
【００２９】
Ｂ．導入
車両およびその他の被保険またはレンタル機器はときどき所有者を変えることがあり、顧客は保険会社を変えることがあるので、セキュリティの導入および保守のためには、柔軟性のあるシステムを利用しなければならない。シナリオに応じて、セキュリティ・システムは様々な主体によって導入され、保守される。例えば、自動車製造業者、または販売後市場業者（例えば、レンタカー会社や保険会社）が、センサ・システムと、通信または計算あるいはその両方のための装置を導入することができる。
【００３０】
セキュリティ・システムを構成するセンサと装置は、適切な公開鍵／秘密鍵のペアと公開鍵証明書を用いて事前初期設定することができ、または自らが生成した必要な公開鍵／秘密鍵のペアを自ら初期化し、おそらく、自ら認証することができる。いずれの場合も、（１）欠陥装置の交換、および新しい／追加の装置のシステムへの組み込み（例えば、適切な公開鍵／秘密鍵のペアおよび証明書の発見、およびそれを用いた初期化）、（２）新しい所有者または監視機関へのシステムの移転（例えば、ユーザ／所有者が車両を売却する、または保険会社を変更する）、（３）実質的に同時に複数のプロバイダが存在する可能性（例えば、ユーザ／所有者がリアルタイムにその時点で最良のプロバイダおよび料率を決定する）、（４）例えば、ソフトウェアやデータベース・テーブルなどの安全な更新および構成のいくつかまたはすべてを可能とするには、公開鍵および認証局の階層を利用すべきである。
【００３１】
また、料金決定、またはデータ記憶または中央サーバ１２とのデータ通信の安全な管理、あるいはその両方で用いられる安全なコンピューティング・プラットフォームが、ソフトウェア／プログラム、または自動車製造業者、保険会社またはその代理機関、または顧客（例えば、プライバシ方針パラメータ）によって提供されるデータ（例えば、プライバシ方針規則、保険保護開始データなどの構成パラメータ）、あるいはその両方の安全な更新および実行を可能にするべきである。
【００３２】
自動車と保険会社が関与する１つのシナリオでは、自動車製造業者が、互いに接続されたセンサと通信装置を導入する。これらは自動車ｃ内の安全なプロセッサＳＰにも接続される。新しいＳＰは、他の世界と通信を行うのに、１つの複合鍵（composite key）Ｋ１だけしか使用できない。ｃが顧客Ｃ１に売却された場合、Ｃ１はＫ１を与えられ、Ｃ１はそれを使用して、新しい独自の鍵Ｋ２を定義する。これを行うために標準的なユーザフレンドリな技術を利用することができる。Ｃ１はその後、必要な数だけＫ１のコピーを作ることができる。Ｋ１を紛失した場合に備えて、Ｋ１のバックアップを保管するのに、サードパーティ企業を利用することができる。Ｃ１がｃを別の顧客Ｃ２に売却する場合、Ｋ２がＣ２に伝送され、Ｃ２はその後、それをＫ３に変更することができ、それ以降も同様である。
【００３３】
新しい顧客が自動車の所有権を得たときはいつでも、アクティブ鍵Ｋｎの一部を、使用状況を監視している企業（例えば、保険会社）に伝送することができる。鍵の伝送された部分は、企業にＳＰと通信を行うに十分な能力を提供するが、鍵を変更したり、ＳＰ内の安全なデータベースに応答を要求したりするには不十分である。顧客が企業を変更した場合、顧客は鍵Ｋｎも新しい鍵Ｋ（ｎ＋１）に変更すべきである。
【００３４】
第２のシナリオでは、使用状況データを収集する企業（例えば、保険会社）は、顧客の自動車に安全なセンサおよびプロセッサを導入することができる。この場合、各新しいＳＰは、他の世界と通信を行うのに、１つの鍵Ｋ１だけしか使用できない。
【００３５】
Ｃ．データ処理
収集された使用状況データに基づいて料率または料金を計算する方法には２つの主要なケースがある。第１の実施形態では、例えば、ＩＢＭ  ４７５８  ＰＣＩコプロセッサを含む安全なローカル組み込みコンピューティング・システム３２で、データが獲得され、計算が行われ、計算の結果（料金または料金の変更）が保存される。計算の結果は、少なくとも一時的には、例えば４７５８を用いて安全な方式で保存される。データ、計算、および計算結果は、改ざんに強い４７５８内に保存されるおかげで保護される。データは顧客だけが利用できる鍵を用いて暗号化することができる。結果、すなわち料金は、企業に伝送され、顧客および企業をサードパーティから保護するために、企業には知られている鍵を用いた暗号化によって保護することができる。企業のコンピュータに保存するため、データを企業に送信することもできる。プライバシを保証するため、このデータは、顧客だけが知っている鍵を用いて暗号化される。
【００３６】
第２のケースでは、データ処理の一部またはすべてが、ローカルには行われず、それを、企業またはサードパーティの遠隔コンピュータで実行することができる。このケースでは、顧客ロケーションの遠隔コンピュータでデータまたは見積りあるいはその両方の要求Ｒを直接遂行することができない。代りに、企業と遠隔コンピュータの間の安全なデータ・トランザクションを管理するために、以下で説明するデータ・ハンドリング・プロセスを利用することができる。
【００３７】
Ｄ．データ・ハンドリング
次に図４を参照すると、ローカル・コンピューティング・システムを有する顧客から使用状況データを収集するための安全なネットワークが示されている。最初、ｎと呼ばれる顧客のローカル・コンピュータ４０（どの顧客のローカル・コンピュータも顧客たちの共同出資）が、データ、見積り、ソフトウェア更新などのリクエストＲを事前に設定された一定の形式に従って準備する。上述の説明によれば、リクエストＲは、中央サーバに伝送する必要のある計算された料金または使用状況情報を含むことができる。乱数ジェネレータと企業ロケーションで通信を専門に処理する安全なコンピュータ４２についての連絡先のリスト（a list of contact information）とを用いて、ｎは、企業ロケーションでｍと呼ばれる安全なパートナを無作為に選択する。すべての通信は好ましくは、少なくとも受信が確認され、伝送の完全性がチェックされるまではメッセージが送信側のメモリに保存される、標準的な保証付きの送達機能を使用する。例えば、アルフレッド  Ｊ．メネゼス（AlfredJ. Menezes）、ポール  Ｃ．ヴァン  オールショット（Paul C. van Oorschot）、スコット  Ａ．ヴァンストーン（Scott A.Vanstone）、「応用暗号ハンドブック（Handbook of applied Cryptography）」、ＣＲＣプレス（CRC Press）、１９９７年に記載があるような標準的な安全な通信技法を用いて、ｍとｎは互いを正当な相手として認識し、（例えば、任意の周知のプロトコルを用いて）セッションのための通信鍵Ｋを設定する。
【００３８】
ローカル・コンピュータｎは次に、鍵Ｋを使用してＲを暗号化し、暗号Ｋ（Ｒ）を安全なパートナｍに送信する。その後、ＫのインバースＫ−１を用いて、ｍはＫ（Ｒ）からＫ−１（Ｋ（Ｒ））としてＲを復元する。次に、リクエストＲを処理機能に送信する前に、ｍはＲにある特定のタグＴを付加して、ｍがＲをｎに関連づけられるようにする。Ｔはｍによってログに記録できる任意の一意の乱数とすることができる。Ｔが選択されると、ｍ以外の他のマシンが読み取ることができる内部の安全なメモリ内でタグＴがｎに対応することを、ｍはログに記録する。次に安全なパートナは、安全なパートナと中央セキュア・ユニット４４（以降「中央ユニット」）の間の通信に利用される内部通信鍵ｋを用いて、（Ｒ，Ｔ）ペアをｋ（Ｒ，Ｔ）に暗号化する。
【００３９】
安全なパートナｍは、一定数Ｎの暗号化ペアをグループ化し、そのグループを中央ユニット４４に送信することができる。トラフィック追跡を防止するために、ペアをランダムに並べ替えることができる。中央ユニット４４は次に、ｋ−１（ｋ（Ｒ，Ｔ））を用いてｋ（Ｒ，Ｔ）から（Ｒ，Ｔ）を取り出す。中央ユニット４４は次に、内部の安全なメモリ内でタグＴが安全なパートナｍに対応することをログに記録する。中央ユニット４４はまた、安全なコンポーネントの外部と通信する際に使用する新しいタグを生成することもできる。中央ユニット４４は次に、暗号化されていない（Ｒ，Ｔ）ペアをメイン・コンピュータ／データベース基盤４６（以降「メイン基盤」）に送信する。メイン基盤４６は次に、Ｒを遂行し、または応答メッセージ、例えば「Ｒは完遂できず」を返すことができる。この場合、なぜリクエストが完遂できなかったのかを調査するよう、警報を発することができる。リクエストの完遂または応答メッセージは、返答またはＡと呼ばれる。
【００４０】
その後、メイン基盤４６は、ＭＱシリーズなどの保証付きの送達メッセージ通信を用いて（Ａ，Ｔ）ペアを中央ユニット４４に送信する。中央ユニット４４は次に、複数の（Ａ，Ｔ）ペアをグループ化し、トラフィック追跡を防止するためにそれらをランダムに並べ替える。中央ユニット４４は、ログを用いてＴからｍを認識し、ｋ（Ａ，Ｔ）を安全なパートナｍに送信する。次に安全なパートナｍは、ｋ−１を用いてｋ（Ａ，Ｔ）を復号化し、Ａが適切な形式に則っていることを保証し、中央ユニット４４に受信の確認応答を返すことができる。送達が適切に行われない場合、復旧機構を呼び出すことができる。例えば、一定時間経過後、適切な送信が行われない場合、中央ユニット４４は送達未確認応答を返し、警報を発することができる。ｍへの送達が適切に行われたことを確認した後、中央ユニット４４は（Ｔ，ｍ）ペアのログを削除する。ｍ側では、ｍがそのログを用いてタグＴからｎを認識する。次にｍは、Ｋ（Ａ）をｎに送信する。次にローカル・コンピュータｎが、Ｋ（Ａ）を復号化し、適切な形式を確認し、ｍに受信の確認応答を返す。ｍはその時点で、（Ｔ，ｎ）ペアのログを削除する。
【００４１】
さらに、事前設定された時間以内に返答を受信できない場合、ｎがｍにＲに対する返答を促すように、ネットワークを構成することができる。さらに、データを当局がアクセスできる形式で保存し、正式な捜査令状を必要とすることによって保護することもできる。
【００４２】
次に図５を参照すると、暗号化鍵を維持するためのソフトウェア・スタック５２を有する、例示的な安全なローカル・コンピューティング・システム５０が示されている。安全なローカル・コンピューティング・システム５０は、様々なアクセス制御を用いてパーティションに区分けすることができる。以下に説明する複合鍵を一緒になって形成できる複数の暗号化鍵が、特定のデータまたはプログラムへのアクセスを提供し、また安全なコンピュータのメイン制御にセキュリティも提供する。例えば、自動車の場合、自動車を売却することができ、または所有者は保険事業者の変更を望むことができ、あるいはその両方をすることができる。この場合、暗号化鍵を変更すべきである。任意の時点で、異なる目的をもった複数の今までの鍵から作られた複合鍵が存在すると考えるのが便利である。ある保険会社の保険が掛けられているある自動車について、複合鍵Ｋｎ（第ｎ番目の複合鍵）の可能な構造は以下のようになる。
Ｋｎ＝（Ｋ（ｎ，ｃ），Ｋ（ｎ，ｄ），Ｋ（ｎ，ｉ），Ｋ（ｎ，ｅ），Ｋ（ｎ，ｗ））
【００４３】
ただし、Ｋ（ｎ，ｃ）は、ＫｎをＫ（ｎ＋１）に変更するための機構を提供する。この場合、変更操作を行うのに自動車ディーラの鍵または保険業者の鍵の共同使用が必要とされる。
【００４４】
Ｋ（ｎ，ｄ）は、Ｋｎが有効な鍵である間に生成されたデータを（Ｋｎがもはや有効な鍵でなくなっても）読み取るための機構を提供し、または前の鍵で生成されたデータを全域的に削除するための機構を提供する。プロセッサはＫ（ｎ，ｄ）の逆数を処理する。好ましくは、これのインバースはユーザからはアクセスできず、またはデータはソフトウェアまたは配線あるいはその両方によって保証されるような自動車の操作によってのみ生成することができる。
【００４５】
Ｋ（ｎ，ｉ）は、選択された保険パートナが特定の価格（および任意選択で通信）プログラムを導入できるようにする。この場合、保険業者の鍵の共同使用が必要とされるか、または保険会社によって全域的に署名されたパッケージのみを導入することができ、そのようなパッケージは規制機関によっても署名される必要があることがある。Ｋ（ｎ，ｉ）は一般に、保険提供者によって提供される。
【００４６】
Ｋ（ｎ，ｅ）は、顧客に代ってデータを暗号化および復号化するための機構を提供する。これは任意選択とすることができ、データのバックアップを暗号化して、保険業者またはサードパーティのロケーションで保存するのに使用することができる。
【００４７】
Ｋ（ｎ，ｗ）は、安全な無線通信を可能にする。すべての処理は車載のローカル・コンピュータで行うことができるので、これは任意選択とすることができる。しかし、処理がローカルで行われるとしても、データをバックアップのため保険会社のロケーションで保存する場合は、これを使用することができる。バックアップ・データを、例えば、対称暗号システムの場合はＫ（ｎ，ｄ）を、さもなくばＫ（ｎ，ｅ）を用いて、暗号化することができる。Ｋ（ｎ，ｗ）は一般に、保険提供者によって提供される。
【００４８】
ＩＩＩ．異常な使用状況の遠隔監視
本発明の一実施形態は、遠隔機器の異常な（すなわち、標準外の）使用を監視し、費用を査定する。例えば、顧客が機器をレンタルした場合、または顧客の機器に保険が掛けられた場合、いつ機器が異常な仕方で使用されているかを知ることは、レンタル会社または保険会社にとって価値があるであろう。例えば、被保険者であるドライバが常習的に自分の車を乱暴に運転している場合、その運転スタイルを反映させて保険料率をより高くするべきである。同様に、高価な機械（例えば、ダンプトラック）を顧客にレンタルし、その顧客がダンプトラックに重量オーバの荷を積んだ場合、レンタル会社は追加の料金請求を望むであろう。そのような情報を収集することによって、企業はよりよく費用を管理でき、特定の機器を常識の枠内で操作する顧客に対してはレンタルおよび保険費用をより安く抑えることができる。
【００４９】
本明細書に記載のシステム、機能、機構、方法、およびモジュールを、ハードウェア、ソフトウェア、またはハードウェアとソフトウェアの組み合せで実施できることは理解されよう。これらは、任意のタイプのコンピュータ・システム、または本明細書に記載の方法を実行するように適合される他の機器によって実施することができる。ハードウェアとソフトウェアの典型的な組み合せは、コンピュータ・プログラムを用いる汎用コンピュータ・システムとすることができ、コンピュータ・プログラムは、ロードされて実行された際に、本明細書に記載の方法を実行するようコンピュータ・システムを制御する。あるいは、本発明の１つまたは複数の機能タスクを実行するために特殊化されたハードウェアを含む専用のコンピュータを使用することもできる。本発明をコンピュータ・プログラム製品に組み込むこともできる。プログラム製品は、本明細書に記載の方法および機能の実施を可能にするすべての機能を含み、コンピュータ・システムにロードされた際に、これらの方法および機能を実行することができる。コンピュータ・プログラム、ソフトウェア・プログラム、プログラム、プログラム製品、またはソフトウェアとは、本明細書の文脈においては、直接に、または（ａ）別の言語、コード、または表記への変換、（ｂ）異なる素材形式での再生のいずれかまたは両方の後に、特定の機能を実行させるための情報処理能力をシステムにもたせることを意図した、任意の言語、コード、または表記による、命令セットから成る任意の表現を意味する。
【図面の簡単な説明】
【００５０】
【図１】本発明の一実施形態による遠隔使用状況監視システムの図である。
【図２】車両データ処理システムの図である。
【図３】図２のデータ処理システムを備えた車両の図である。
【図４】安全な使用状況監視システムの図である。
【図５】ローカル・コンピューティング・システム用のソフトウェア・スタックの図である。
【図１】
2005510813.tif 000003
【図２】
2005510813.tif 000004
【図３】
2005510813.tif 000005
【図４】
2005510813.tif 000006
【図５】
2005510813.tif 000007
【手続補正書】
【提出日】平成15年9月17日(2003.9.17)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
遠隔機器（１０）と中央サーバ（１２）の間でデータを安全に伝送するためのシステムであって、前記遠隔機器は、データＤを生成し、前記データＤを第１の鍵Ｋを用いて暗号化してＫ（Ｄ）を生成し、
Ｋ（Ｄ）を受信する手段と、
Ｋ（Ｄ）を復号化してＤを復元する手段と、
データＤを前記遠隔機器と関連づけるタグＴをＤに付加し、ＤおよびＴを第２の鍵ｋを用いて暗号化してｋ（Ｄ，Ｔ）を生成する手段と、
ｋ（Ｄ，Ｔ）を前記中央サーバに送信する手段とを含む安全なパートナ（４２）と、
ｋ（Ｄ，Ｔ）を復号化してＤおよびＴを復元する手段と、
データＤを前記中央サーバで処理する手段とを含む中央サーバとを含むシステム。
【請求項２】
データＤの前記処理に応答して、応答Ａが前記遠隔機器（１０）に送信され、
前記中央サーバ（１２）がさらに、
Ｄの前記処理に応答して、応答Ａを生成する手段と、
ＡおよびＴを前記第２の鍵を用いて暗号化してｋ（Ａ，Ｔ）を生成する手段と、
ｋ（Ａ，Ｔ）を前記安全なパートナ（４２）に送信する手段とを含み、
前記安全なパートナがさらに、
前記安全なパートナ側でｋ（Ａ，Ｔ）を復号化してＡおよびＴを復元する手段と、
Ａを第１の鍵Ｋを用いて暗号化してＫ（Ａ）を生成する手段と、
Ｋ（Ａ）を前記遠隔機器に送信する手段と、
前記遠隔機器側でＫ（Ａ）を復号化して応答Ａを復元する手段とを含む、請求項１に記載のシステム。
【請求項３】
遠隔機器（１０）をさらに含み、前記遠隔機器が、
前記遠隔機器から使用状況データを収集するためのセンサ（１４、１２０、１３０、１３５、１３６）と、
前記収集された使用状況データを処理し、使用状況データに基づいて料金を計算するためのプロセッサ（１５０）とを含む、請求項１または２に記載のシステム。
【請求項４】
前記計算された料金を無線伝送チャネルを介して前記中央サーバ（１２）に送信するための通信システム（２０、１７０）をさらに含む、請求項１または請求項２に記載のシステム。
【請求項５】
セキュリティ・システム（１８）をさらに含み、前記セキュリティ・システムが、前記遠隔機器（１０）の少なくとも１つのコンポーネントを包み込む改ざん防止用包装を含む、請求項４に記載のシステム。
【請求項６】
セキュリティ・システムをさらに含み、前記セキュリティ・システムが、前記センサと前記遠隔機器（１０）の間で送信される使用状況データを暗号化するための暗号化システムを含む、請求項１に記載のシステム。
【請求項７】
前記セキュリティ・システム（１８）がさらに、前記使用状況データを保護する、請求項６に記載のシステム。
【請求項８】
前記処理された使用状況データを受信し、使用支払いを保証するための中央サーバ（１２）をさらに含み、前記使用支払いが、前記処理された使用状況データから決定される、請求項７に記載のシステム。
【請求項９】
前記セキュリティ・システム（１８）がさらに、前記通信システム（２０）と前記中央サーバ（１２）の間で送信されるデータを暗号化するための第２の暗号化システムを含む、請求項８に記載のシステム。
【請求項１０】
データを遠隔機器と中央サーバの間で安全に伝送する方法であって、
第１の機器でデータＤを生成するステップと、
前記データＤを第１の鍵Ｋを用いて暗号化してＫ（Ｄ）を生成するステップと、
Ｋ（Ｄ）を前記中央サーバの安全なパートナに送信するステップと、
前記安全なパートナ側でＫ（Ｄ）を復号化してＤを復元するステップと、
データＤを前記第１の機器と関連づけるタグＴをＤに付加し、ＤおよびＴを第２の鍵ｋを用いて暗号化してｋ（Ｄ，Ｔ）を生成するステップと、
ｋ（Ｄ，Ｔ）を前記中央サーバに送信するステップと、
前記中央サーバでｋ（Ｄ，Ｔ）を復号化してＤおよびＴを復元するステップと、
データＤを前記中央サーバで処理するステップとを含む方法。
【請求項１１】
Ｄの前記処理に応答して応答Ａを生成するステップと、
ＡおよびＴを前期第２の鍵ｋを用いて暗号化してｋ（Ａ，Ｔ）を生成するステップと、
ｋ（Ａ，Ｔ）を前記安全なパートナに送信するステップと、
前記安全なパートナ側でｋ（Ａ，Ｔ）を復号化してＡおよびＴを復元するステップと、
Ａを第１の鍵Ｋを用いて暗号化してＫ（Ａ）を生成するステップと、
Ｋ（Ａ）を前記第１の機器に送信するステップと、
前記第１の機器側でＫ（Ａ）を復号化して応答Ａを復元するステップとを含む、請求項１０に記載の方法。
【請求項１２】
前記遠隔機器から使用状況データを収集するステップと、
前記収集された使用状況データを処理し、前記収集された使用状況データに基づいて料金を計算するステップとを含む、請求項１０または１１に記載の方法。
【請求項１３】
前記計算された料金を無線伝送チャネルを介して中央サーバに送信するステップを含む、請求項１０または１１に記載の方法。
【請求項１４】
前記中央サーバが、前記処理された使用状況データを受信し、使用支払いを保証し、前記使用支払いが、前記処理された使用状況データから決定される、請求項１３に記載の方法。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データ収集およびセキュリティ・システムに関し、より詳細には、遠隔地に位置する機器から使用状況データを安全に収集するためのシステムおよび方法に関する。
【背景技術】
【０００２】
自動車の操作に対する保険またはレンタル料を実際の使用状況に基づいて決定するための方法が確立されている。例えば、米国特許第５７９７１３４号「保険料を決定するための自動車監視システム（Motor Vehicle Monitoring System For Determing A Cost Of Insurance）」では、運転者の車から直接収集したデータに自動車保険料を基づかせるためのシステムが提供されている。このシステムは様々な運転特性（場所、スピード、シートベルトの着用など）を監視し、運転特性はその後、被保険者の保険料を計算する会社にアップロードされる。自動車のレンタル料を決定するための類似のシステムも提案された。その他の関連するシステムとして、レメルソン（Lemelson）に交付された米国特許第５５７００８７号「自動車運転監視および方法（Motor
Vehicle Performance Monitor and Method）」、レメルソンに交付された米国特許第５８０５０７９号「自動車運転監視および方法（Motor
Vehicle Performance Monitor and Method）」、マクミランら（McMillan et al.）に交付された米国特許第６０６４９７０号「保険料を決定するための自動車監視システム（Motor
Vehicle Monitoring System For Determing A Cost Of Insurance）」がある。
【０００３】
独国特許出願公開第４４  ０２  ６１３号には、交通ルートまたは交通エリアあるいはその両方に対する通行料金を決定するための方法およびシステムが開示されている。通行料金は、ＧＰＳ受信機または類似機器からの位置データに基づいて車内で計算される。通行料金が累積して所定の額に達するまで、データを車内に保持することができる。
【０００４】
国際公開第０１／５２１３６号には、運転距離および時間に基づいた前払い型の車両保険を処理する方法およびシステムが開示されている。このシステムは、車両の運転距離または運転時間あるいはその両方を決定するセンサを含む。料金は、センサから取得した使用状況データに基づいて計算される。
【０００５】
残念ながら、こうした情報を収集するための現在の方法は、供給されたデータのセキュリティまたはプライバシを保証しない。例えば、（被保険者が自分の車でいつどこへ旅行したかといった）保険会社が保険料率を計算するために収集したデータは、第三者に利用される場合がある。個人から収集したデータは非公開に保つという保険会社の約束にもかかわらず、個人保険加入者の私的なデータが、保険会社のコンピューティング・システムまたは伝送チャネルにアクセスできる誰かによってアクセスされる場合がある。そうしたデータは容易に危険にさらされ、権限がない者に使用される場合がある。そうしたデータを処理する会社が、例えば、電話で販売活動を行う業者などに情報を売ることによって、加入者のプライバシを漏洩させることもある。
【特許文献１】米国特許第５７９７１３４号
【特許文献２】米国特許第５５７００８７号
【特許文献３】米国特許第５８０５０７９号
【特許文献４】米国特許第６０６４９７０号
【特許文献５】独国特許出願公開第４４  ０２  ６１３号
【特許文献６】国際公開第０１／５２１３６号
【特許文献７】米国特許第５１５９６２９号
【特許文献８】米国特許出願第０９／３９７５０３号
【特許文献９】米国特許出願第０９／２３３４８７号
【特許文献１０】米国特許出願第０９／２２８２３１号
【非特許文献１】アルフレッド  Ｊ．メネゼス（Alfred J. Menezes）、ポール  Ｃ．ヴァン  オールショット（PaulC. van Oorschot）、スコット  Ａ．ヴァンストーン（Scott A. Vanstone）、応用暗号ハンドブック（Handbook ofapplied Cryptography）」、ＣＲＣプレス（CRC Press）、１９９７年
【発明の開示】
【発明が解決しようとする課題】
【０００６】
したがって、システム利用者に対してプライバシ、セキュリティ、および機密性を保証する、データ収集システムを提供することが必要とされている。
【０００７】
さらに、関連技術は、自動車の保険料率およびレンタル料の根拠となる使用状況情報の収集について教示しているが、関連技術は、レンタル料および保険料を決定するのに使用状況情報を利用できる、その他の機器向けの応用例については教示できていない。したがって、上述の課題に対処する必要がある。
【課題を解決するための手段】
【０００８】
本発明は、データを遠隔機器と中央サーバの間で安全に伝送するためのシステムを提供することによって、上述の問題およびその他の問題に対処する。遠隔機器は、データＤを生成し、データＤを第１の鍵Ｋを用いて暗号化してＫ（Ｄ）を生成し、前記システムは、Ｋ（Ｄ）を受信する手段と、Ｋ（Ｄ）を復号化してＤを復元する手段と、データＤを遠隔機器に関連づけるタグＴをＤに追加し、ＤおよびＴを第２の鍵ｋを用いて暗号化してｋ（Ｄ，Ｔ）を生成する手段と、ｋ（Ｄ，Ｔ）を中央サーバに送信する手段とを含む安全なパートナ（４２）と、ｋ（Ｄ，Ｔ）を復号化してＤおよびＴを復元する手段と、中央サーバでデータＤを処理する手段とを含む中央サーバとを含む。
【０００９】
本発明はまた、遠隔装置と中央サーバの間で安全にデータを伝送する方法を提供し、第１の装置上でデータＤを生成するステップと、データＤを第１の鍵Ｋを用いて暗号化してＫ（Ｄ）を生成するステップと、Ｋ（Ｄ）を中央サーバの安全なパートナに送信するステップと、安全なパートナ側でＫ（Ｄ）を復号化してＤを復元するステップと、データＤを第１の装置に関連づけるタグＴをＤに追加し、ＤおよびＴを第２の鍵ｋを用いて暗号化してｋ（Ｄ，Ｔ）を生成するステップと、ｋ（Ｄ，Ｔ）を中央サーバに送信するステップと、中央サーバでｋ（Ｄ，Ｔ）を復号化してＤおよびＴを復元するステップと、中央サーバでデータＤを処理するステップとを含む。
【００１０】
本発明の上記およびその他の特徴は、本発明の様々な態様についての以下の詳細な説明を添付の図面と併せて読むことによってより容易に理解されよう。
【発明を実施するための最良の形態】
【００１１】
図面は略図に過ぎず、本発明の具体的な要素の図示を意図したものではない。図面は本発明の代表的な実施形態の図示を意図したに過ぎず、したがって、本発明の範囲を限定するものと見なすべきではない。図面中で同じ番号は同じ要素を表す。
【００１２】
Ｉ．概要
本発明は、車両または他の装置の使用状況を監視するため、「料金」（例えば、費用、料率、料金、手数料など）を計算するため、使用状況情報と車両／機器の操作に関する情報とを保存するため、および支払いを得るための安全なシステムを提供する。料金を計算した後、これを中央サーバに中継することができ、中央サーバではクレジットカード支払いシステムの利用によって支払いを保証することができる。料金は合計額を計算するために足し合わせることができ、あるいは時間または使用量の増加分に分割することができる。クレジットカード支払いシステムを利用して、増加使用量に対する少額の支払いを得ることができる。これによって、固定価格の保険料体系に対して、保険料の全額を変化または低下させることができる。手数料または料金の決定に加えて、リスクの決定に計算結果を利用することができる。例えば、あるドライバがスピード違反など好ましからぬ行動を頻繁に繰り返すことが分った場合、危険性の高い加入者のグループにそのドライバを割り振ることができる。レンタル機器の場合、システムは常軌を逸した使用を計測し、レンタル費用に適切な調整を施すことができる。
【００１３】
次に図１を参照すると、例示的な遠隔使用状況監視システムの全体的な概要が示されており、このシステムは、ローカル・データ処理システム１１を備えた遠隔機器１０、および中央サーバ１２を含む。ローカル・データ処理システム１１は、遠隔機器１０に組み込むことができる。遠隔機器１０は、車両、船、飛行機、道具、建設機械、家庭用具、医療機器、運動器具、暖房／空調システム、居住施設、機械的装置、電子的装置、工場、商業施設、被保険物などをはじめとする、あらゆる装置または物を含むことができるが、これらに限定されるものではない。ローカル・データ処理システム１１は、無線伝送チャネルを介して中央サーバ１２と通信可能である。本適用例では、「顧客」という語を、遠隔機器１０の操作者、所有者、ユーザ、被保険者、責任団体、加入者などの任意の１つと定義することができる。
【００１４】
ローカル・データ処理システム１１は、遠隔機器１０から使用状況データを収集するための監視システム１４を含む。監視システムは、機器の活動（例えば、スピード、場所、重さ、走行距離、加速、シートベルトの着用、ブレーキなど）を計測または分析する１つまたは複数のセンサを含むことができる。ローカル・データ処理システム１１はさらに、使用状況データを処理するための処理システム１６を含む。処理システム１６は、プロセッサと、使用状況データを分析し、料金を生成することができるソフトウェア・プログラムとを含むことができる。ローカル・データ処理システム１１はさらに、収集し、処理し、伝送するデータのプライバシ、セキュリティ、および機密性を保証するためのセキュリティ・システム１８を含むことができる。セキュリティ・システム１８については以下で詳細に説明する。ローカル・データ処理システム１１はその上さらに、料金、未加工の使用状況データ、またはデータ要求などの情報を中央サーバ１２に伝送するための通信システム２０を含むことができる。
【００１５】
中央サーバ１２は、通信システム２８と、復号化を行うため、および伝送情報のためのセキュリティを維持するためのセキュリティ・システム２２と、処理システム２４と、支払いを得るための請求システム２６とを含むことができる。中央サーバ１２は、機器の保険者または賃貸者である事業体、サービス・プロバイダ、またはサードパーティ（本明細書では集合的に「企業」と呼ぶ）が管理することができる。
【００１６】
安全に料金を決定するために、以下に示す２つの例示的なケースを利用することができる。第１のケースでは、料金は遠隔機器１０でローカルに計算される。こうすることで、機器がどこでどのように使用されたかといった使用状況データが機器の外に出ることは決してなく、したがって、使用状況データは確実に秘密に保たれる（すなわち、使用状況データを伝送中に傍受したり、企業が世間にまき散らしたりすることはできない）。このケースでは、ローカル・データ処理システム１１内の安全なローカル・コンピューティング・システム、例えば、ＩＢＭ  ４７５８  ＰＣＩ暗号コプロセッサ（以降、４７５８）で、データが獲得され、計算が実行され、計算の結果（料金または料金の変更）が保存される。計算の結果は、少なくとも一時的には、４７５８または他の記憶装置を用いて安全な方式で保存される。使用状況データ、計算、および計算結果は、４７５８内に保存されるおかげで保護される。データは顧客だけが利用できる鍵を用いて暗号化することができる。例えば、料金などの結果は、中央サーバ１２を介して企業に伝送され、顧客および企業をサードパーティから保護するため、企業には知られている鍵を用いた暗号化によって保護することができる。企業のコンピュータに保存するため、使用状況データを企業に送信することもできる。プライバシを保証するため、使用状況データは、顧客だけが知っている鍵を用いて暗号化される。
【００１７】
第２のケースでは、使用状況データの獲得または計算の一部またはすべてが、遠隔機器１０でローカルに行われず、それを、中央サーバ１２、またはサードパーティのコンピュータで実行することができる。顧客ロケーションのローカル・コンピュータでデータ要求または見積り要求あるいはその両方が遂行できない場合、顧客の匿名性が保護されるように、車両の保険契約に関する以下の例示的な方式で要求を処理することができる。
【００１８】
顧客の車両内の安全なローカル・コンピューティング・システム（ｎ）は、周知の標準的な保護プロトコル（例えば、ＳＳＬ、ＩＰＳｅｃ、ＳＳＨなど）を用いて、保険会社、その代理組織、または中間的なデータ収集企業に所属する受信システムまたは基地局（ｍ）への安全な認証された通信パスを確立する。認証および否認防止上の理由でデジタル署名され、機密性の目的で保険会社の公開鍵で暗号化された要求および関連データは、同様に安全で認証された通信リンクを介してｍから保険会社の要求処理システム（すなわち、中央サーバ１２）に転送される。中央サーバ１２は、バックオフィス・システムおよびデータベースを使用して、またはサードパーティの情報プロバイダをも利用して、要求を遂行することができる。さらに、要求処理システムとバックオフィス・システム／データベースの間のすべての通信も、周知のプロトコルによって保護することができる。デジタル署名された受信通知がすべての要求に対して返信され、すべての要求−応答トランザクションの監査ログにはタイムスタンプが押され、デジタル署名され、将来の参照（例えば、請求書作成、データ・マイニングなど）のために安全に保存される。
【００１９】
いずれの実施形態でも、料金を計算でき、または料金を中央サーバ１２に中継でき、あるいはその両方ができる。中央サーバでは、例えば、クレジットカード支払いシステムを利用して、料金が課される。料金は合計額を計算するために足し合わせることができ、あるいは時間または使用量の増加分に分割することができる。クレジットカード支払いシステムを利用して、増加使用量に対する少額の支払いを得ることができる。ある適用例では、クレジットカードを使用する顧客は、例えば、固定価格の保険料体系に対して、保険料の全額を変化または低下させることができる。手数料または料金の決定に加えて、リスクの決定に計算結果を利用することができる。例えば、あるドライバがスピード違反など好ましからぬ行動を頻繁に繰り返すことが分った場合、危険性の高い加入者のグループにそのドライバを割り振ることができる。
【００２０】
ＩＩ．セキュリティ・システム
例示的なセキュリティ・システムについて説明するために、保険料を決定するために車両から使用状況情報を収集するシステムを開示する。しかし、遠隔機器から使用状況情報を収集するどのようなシステムにも、本発明のセキュリティ・システムを適用できることは理解されよう。
【００２１】
Ａ．改ざんに対する保護
料金はエンドユーザの機器使用状況に基づいて計上されるので、収集データの改ざんに対する保護は重要である。改ざんに対する様々なタイプの保護を利用することができる。例えば、自動車の場合、（１）データの偽造データでの置換、データの一部消去、または偽造データの生成がユーザにとって非常に難しいか、（２）改ざん、または改ざんの試み、あるいはその両方が行われた証跡を残す装置を備えるかするシステムを含むことが好ましい。
【００２２】
こうした解決策を提供する様々な周知のシステムが存在する。例えば、ダブルら（Double
et al.）に交付された米国特許第５１５９６２９号「電子組立品への侵入の防止によるデータ保護（DATA PROTECTION BY PROTECTION
OF INTRUSION INTO ELECTRONIC ASSEMBLIES）」は、電子装置への侵入を防止するためのシステムを提示している。追加の同時係属中の特許出願には、１９９９年９月１７日に出願された米国特許出願第０９／３９７５０３号「物に付ける複製および偽造防止用の識別マークおよび複製および偽造に強い物を生成するための方法および装置（METHOD
AND APPARATUS FOR PRODUCING DUPLICATION-AND IMITATION-RESISTANT IDENTIFYING
MARKS ON OBJECTS, AND DUPLICATION-AND IMITATION-RESISTANT OBJECTS）」、１９９９年１月２０日に出願された米国特許出願第０９／２３３４８７号「電子署名データを送信および保存するためのイベント・レコーダ（EVENT-RECORDER
FOR TRANSMITTING AND STORING ELECTRONIC SIGNATURE DATA）」、１９９９年１月１１日に出願された米国特許出願第０９／２２８２３１号「物品の履歴面を安全に決定するための方法および装置（METHOD
AND APPARATUS FOR SECURELY DETERMINING ASPECTS OF THE HISTORY OF A GOOD）」があり、最後のものは欧州特許出願第１０２０８１３号として公開されている。
【００２３】
本発明のための具体的な解決策は、ローカル・データ処理システム１１の一部またはすべてのコンポーネントを、泡の不規則なパターン、または不規則な磁気を帯びた含有物、あるいはその両方の中に組み込まれた署名を含むエポキシ樹脂の層の中に包み込む。改ざんが行われていないことを保証するために、このような包み込まれた各コンポーネントの（泡の配置のための）光学および（不規則に配置された磁気を帯びた含有物のための）磁気読み取りを監視することができる。さらに、ローカル・データ処理システム１１内のコンポーネントのうちの無線伝送コンポーネントを使用する代りに、有線通信を使用することができる。車両に対する適用例では、車中のすべての電気的コンポーネントにサービス提供を行うバスを利用することができる。様々なコンポーネントを接続するバスは、以下で説明するような暗号化およびその他の安全制御が実施されているかぎり、それ自体を保護する必要はない（これを行うと、車の制御や運転におけるバスのその他の使用がより難しくなる場合がある）。
【００２４】
遠隔機器１０内のコンポーネント間のデータ・フローを保護するため、１対の秘密鍵／公開鍵を利用することができ、車を表す番号と共に泡データまたは磁気データあるいはその両方に秘密鍵を用いて署名をし、それを車に書き込むことができる。（上で説明したような）エポキシ樹脂を破壊して、特定のコンポーネントを改ざんした場合、または正式なコンポーネントを新しいコンポーネントで置き換えた場合、正しい署名を得ることができず、改ざんが明らかになる。この実施形態では、鍵の公開部分を使用し標準的な手順に従って、誰でもインストールが真正なものかどうか簡単にチェックすることができる。
【００２５】
偽造データに関連する問題を回避するため、コンポーネントは、古典的な暗号による保護を用いて互いに対話することができる。各コンポーネントの伝送ユニットに組み込まれたクロックが、例えば、車両の動きやその特性、または停止していることを記述するために、データが適切に交換されていることを保証することができる。暗号による保護のため、偽造データをコンポーネントに入力することはできない。料金および料率の計算がローカルに実行される場合、安全なハードウェアを使用することによって、計算を保護することができる。
【００２６】
図２および図３には、車両１００（図３参照）で使用するための、例示的な安全なデータ処理アプリケーション（図２参照）が示されている。このアプリケーションは、ＧＰＳ衛星１０１から時刻および位置データを取得できるＧＰＳ位置探査器１２０などの、使用状況データを収集するための様々なセンサと、スピードメータ１３０と、その他のセンサ１３５、１３６（例えば、走行距離計、加速度計、重量、シートベルト着用、ブレーキなど）を含む。各センサは、電子制御ユニット（ＥＣＵ）１２５、１４０、１４５と通信を行うことができる。各ＥＣＵは、カー・バス１０５を介してローカル組み込みコンピューティング・システム１５０と通信を行う。ローカル組み込みコンピューティング・システム１５０は、例えば、ソフトウェア・アプリケーションを実行するローカル・プロセッサ１６０やＩＢＭ  ４７５８コプロセッサ１５５を用いて、収集された使用状況データを処理する。処理されたデータは、通信システム１７０を介して中央サーバに送信される。料金を計算するための、またはそれとは別に使用状況データを処理するための任意のアルゴリズムを使用することができる。
【００２７】
この例示的な実施形態では、（破線によって示される）いくつかのコンポーネントは、改ざんに強い方式、例えば、エポキシ樹脂を用いてパッケージ化される。いくつかのコンポーネントだけを、例えば、クリティカルであると見なされるコンポーネントだけを、改ざんに強いものにすればよいことが理解されよう。
【００２８】
Ｂ．導入
車両およびその他の被保険またはレンタル機器はときどき所有者を変えることがあり、顧客は保険会社を変えることがあるので、セキュリティの導入および保守のためには、柔軟性のあるシステムを利用しなければならない。シナリオに応じて、セキュリティ・システムは様々な主体によって導入され、保守される。例えば、自動車製造業者、または販売後市場業者（例えば、レンタカー会社や保険会社）が、センサ・システムと、通信または計算あるいはその両方のための装置を導入することができる。
【００２９】
セキュリティ・システムを構成するセンサと装置は、適切な公開鍵／秘密鍵のペアと公開鍵証明書を用いて事前初期設定することができ、または自らが生成した必要な公開鍵／秘密鍵のペアを自ら初期化し、おそらく、自ら認証することができる。いずれの場合も、（１）欠陥装置の交換、および新しい／追加の装置のシステムへの組み込み（例えば、適切な公開鍵／秘密鍵のペアおよび証明書の発見、およびそれを用いた初期化）、（２）新しい所有者または監視機関へのシステムの移転（例えば、ユーザ／所有者が車両を売却する、または保険会社を変更する）、（３）実質的に同時に複数のプロバイダが存在する可能性（例えば、ユーザ／所有者がリアルタイムにその時点で最良のプロバイダおよび料率を決定する）、（４）例えば、ソフトウェアやデータベース・テーブルなどの安全な更新および構成のいくつかまたはすべてを可能とするには、公開鍵および認証局の階層を利用すべきである。
【００３０】
また、料金決定、またはデータ記憶または中央サーバ１２とのデータ通信の安全な管理、あるいはその両方で用いられる安全なコンピューティング・プラットフォームが、ソフトウェア／プログラム、または自動車製造業者、保険会社またはその代理機関、または顧客（例えば、プライバシ方針パラメータ）によって提供されるデータ（例えば、プライバシ方針規則、保険保護開始データなどの構成パラメータ）、あるいはその両方の安全な更新および実行を可能にするべきである。
【００３１】
自動車と保険会社が関与する１つのシナリオでは、自動車製造業者が、互いに接続されたセンサと通信装置を導入する。これらは自動車ｃ内の安全なプロセッサＳＰにも接続される。新しいＳＰは、他の世界と通信を行うのに、１つの複合鍵（composite key）Ｋ１だけしか使用できない。ｃが顧客Ｃ１に売却された場合、Ｃ１はＫ１を与えられ、Ｃ１はそれを使用して、新しい独自の鍵Ｋ２を定義する。これを行うために標準的なユーザフレンドリな技術を利用することができる。Ｃ１はその後、必要な数だけＫ１のコピーを作ることができる。Ｋ１を紛失した場合に備えて、Ｋ１のバックアップを保管するのに、サードパーティ企業を利用することができる。Ｃ１がｃを別の顧客Ｃ２に売却する場合、Ｋ２がＣ２に伝送され、Ｃ２はその後、それをＫ３に変更することができ、それ以降も同様である。
【００３２】
新しい顧客が自動車の所有権を得たときはいつでも、アクティブ鍵Ｋｎの一部を、使用状況を監視している企業（例えば、保険会社）に伝送することができる。鍵の伝送された部分は、企業にＳＰと通信を行うに十分な能力を提供するが、鍵を変更したり、ＳＰ内の安全なデータベースに応答を要求したりするには不十分である。顧客が企業を変更した場合、顧客は鍵Ｋｎも新しい鍵Ｋ（ｎ＋１）に変更すべきである。
【００３３】
第２のシナリオでは、使用状況データを収集する企業（例えば、保険会社）は、顧客の自動車に安全なセンサおよびプロセッサを導入することができる。この場合、各新しいＳＰは、他の世界と通信を行うのに、１つの鍵Ｋ１だけしか使用できない。
【００３４】
Ｃ．データ処理
収集された使用状況データに基づいて料率または料金を計算する方法には２つの主要なケースがある。第１の実施形態では、例えば、ＩＢＭ  ４７５８  ＰＣＩコプロセッサを含む安全なローカル組み込みコンピューティング・システム３２で、データが獲得され、計算が行われ、計算の結果（料金または料金の変更）が保存される。計算の結果は、少なくとも一時的には、例えば４７５８を用いて安全な方式で保存される。データ、計算、および計算結果は、改ざんに強い４７５８内に保存されるおかげで保護される。データは顧客だけが利用できる鍵を用いて暗号化することができる。結果、すなわち料金は、企業に伝送され、顧客および企業をサードパーティから保護するために、企業には知られている鍵を用いた暗号化によって保護することができる。企業のコンピュータに保存するため、データを企業に送信することもできる。プライバシを保証するため、このデータは、顧客だけが知っている鍵を用いて暗号化される。
【００３５】
第２のケースでは、データ処理の一部またはすべてが、ローカルには行われず、それを、企業またはサードパーティの遠隔コンピュータで実行することができる。このケースでは、顧客ロケーションのリモート・コンピュータでデータまたは見積りあるいはその両方の要求Ｒを直接遂行することができない。代りに、企業とリモート・コンピュータの間の安全なデータ・トランザクションを管理するために、以下で説明するデータ・ハンドリング・プロセスを利用することができる。
【００３６】
Ｄ．データ・ハンドリング
次に図４を参照すると、ローカル・コンピューティング・システムを有する顧客から使用状況データを収集するための安全なネットワークが示されている。最初、ｎと呼ばれる顧客のローカル・コンピュータ４０（どの顧客のローカル・コンピュータも顧客たちの共同出資）が、データ、見積り、ソフトウェア更新などのリクエストＲを事前に設定された一定の形式に従って準備する。上述の説明によれば、リクエストＲは、中央サーバに伝送する必要のある計算された料金または使用状況情報を含むことができる。乱数ジェネレータと企業ロケーションで通信を専門に処理する安全なコンピュータ４２についての連絡先のリスト（a list of contact information）とを用いて、ｎは、企業ロケーションでｍと呼ばれる安全なパートナを無作為に選択する。すべての通信は好ましくは、少なくとも受信が確認され、伝送の完全性がチェックされるまではメッセージが送信側のメモリに保存される、標準的な保証付きの送達機能を使用する。例えば、アルフレッド  Ｊ．メネゼス（Alfred
J. Menezes）、ポール  Ｃ．ヴァン  オールショット（Paul C. van Oorschot）、スコット  Ａ．ヴァンストーン（Scott A.
Vanstone）、「応用暗号ハンドブック（Handbook of applied Cryptography）」、ＣＲＣプレス（CRC Press）、１９９７年に記載があるような標準的な安全な通信技法を用いて、ｍとｎは互いを正当な相手として認識し、（例えば、任意の周知のプロトコルを用いて）セッションのための通信鍵Ｋを設定する。
【００３７】
ローカル・コンピュータｎは次に、鍵Ｋを使用してＲを暗号化し、暗号Ｋ（Ｒ）を安全なパートナｍに送信する。その後、ＫのインバースＫ−１を用いて、ｍはＫ（Ｒ）からＫ−１（Ｋ（Ｒ））としてＲを復元する。次に、リクエストＲを処理機能に送信する前に、ｍはＲにある特定のタグＴを付加して、ｍがＲをｎに関連づけられるようにする。Ｔはｍによってログに記録できる任意の一意の乱数とすることができる。Ｔが選択されると、ｍ以外の他のマシンが読み取ることができる内部の安全なメモリ内でタグＴがｎに対応することを、ｍはログに記録する。次に安全なパートナは、安全なパートナと中央セキュア・ユニット４４（以降「中央ユニット」）の間の通信に利用される内部通信鍵ｋを用いて、（Ｒ，Ｔ）ペアをｋ（Ｒ，Ｔ）に暗号化する。
【００３８】
安全なパートナｍは、一定数Ｎの暗号化ペアをグループ化し、そのグループを中央ユニット４４に送信することができる。トラフィック追跡を防止するために、ペアをランダムに並べ替えることができる。中央ユニット４４は次に、ｋ−１（ｋ（Ｒ，Ｔ））を用いてｋ（Ｒ，Ｔ）から（Ｒ，Ｔ）を取り出す。中央ユニット４４は次に、内部の安全なメモリ内でタグＴが安全なパートナｍに対応することをログに記録する。中央ユニット４４はまた、安全なコンポーネントの外部と通信する際に使用する新しいタグを生成することもできる。中央ユニット４４は次に、暗号化されていない（Ｒ，Ｔ）ペアをメイン・コンピュータ／データベース基盤４６（以降「メイン基盤」）に送信する。メイン基盤４６は次に、Ｒを遂行し、または応答メッセージ、例えば「Ｒは完遂できず」を返すことができる。この場合、なぜリクエストが完遂できなかったのかを調査するよう、警報を発することができる。リクエストの完遂または応答メッセージは、返答またはＡと呼ばれる。
【００３９】
その後、メイン基盤４６は、ＭＱシリーズなどの保証付きの送達メッセージ通信を用いて（Ａ，Ｔ）ペアを中央ユニット４４に送信する。中央ユニット４４は次に、複数の（Ａ，Ｔ）ペアをグループ化し、トラフィック追跡を防止するためにそれらをランダムに並べ替える。中央ユニット４４は、ログを用いてＴからｍを認識し、ｋ（Ａ，Ｔ）を安全なパートナｍに送信する。次に安全なパートナｍは、ｋ−１を用いてｋ（Ａ，Ｔ）を復号化し、Ａが適切な形式に則っていることを保証し、中央ユニット４４に受信の確認応答を返すことができる。送達が適切に行われない場合、復旧機構を呼び出すことができる。例えば、一定時間経過後、適切な送信が行われない場合、中央ユニット４４は送達未確認応答を返し、警報を発することができる。ｍへの送達が適切に行われたことを確認した後、中央ユニット４４は（Ｔ，ｍ）ペアのログを削除する。ｍ側では、ｍがそのログを用いてタグＴからｎを認識する。次にｍは、Ｋ（Ａ）をｎに送信する。次にローカル・コンピュータｎが、Ｋ（Ａ）を復号化し、適切な形式を確認し、ｍに受信の確認応答を返す。ｍはその時点で、（Ｔ，ｎ）ペアのログを削除する。
【００４０】
さらに、事前設定された時間以内に返答を受信できない場合、ｎがｍにＲに対する返答を促すように、ネットワークを構成することができる。さらに、データを当局がアクセスできる形式で保存し、正式な捜査令状を必要とすることによって保護することもできる。
【００４１】
次に図５を参照すると、暗号化鍵を維持するためのソフトウェア・スタック５２を有する、例示的な安全なローカル・コンピューティング・システム５０が示されている。安全なローカル・コンピューティング・システム５０は、様々なアクセス制御を用いてパーティションに区分けすることができる。以下に説明する複合鍵を一緒になって形成できる複数の暗号化鍵が、特定のデータまたはプログラムへのアクセスを提供し、また安全なコンピュータのメイン制御にセキュリティも提供する。例えば、自動車の場合、自動車を売却することができ、または所有者は保険事業者の変更を望むことができ、あるいはその両方をすることができる。この場合、暗号化鍵を変更すべきである。任意の時点で、異なる目的をもった複数の今までの鍵から作られた複合鍵が存在すると考えるのが便利である。ある保険会社の保険が掛けられているある自動車について、複合鍵Ｋｎ（第ｎ番目の複合鍵）の可能な構造は以下のようになる。
Ｋｎ＝（Ｋ（ｎ，ｃ），Ｋ（ｎ，ｄ），Ｋ（ｎ，ｉ），Ｋ（ｎ，ｅ），Ｋ（ｎ，ｗ））
【００４２】
ただし、Ｋ（ｎ，ｃ）は、ＫｎをＫ（ｎ＋１）に変更するための機構を提供する。この場合、変更操作を行うのに自動車ディーラの鍵または保険業者の鍵の共同使用が必要とされる。
【００４３】
Ｋ（ｎ，ｄ）は、Ｋｎが有効な鍵である間に生成されたデータを（Ｋｎがもはや有効な鍵でなくなっても）読み取るための機構を提供し、または前の鍵で生成されたデータを全域的に削除するための機構を提供する。プロセッサはＫ（ｎ，ｄ）の逆数を処理する。好ましくは、これのインバースはユーザからはアクセスできず、またはデータはソフトウェアまたは配線あるいはその両方によって保証されるような自動車の操作によってのみ生成することができる。
【００４４】
Ｋ（ｎ，ｉ）は、選択された保険パートナが特定の価格（および任意選択で通信）プログラムを導入できるようにする。この場合、保険業者の鍵の共同使用が必要とされるか、または保険会社によって全域的に署名されたパッケージのみを導入することができ、そのようなパッケージは規制機関によっても署名される必要があることがある。Ｋ（ｎ，ｉ）は一般に、保険提供者によって提供される。
【００４５】
Ｋ（ｎ，ｅ）は、顧客に代ってデータを暗号化および復号化するための機構を提供する。これは任意選択とすることができ、データのバックアップを暗号化して、保険業者またはサードパーティのロケーションで保存するのに使用することができる。
【００４６】
Ｋ（ｎ，ｗ）は、安全な無線通信を可能にする。すべての処理は車載のローカル・コンピュータで行うことができるので、これは任意選択とすることができる。しかし、処理がローカルで行われるとしても、データをバックアップのため保険会社のロケーションで保存する場合は、これを使用することができる。バックアップ・データを、例えば、対称暗号システムの場合はＫ（ｎ，ｄ）を、さもなくばＫ（ｎ，ｅ）を用いて、暗号化することができる。Ｋ（ｎ，ｗ）は一般に、保険提供者によって提供される。
【００４７】
ＩＩＩ．異常な使用状況の遠隔監視
本発明の一実施形態は、遠隔機器の異常な（すなわち、標準外の）使用を監視し、費用を査定する。例えば、顧客が機器をレンタルした場合、または顧客の機器に保険が掛けられた場合、いつ機器が異常な仕方で使用されているかを知ることは、レンタル会社または保険会社にとって価値があるであろう。例えば、被保険者であるドライバが常習的に自分の車を乱暴に運転している場合、その運転スタイルを反映させて保険料率をより高くするべきである。同様に、高価な機械（例えば、ダンプトラック）を顧客にレンタルし、その顧客がダンプトラックに重量オーバの荷を積んだ場合、レンタル会社は追加の料金請求を望むであろう。そのような情報を収集することによって、企業はよりよく費用を管理でき、特定の機器を常識の枠内で操作する顧客に対してはレンタルおよび保険費用をより安く抑えることができる。
【００４８】
本明細書に記載のシステム、機能、機構、方法、およびモジュールを、ハードウェア、ソフトウェア、またはハードウェアとソフトウェアの組み合せで実施できることは理解されよう。これらは、任意のタイプのコンピュータ・システム、または本明細書に記載の方法を実行するように適合される他の機器によって実施することができる。ハードウェアとソフトウェアの典型的な組み合せは、コンピュータ・プログラムを用いる汎用コンピュータ・システムとすることができ、コンピュータ・プログラムは、ロードされて実行された際に、本明細書に記載の方法を実行するようコンピュータ・システムを制御する。あるいは、本発明の１つまたは複数の機能タスクを実行するために特殊化されたハードウェアを含む専用のコンピュータを使用することもできる。本発明をコンピュータ・プログラム製品に組み込むこともできる。プログラム製品は、本明細書に記載の方法および機能の実施を可能にするすべての機能を含み、コンピュータ・システムにロードされた際に、これらの方法および機能を実行することができる。コンピュータ・プログラム、ソフトウェア・プログラム、プログラム、プログラム製品、またはソフトウェアとは、本明細書の文脈においては、直接に、または（ａ）別の言語、コード、または表記への変換、（ｂ）異なる素材形式での再生のいずれかまたは両方の後に、特定の機能を実行させるための情報処理能力をシステムにもたせることを意図した、任意の言語、コード、または表記による、命令セットから成る任意の表現を意味する。
【図面の簡単な説明】
【００４９】
【図１】本発明の一実施形態による遠隔使用状況監視システムの図である。
【図２】車両データ処理システムの図である。
【図３】図２のデータ処理システムを備えた車両の図である。
【図４】安全な使用状況監視システムの図である。
【図５】ローカル・コンピューティング・システム用のソフトウェア・スタックの図である。
【国際調査報告】
2005510813.tif 000008
2005510813.tif 000009
2005510813.tif 000010