(57)【特許請求の範囲】
【請求項１】
１以上の制御装置と管理装置とが相互に通信を行い、前記管理装置が前記制御装置を管理する管理方法であって、
前記制御装置に関する情報と該情報の送信処理の実行に関する記録とを含む送信情報を所定タイミングで前記制御装置が前記管理装置に送信し、
前記管理装置が、前記送信情報を受信したことに応じて、前記制御装置に受領通知を返信し、
前記制御装置が前記送信処理を実行した後、前記管理装置から前記受領通知を受信しない場合、前記送信処理の実行に関する記録を前記制御装置が記憶部に記憶し、
前記制御装置から前記送信情報を受信していない期間と前記制御装置から受信した前記記憶部の前記記録に含まれる前記送信処理の実行回数とに基づいて、前記制御装置が異常であるか否かを前記管理装置が判定する、
管理方法。
【請求項２】
前記管理装置が前記期間に前記送信情報を正常に受信すべき回数と前記実行回数とが一致しないときに前記制御装置が異常であると前記管理装置が判定する、
請求項１記載の管理方法。
【請求項３】
前記送信処理を行った記録に対して、耐タンパ性を有するチップ内のソフトウェアにより電子署名が付与される、
請求項１または２記載の管理方法。
【請求項４】
前記管理装置が前記期間に前記送信情報を正常に受信すべき回数と前記実行回数とが一致し、前記電子署名の検証が成功したときに、前記制御装置が正常であると前記管理装置が判定する、
請求項３記載の管理方法。
【請求項５】
前記制御装置に関する情報は、所定の演算が行われて要約値に変換され、耐タンパ性を有するチップ内のソフトウェアにより前記要約値に電子署名が付与される、
請求項３または４記載の管理方法。
【請求項６】
前記制御装置は、前記管理装置と通信を行う第１の制御装置、または該第１の制御装置に接続され、所定の情報を処理する１以上の第２の制御装置であり、
前記第１の制御装置は、前記第２の制御装置に関する情報を纏めて前記管理装置に送信する、
請求項１乃至５のうち何れか１項の記載の管理方法。
【請求項７】
前記送信情報は環境情報を含み、該環境情報に基づいて、前記制御装置が正常であるか否かを判定する、
請求項１乃至６のうち何れか１項に記載の管理方法。
【請求項８】
１以上の制御装置を管理する管理装置により実行される管理方法であって、
前記制御装置に関する情報と該情報を前記管理装置に送信したことを示す送信処理の実行に関する記録とを含む送信情報を受信し、
前記制御装置から前記送信情報を受信していない期間と、受信した前記記録に含まれる前記送信処理の実行回数とに基づいて、前記制御装置が異常であるか否かを判定する、
管理方法。
【請求項９】
管理対象である制御装置に関する情報と該情報を送信したことを示す送信処理の実行に関する記録とを含む送信情報を受信し、
前記制御装置から前記送信情報を受信していない期間と、受信した前記記録に含まれる前記送信処理の実行回数とに基づいて、前記制御装置が異常であるか否かを判定する、
処理をコンピュータに実行させるための管理プログラム。
【請求項１０】
１以上の制御装置を管理する管理装置であって、
前記制御装置に関する情報と該情報を前記管理装置に送信したことを示す送信処理の実行に関する記録とを含む送信情報を受信する通信部と、
前記制御装置から前記送信情報を受信していない期間と、受信した前記記録に含まれる前記送信処理の実行回数とに基づいて、前記制御装置が異常であるか否かを判定する判定部と、
を備える管理装置。
【請求項１１】
１以上の制御装置と該制御装置を管理する管理装置とを含む管理システムであって、
前記制御装置は、
該制御装置に関する情報と該情報の送信処理の実行に関する記録とを含む送信情報を所定タイミングで前記管理装置に送信する制御を行う送信制御部と、
前記制御装置が前記送信処理を実行した後、前記管理装置から受領通知を受信しない場合、前記送信処理の実行に関する記録を記憶する記憶部と、
を備え、
前記管理装置は、
前記送信情報を受信したことに応じて、前記制御装置に受領通知を返信する制御を行う返信制御部と、
前記制御装置から前記送信情報を受信していない期間と、前記制御装置から受信した前記記憶部の前記記録に含まれる前記送信処理の実行回数とに基づいて、前記制御装置が異常であるか否かを判定する判定部と、
を備える管理システム。
【請求項１２】
管理装置と相互に通信を行う制御装置の情報処理方法であって、
前記制御装置に関する情報と該情報を前記管理装置に送信したことを示す送信処理の実行に関する記録とを含む送信情報を所定タイミングで前記制御装置が前記管理装置に送信し、
前記制御装置が前記送信処理を実行した後、前記管理装置から前記送信情報を受信した通知を受信しない場合、前記送信処理の実行に関する記録を記憶部に記憶し、
前記制御装置が送信する前記送信情報に含まれている前記送信処理の実行に関する記録には、前記送信処理の実行回数が含まれており、
送信した前記送信情報を前記管理装置が受信していない期間と、前記送信処理の実行回数とが、前記管理装置による前記制御装置が異常であるか否かの判定に用いられる、
情報処理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、管理方法、管理プログラム、管理装置、管理システムおよび情報処理方法に関する。
【背景技術】
【０００２】
管理装置が管理対象の装置の状態を遠隔的に監視するシステムがある。関連する技術として、昇降機に接続された遠隔監視端末が、公衆回線網にデータを送出する際のデータ送出レベルを自動調整する技術が提案されている。この技術は、上記のデータ送出レベルを監視センタとの通信が安定して行える安定送出レベル範囲内で高低いずれのレベル側にも余裕を持った値に設定している（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１２−１４２７３１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
管理装置が管理対象の装置の状態を管理する場合、管理対象の装置は、状態に関する情報を管理装置に送信する。管理対象の装置に対して何らかの不正行為が行われた場合、管理対象の装置が送信する情報の信頼性は低くなる。管理対象が送信する情報の信頼性が低くなると、管理装置は、管理対象の装置を高い信頼性で管理することが難しい。
【０００５】
そこで、１つの側面では、本発明は、高い信頼性で管理対象を管理することを目的とする。
【課題を解決するための手段】
【０００６】
１つの態様では、管理方法は、１以上の制御装置と管理装置とが相互に通信を行い、前記管理装置が前記制御装置を管理する管理方法であって、前記制御装置に関する情報と該情報の送信処理の実行に関する記録とを含む送信情報を所定タイミングで前記制御装置が前記管理装置に送信し、前記管理装置が、前記送信情報を受信したことに応じて、前記制御装置に受領通知を返信し、前記制御装置が前記送信処理を実行した後、前記管理装置から前記受領通知を受信しない場合、前記送信処理の実行に関する記録を前記制御装置が記憶部に記憶し、前記制御装置から前記送信情報を受信していない期間と、前記制御装置から受信した前記記憶部の前記記録に含まれる前記送信処理の実行回数とに基づいて、前記制御装置が異常であるか否かを前記管理装置が判定する。
【発明の効果】
【０００７】
１つの側面によれば、高い信頼性で管理対象を管理することができる。
【図面の簡単な説明】
【０００８】
【図１】管理システムの一例を示す図である。
【図２】ＥＣＵの一例を示す図である。
【図３】検査エージェントおよびセキュリティチップの一例を示す図である。
【図４】管理サーバの一例を示す図である。
【図５】検査エージェントの処理の一例を示すフローチャートである。
【図６】検査エンジンの処理の一例を示すフローチャート（その１）である。
【図７】検査エンジンの処理の一例を示すフローチャート（その２）である。
【図８】要約値が想定値であるか否かの処理の一例を示すフローチャートである。
【図９】変形例１の処理の一例を示すフローチャートである。
【図１０】変形例２の処理の一例を示すフローチャートである。
【図１１】変形例３の処理の一例を示すフローチャートである。
【図１２】制御装置のハードウェア構成の一例を示す図である。
【図１３】管理装置のハードウェア構成の一例を示す図である。
【発明を実施するための形態】
【０００９】
＜システムの全体構成の一例＞
図面を参照して、実施形態について説明する。以下の実施形態では、自動車に備えられる制御装置の例について説明するが、制御装置は自動車以外の任意の車両に備えられてもよい。例えば、制御装置は、ダンプトラックのような運搬車両等に備えられてもよい。
【００１０】
また、実施形態では、制御装置は自動車のような可動物に備えられる例について説明するが、制御装置は可動物以外の固定物に備えられてもよい。制御装置が固定物に備えられる例については後述する。
【００１１】
図１は、管理システム１の一例を示す。管理システム１は、自動車２と管理サーバ３とを含む。自動車２は車載器４と車内ネットワーク５とEngine Control Unit(ECU)６Ａ〜６Ｃ（以下、総称して、ＥＣＵ６と称する）とを備える。図１は、１台の自動車２を例示しているが、管理サーバ３が管理の対象とする自動車２は複数台であってもよい。管理サーバ３は、管理装置の一例である。
【００１２】
車載器４は、管理サーバ３と通信する機能を有する。また、車載器４は、車内ネットワーク５を介して、各ＥＣＵ６と接続されている。車載器４は、車内ネットワーク５を介して接続される各ＥＣＵ６に関する情報を管理サーバ３に送信する。車載器４は、各ＥＣＵ６に関する情報を纏めて管理サーバ３に送信してもよいし、個別的に管理サーバ３に送信してもよい。
【００１３】
車載器４は、管理サーバ３と通信する機能以外の機能を有していてもよい。例えば、車載器４は、各ＥＣＵ６を統括制御する機能を有していてもよい。また、車載器４は、該車載器４に関する情報を管理サーバ３に送信してもよい。車載器４は、第１の制御装置の一例である。
【００１４】
車内ネットワーク５は、例えば、Controller Area Network(CAN)やFlex Ray等であってもよい。車内ネットワーク５には、ＥＣＵ６以外の任意の制御装置が接続されていてもよい。
【００１５】
ＥＣＵ６は、自動車２に備えられる各種機構を制御する。例えば、ＥＣＵ６は、エンジンの制御で用いられる各種のセンサを含むセンサ系統やエンジンの動作等を制御する。図１では、３つのＥＣＵ６を例示しているが、自動車２に含まれるＥＣＵ６の数は限定されない。ＥＣＵ６は、第２の制御装置または情報処理装置の一例である。
【００１６】
通信機能を有する第１の制御装置と所定の情報を処理する第２の制御装置とを総称して制御装置と称する。制御装置３は、管理サーバ３が管理する管理対象である。第１の制御装置は、車載器４以外であってもよい。また、第２の制御装置は、ＥＣＵ６以外であってもよい。
【００１７】
図１の一例に示すように、管理サーバ３は、車載器４と無線通信を行うことにより、各ＥＣＵ６に関する情報および車載器４に関する情報を取得することができる。例えば、自動車２に電子制御で動作する部品が多く含まれる場合、ＥＣＵ６の数も多くなる。
【００１８】
管理サーバ３は、自動車２の車載器４から定期的に各ＥＣＵ６または各ＥＣＵ６と車載器４との両者に関する情報を取得し、車載器４または各ＥＣＵ６の状態を把握し、それに拠って管理する。管理サーバ３は、車載器４またはＥＣＵ６に、更新すべきソフトウェアが在る事を把握した時、あるいは異常があることを認識した場合、リモートメンテナンスを行ってもよい。
【００１９】
例えば、車載器４またはＥＣＵ６のソフトウェアのバージョンが旧い場合、管理サーバ３は、新しいバージョンのソフトウェアを車載器４に送信し、車載器４またはＥＣＵ６は新たなバージョンのソフトウェアに更新する。
【００２０】
例えば、車載器４またはＥＣＵ６のソフトウェアに不具合、あるいは管理サーバが正当と把握しているもの以外のソフトウェアを発見した場合、管理サーバ３は、修正プログラムを車載器４に送信する。これにより、車載器４またはＥＣＵ６は、修正プログラムにより不具合がなくなる。以上により、リモートメンテナンスを行うことができる。
【００２１】
＜ＥＣＵの一例＞
次に、図２を参照して、ＥＣＵ６の一例について説明する。ＥＣＵ６は、ＥＣＵソフトウェア１１とセキュリティチップ１２とを備える。ＥＣＵソフトウェア１１は、システムソフトウェア１３と１以上のアプリケーション１４と検査エージェント１５とを含む。
【００２２】
システムソフトウェア１３は、ＥＣＵソフトウェアの基本的なソフトウェアである。例えば、システムソフトウェア１３は、Operating System(OS）やブートプログラム等であってもよい。
【００２３】
アプリケーション６は、既存のアプリケーションであり、ＥＣＵ６が制御する対象の部品の機能を制御するソフトウェアであってもよい。ＥＣＵソフトウェア１１は、複数のアプリケーションを有していてもよい。
【００２４】
検査エージェント１５は、所定のタイミングでＥＣＵ６に関する情報を収集し、収集した情報を含む送信情報を管理サーバ３に送信する。また、検査エージェント１５は、ＥＣＵ６に不具合を生じているか否かの検査を行う機能を有している。検査エージェント１５は、定期的に送信情報を管理サーバ３に送信する。
【００２５】
自動車２のイグニッションがオンにされるときには、イグニッションがオフにされる前の状態は維持されているものとする。例えば、自動車２のイグニッションがオフにされたとしても、ＥＣＵ６のＣＰＵのレジスタの値やRandom Access Memory(RAM)等の情報は失われないものとする。これにより、検査エージェント１５は、イグニッションがオフにされる直前のレジスタやＲＡＭ等の値を引き続き利用することができる。
【００２６】
このために、例えば、自動車２のイグニッションがオフにされたとしても、自動車２のバッテリは、ＥＣＵ６に少量の電源を供給し続けてもよい。または、ＥＣＵ６のＲＡＭ等の情報やCentral Processing Unit(CPU)のレジスタの値の情報等は、不揮発性メモリに記憶されてもよい。
【００２７】
セキュリティチップ１２について説明する。セキュリティチップ１２は、耐タンパ性を有する。従って、セキュリティチップ１２が保持する情報は機密性が高い。セキュリティチップの一例としては、Trusted Platform Module(TPM)と呼ばれるチップが挙げられる。このＴＰＭは、国際的な業界団体であるTrusted Computing Group(TCG)により策定された仕様のモジュールである。
【００２８】
セキュリティチップ１２は、信頼性の基点となるハードウェアである。セキュリティチップ１２はＥＣＵ６の内部の各種ソフトウェアの真正性を確認する。セキュリティチップ１２により真正性が確認されたソフトウェアは信頼性が高い。
【００２９】
検査エージェント１５およびセキュリティチップ１２の機能ブロックの一例について、図３を参照して、説明する。検査エージェント１５は、情報収集部２１と第１のタイマ２２と第２のタイマ２３と第１の記憶部２４と送信制御部２５と環境情報取得部２６とエンジン制御部２７とを備える。セキュリティチップ１２は、要約値生成部３１と電子署名付与部３２とを備える。
【００３０】
情報収集部２１は、ＥＣＵ６に関する情報を収集する。例えば、情報収集部２１は、ＥＣＵ６のソフトウェアの構成情報を収集する。また、情報収集部２１は、ＥＣＵ６の回路の状態に関する情報等を収集してもよい。
【００３１】
第１のタイマ２２および第２のタイマ２３は、それぞれ時間を計測するタイマである。第１のタイマ２２と第２のタイマ２３とはそれぞれ異なる時間を計測する。図３の例では、第１のタイマ２２と第２のタイマ２３とはそれぞれ独立なタイマとなっているが、１つのタイマが２種類の時間を計測するようにしてもよい。
【００３２】
実施形態では、検査エージェント１５は、所定のタイミングで活性化して、送信情報を管理サーバ３に送信する。このため、第１のタイマ２２が計測する時間が上記のタイミングに達したときに、検査エージェント１５は管理サーバ３に送信情報を送信する。
【００３３】
第１の記憶部２４は、情報収集部２１が収集した情報や環境情報取得部２６が取得した環境情報等を記憶する。送信制御部２５は、管理サーバ３に所定の情報を送信する制御を行う。
【００３４】
実施形態では、送信制御部２５が管理サーバ３に送信する送信情報は、構成情報および送信実行記録を含む。構成情報は、ＥＣＵ６のソフトウェアの状態に関する情報である。送信実行記録は、送信制御部２５が送信情報を送信する処理を実行に失敗したことを示す記録である。
【００３５】
検査エージェント１５が送信情報を管理サーバ３に送信すると、管理サーバ３は、所定時間内に、送信情報を受信したことを示す受領通知を検査エージェント１５に返信する。従って、送信制御部２５が送信処理を実行したにもかかわらず、所定時間内に管理サーバ３から受領通知を受信しない場合には、送信処理は失敗したことになる。
【００３６】
第２のタイマ２３は、送信処理を実行してから時間の計測を行う。第２のタイマ２３が計測する時間が上記の所定時間を超過したときに、検査エージェント１５は、送信失敗を示す送信実行記録を第１の記憶部２４に記憶する。
【００３７】
送信制御部２５は、構成情報および送信実行記録を含む送信情報を管理サーバ３に送信する。構成情報および送信実行記録には電子署名が付与されている。送信情報は、構成情報および送信実行記録以外の情報を含んでもよい。例えば、送信情報は、ＥＣＵ６の回路等の状態に関する情報や後述する環境情報を含んでもよい。
【００３８】
環境情報取得部２６は、送信制御部２５が送信情報を送信する制御を行ったときの自動車２の環境に関する環境情報を取得する。環境情報は、例えば、自動車２の位置情報であってもよい。自動車２が不図示のGlobal Positioning System(GPS)を備えている場合、環境情報取得部２６はＧＰＳから位置情報を取得する。
【００３９】
環境情報は、自動車２と管理サーバ３との間の通信状況を判定するために用いられる。例えば、自動車２がトンネルを通過している間に送信制御部２５が送信情報を管理サーバ３に送信しても、管理サーバ３は送信情報を受信しない。管理サーバ３は、環境情報に基づいて、送信情報を受信しなかった原因を認識できる。
【００４０】
エンジン制御部２７は、所定の条件下で、自動車２のエンジンの起動を抑止する。この場合、例えば、エンジンの起動操作が行われたとしても、所定の条件を満たしている場合には、エンジン制御部２７は、エンジンの起動を抑止する。
【００４１】
次に、セキュリティチップ１２の要約値生成部３１について説明する。情報収集部２１は、ＥＣＵ６のソフトウェアの構成情報を収集する。情報収集部２１は、収集したソフトウェアの構成情報を要約値生成部３１に出力する。
【００４２】
要約値生成部３１は、ソフトウェアの構成情報の要約値を生成する。要約値は、例えばハッシュ関数を用いて演算されるハッシュ値である。なお、要約値は、ソフトウェアの構成情報に基づく要約値であれば、ハッシュ値には限定されない。
【００４３】
電子署名付与部３２は、要約値生成部３１が生成した構成情報の要約値および送信実行記録に電子署名を付与する。電子署名の付与および検証は、公開鍵と秘密鍵との鍵ペアを用いた公開鍵暗号方式が用いられてもよい。
【００４４】
公開鍵暗号方式を用いて、電子署名の付与および検証を行う場合、電子署名付与部３２には、電子署名の付与に必要な鍵情報が自動車２の出荷前に予め設定されていても良い。あるいは、必要に応じて、電子署名付与部３２に於いて、公開鍵と秘密鍵との鍵ペアを生成することとしても良い。なお、電子署名の付与および検証は、公開鍵暗号方式には限定されない。
【００４５】
検査エージェント１５は、ソフトウェアであるため、プログラムの改竄を受けたりすることにより、通信の妨害等を受ける可能性がある。よって、検査エージェント１５は、通信状況に関する情報を第１の記憶部２４に記憶してもよい。この場合、電子署名付与部３２が通信状況に関する情報に電子署名を付与して、送信制御部２５は通信状況に関する情報を管理サーバ３に送信してもよい。
【００４６】
また、検査エージェント１５がプログラムの改竄を受けたりすることにより、真正でない可能性もある。セキュリティチップ１２は、ソフトウェアの真正性を検証する機能を有する。セキュリティチップ１２は、検査エージェント１５が真正であることが検証してもよい。
【００４７】
上述したように、セキュリティチップ１２は、耐タンパ性を有するため、セキュリティチップ１２によって生成された電子署名の信頼性が高い。従って、電子署名付与部３２により電子署名が付された要約値および送信結果記録は、信頼性が高い。
【００４８】
＜管理サーバの一例＞
次に、管理サーバ３の一例について説明する。図４は、管理サーバ３の一例を示している。図４の検査エンジン４０は、返信制御部４１と電子署名検証部４２と比較部４３と判定部４４と第２の記憶部４５と第３のタイマ４６とカウンタ４７と通信部４８とを備えている。
【００４９】
返信制御部４１は、所定のタイミングで検査エージェント１５の送信制御部２５が送信する送信情報を通信部４８が受信したときに、受信したことを示す受領通知を検査エージェント１５に返信する。
【００５０】
電子署名検証部４２は、要約値に付与された電子署名の検証を行う。実施形態では、上述した公開鍵と秘密鍵との鍵ペアの内の、公開鍵情報を用いて、電子署名検証部４２は、電子署名の検証を行う。
【００５１】
比較部４３は、実施形態の処理を行うときに、各種の比較を行う。判定部４４は、実施形態の処理を行うときに、各種の判定を行う。第２の記憶部４５は、送信情報を受信した受信履歴やＥＣＵ６が異常であるか否か、あるいは旧いソフトウェアが入っているか否かの情報等を記憶する。
【００５２】
また、第２の記憶部４５は、ホワイトリストを記憶する。ホワイトリストについて説明する。ホワイトリストは、検査エージェント１５の送信制御部２５が送信する送信情報が正当な情報であるか否か、あるいはＥＣＵ６のソフトウェアが最新のものであるか否かを判定するための基準となる情報である。
【００５３】
ホワイトリストは、各ＥＣＵ６のソフトウェアごとの要約値の正解値を含む。要約値がハッシュ値の場合、正解値も要約値に対応したハッシュ値になる。送信情報に含まれる正解値とホワイトリストに含まれる何れかの正解値とが一致すれば、要約値は、ホワイトリストが保持する、その正しい情報になる。
【００５４】
例として、ホワイトリストがＥＣＵ６のソフトウェアとして旧い版と最新の版との要約値を持っているとする。送信情報に含まれる正解値が旧い版の正解値と一致すれば、今の状態のＥＣＵ６には旧い版のソフトウェアがインストールされていると判定される。送信情報に含まれる正解値が最新の版の正解値と一致すれば、今の状態のＥＣＵ６には最新の版のソフトウェアがインストールされていると判定される。送信情報に含まれる正解値が、旧い版の正解値とも最新の版の正解値と一致しなければ、今の状態のＥＣＵ６には不明のソフトウェアがインストールされていると判定される。
【００５５】
ホワイトリストは、正解値以外の他の情報を含んでもよい。例えば、ホワイトリストは、ソフトウェアの名称や製造者、種別、ハッシュ値の取得方法、ソフトウェアのバイナリデータ、登録日等の情報を含んでいてもよい。
【００５６】
第３のタイマ４６は、時間の計測を行う。実施形態では、第３のタイマ４６は、検査エージェント１５の送信制御部２５が送信した送信情報を受信するインターバルの時間を計測する。
【００５７】
カウンタ４７は、初期値がゼロの計数部である。カウンタ４７は、第３のタイマ４６が計測している時間が予め設定されている所定の時間を超過したときに、値をインクリメントする。上記の所定の時間は任意に設定されてもよい。
【００５８】
カウンタ４７は、値をインクリメントしたときに、第３のタイマ４６の計測時間をリセットする。また、カウンタ４７には、ＥＣＵ６が異常であることを判定するためのカウンタ閾値が設定されている。カウンタ４７は、自身の値がカウンタ閾値を超過したときに、値をゼロに戻す。
【００５９】
検査エンジン４０は検査エージェント１５から定期的に送信情報を受信する。このとき、検査エンジン４０が検査エージェント１５から送信情報を受信しない場合に、カウンタ４７はカウンタ値をインクリメントする。このため、カウンタ４７は、未受信カウンタと称してもよい。通信部４８は、車載器４および車内ネットワーク５を介して、ＥＣＵ６と通信を行う。
【００６０】
ここで、検査エージェント１５および検査エンジン２０と上述したＴＣＧが策定した通信プロトコルであるTrusted Network Connect(TNC)との関係について説明する。ＴＮＣにおいて、検査エージェント１５は、Integrity Measurement Collector(IMC)と称される。検査エンジン２０は、ＴＮＣにおいて、Integrity Measurement Verifier(IMV)と称される。
【００６１】
ＩＭＣは、ＥＣＵ６の構成情報を収集し、ＩＭＶに送信する。ＩＭＶは、ＩＭＣから送信された送信情報に含まれる要約値をホワイトリストと比較して、ＥＣＵ６の状態を解析する。これにより、管理サーバ３は自動車２の状態を遠隔診断することができる。
【００６２】
＜検査エージェントの処理の一例＞
次に、検査エージェント１５の処理の一例について、図５を参照して、説明する。第１のタイマ２２が計測する時間が所定のタイミングに達したときに、検査エージェント１５は活性化する（ステップＳ１）。検査エージェント１５は、自動車２が走行中であるか、または停止中であるかにかかわらず、所定のタイミングで活性化する。
【００６３】
情報収集部２１は、ＥＣＵ６の情報を収集する（ステップＳ２）。ＥＣＵ６が収集する情報は、ソフトウェアの構成情報を含む。検査エージェント１５の情報収集部２１は、セキュリティチップ１２の要約値生成部３１にソフトウェアの構成情報を出力する。
【００６４】
要約値生成部３１は、ハッシュ関数を用いて、ソフトウェアの構成情報の要約値を生成する。そして、電子署名付与部３２は、要約値に電子署名を付与する。これにより、電子署名を伴った要約値が生成される（ステップＳ３）。
【００６５】
第１の記憶部２４は、送信制御部２５が送信情報の送信処理を行ったにもかかわらず、管理サーバ３から受領通知を受信しなかった場合、送信実行の失敗を示す送信実行記録を記憶している。
【００６６】
検査エージェント１５は、第１の記憶部２４に記憶されている送信実行記録をセキュリティチップ１２の電子署名付与部３２に出力する。電子署名付与部３２は、送信実行記録に電子署名を付与することで、電子署名を付与した送信実行記録が生成される（ステップＳ４）。
【００６７】
送信制御部２５は、要約値および送信実行記録をセキュリティチップ１２から取得する。要約値および送信実行記録は、耐タンパ性を有するセキュリティチップ１２により電子署名が付与されているため、信頼性が高い。
【００６８】
送信制御部２５は、セキュリティチップ１２から取得した要約値および送信実行記録を含む送信情報を管理サーバ３に送信する制御を行う（ステップＳ５）。これにより、送信情報は、管理サーバ３に送信される。検査エンジン４０の返信制御部４１は、送信情報を受信したときに、受領通知を返信する。
【００６９】
第２のタイマ２３は時間の計測を行う。検査エージェント１５は、送信情報を送信した後、第２のタイマ２３が計測する時間に基づいて、所定時間内に管理サーバ３から受領通知を受信したか否かを判定する（ステップＳ６）。
【００７０】
検査エージェント１５が受領通知を所定時間に達するまで受領通知を受信しない場合（ステップＳ６でＮＯ）、検査エージェント１５は、送信実行の失敗を示す送信実行記録を第１の記憶部２４に記憶する（ステップＳ７）。その後、検査エージェントの処理は終了する。
一方、検査エージェント１５が受領通知を所定時間に達しない間に受領通知を受信した場合（ステップＳ６でＹＥＳ）、そのまま処理を終了する。この場合、管理サーバ３は、所定時間内に正常に送信情報を受信する。
【００７１】
検査エージェント１５は、処理が終了すると、不活性な状態になる。このとき、検査エージェント１５は、第１のタイマ２２をリセットする。第１のタイマ２２が計測する時間が所定のタイミングに達したときに、検査エージェント１５は再び活性化する。
【００７２】
送信制御部２５は、送信が失敗した記録を含む送信実行記録を第１の記憶部２４に記憶してもよい。例えば、検査エージェント１５が送信実行記録と送信を実行した時刻とを関連付けて第１の記憶部２４に記憶することで、後に、第１の記憶部２４に記憶されている情報に基づいて、送信処理に関する情報を検証することができる。
【００７３】
また、例えば、検査エージェント１５は、送信実行記録と送信を実行した時刻と環境情報とを関連付けて第１の記憶部２４に記憶することで、不正な改竄が行われたか否かを検証することができる。
【００７４】
送信処理を行った時刻において、環境情報が管理サーバ３との通信が可能な状態であったことを示している場合、自動車２が位置していた環境が要因となって送信処理が失敗したのではないことが認識できる。
【００７５】
従って、この場合、ＥＣＵ６のソフトウェアに対して不正な改竄が行われた可能性があることを後に検証することができる。つまり、第１の記憶部２４に記憶されている情報は、送信処理に関する情報を含んでいるため、後の検証において、該情報は検証の証拠の一部となり得る。
【００７６】
＜検査エンジンの処理の一例＞
次に、図６を参照して、検査エンジン４０の処理について説明する。検査エンジン４０の第３のタイマ４６は、時間の計測を行っている。通信部４８が検査エージェント１５から送信情報を受信しない場合であり、且つ第３のタイマ４６が計測する時間が所定の時間を経過した場合、検査エンジン４０が活性化する（ステップＳ１１）。
【００７７】
検査エンジン４０は、第３のタイマ４６が計測する時間が所定の時間を経過したことを契機として、自身が活性化したか否かを判定する（ステップＳ１２）。なお、上記の所定の時間は、上述したインターバルに設定してもよい。
【００７８】
検査エンジン４０が活性化した契機が、第３のタイマ４６が計測する時間による場合（ステップＳ１２でＹＥＳ）、カウンタ４７は自身の値をインクリメントする（ステップＳ１３）。なお、上述したように、カウンタ４７の初期値はゼロである。
【００７９】
判定部４４は、カウンタ４７の値（以下、カウンタ値と称する）が予め設定されている閾値以上であるか否かを判定する（ステップＳ１４）。カウンタ値が閾値以上の場合（ステップＳ１４でＹＥＳ）、判定部４４は、対象のＥＣＵ６が異常であると判定する（ステップＳ１５）。このとき、判定部４４は、カウンタ４７のカウンタ値をゼロに戻す。そして、検査エンジン４０の処理が終了する。
【００８０】
一方、カウンタ値が閾値未満の場合（ステップＳ１４でＮＯ）、そのまま検査エンジン４０の処理が終了する。検査エンジン４０の処理が終了すると、検査エンジン４０は不活性な状態になる。
【００８１】
検査エンジン４０は不活性な状態になるが、第３のタイマ４６は時間の計測を再び開始する。そして、検査エンジン４０は、通信部４８が送信情報を受信しない場合であり、且つ第３のタイマ４６が計測する時間が所定の時間を経過した場合に活性化する。
【００８２】
次に、ステップＳ１２でＮＯと判定された場合について説明する。検査エンジン４０は、検査エージェント１５から送信情報を受信したことを契機としても活性化する。この場合、ステップＳ１２の判定はＮＯとなり、処理は「Ａ」に進む。
【００８３】
「Ａ」以降の処理について、図７を参照して説明する。図７は、「Ａ」以降の処理の一例を示す。ステップＳ１２でＮＯと判定された場合、通信部４８は送信情報を受信している。送信情報は、電子署名が付与された要約値および送信実行記録を含む。
【００８４】
このとき、検査エンジン４０は、送信情報を受信した受信履歴を第２の記憶部４５に記憶してもよい。検査エンジン４０は、受信履歴を時系列的に第２の記憶部４５に記憶してもよい。
【００８５】
電子署名検証部４２は、検査エージェント１５の電子署名付与部３２に対応する鍵ペアの内の公開鍵情報を有している。よって、電子署名検証部４２は、この公開鍵情報を用いて、要約値および送信実行記録の電子署名の検証を行う（ステップＳ１６）。電子署名が正当でないことを電子署名検証部４２が検証した場合、判定部４４はＥＣＵ６のソフトウェアに対して不正な改竄やなりすまし等が行われた可能性があると判定する。
【００８６】
電子署名が正当であることを電子署名検証部４２が検証した場合、比較部４３は、送信実行記録に含まれる送信実行回数（実行回数とも称する）とカウンタ４７のカウンタ値との比較を行う（ステップＳ１７）。送信実行回数は、検査エージェント１５による送信処理が失敗した回数を示す。
【００８７】
カウンタ４７は、第３のタイマ４６が計測する時間に基づいて、カウンタ値をインクリメントする。図６の例において、通信部４８が検査エージェント１５から送信情報を受信したときには、ステップＳ１２の判定はＮＯとなる。
【００８８】
従って、カウンタ４７は、送信情報を受信していない期間は、カウンタ値をインクリメントする。つまり、カウンタ４７のカウンタ値は、検査エンジン４０が検査エージェント１５から送信情報を受信していない期間を示す。
【００８９】
一方、検査エージェント１５の第１のタイマ２２が正常であれば、送信制御部２５は、定期的に送信情報を管理サーバ３に送信する。従って、ＥＣＵ６のソフトウェアが正常であれば、送信情報に含まれる送信実行記録に含まれる送信実行回数とカウンタ４７のカウンタ値とは一致する。
【００９０】
例えば、自動車２がトンネルを通過する期間の間に、検査エージェント１５は送信情報を３回送信したとする。この場合、検査エージェント１５が送信した送信情報は、検査エンジン４０に届かない。
【００９１】
従って、検査エンジン４０のカウンタ４７はカウンタ値をインクリメントする。検査エンジン４０が送信情報を受信しない期間は、検査エージェント１５が送信情報を送信した期間と対応する。
【００９２】
よって、カウンタ４７のカウンタ値は３になり、カウンタ４７のカウンタ値と送信実行記録に含まれる送信実行回数は３であるため、両者の値は一致する。一方、ＥＣＵ６のソフトウェアに対して何らかの不正行為が行われていた場合には、カウンタ値と送信実行回数とが一致しない場合がある。
【００９３】
例えば、第三者がＥＣＵ６のソフトウェア、例えば検査エージェント１５のソフトウェアの改竄を行ったとする。この場合、ソフトウェアの改竄を行っている間に、検査エージェント１５の送信機能が危殆化していることを要因として、検査エージェント１５が送信情報を送信しなかったことが想定される。
【００９４】
従って、送信実行記録に含まれる送信実行回数とカウンタ４７のカウンタ値とが一致しない場合には、検査エンジン４０は、ＥＣＵ６のソフトウェアに対して何らかの改竄が行われた可能性があることを判定することができる。
【００９５】
判定部４４は、上述したように、カウンタ値と送信実行回数とが一致しているか否かを判定する（ステップＳ１８）。カウンタ値と送信実行回数とが一致している場合（ステップＳ１９でＹＥＳ）、比較部４３は、送信情報に含まれる要約値と第２の記憶部４５に記憶されているホワイトリストとを比較する（ステップＳ１９）。
【００９６】
比較部４３が要約値とホワイトリストとの比較を行うときに、判定部４４は、要約値が想定値であるか否かを判定する（ステップＳ２０）。要約値が想定値であるか否かの処理について、図８の一例を参照して説明する。ただし、要約値が想定値であるか否かを判定する処理は、図８の例には限定されない。
【００９７】
ホワイトリストは、ソフトウェアごとに正解値を含む。判定部４４は、要約値がホワイトリストの何れかの正解値と一致するか否かを判定する（ステップＳ３１）。要約値がホワイトリストの正解値と一致しない場合（ステップＳ３２でＮＯ）、判定部４４は、要約値は想定値でないと判定する（ステップＳ３２）。
【００９８】
一方、要約値がホワイトリストの何れかの正解値と一致する場合（ステップＳ３２でＹＥＳ）、判定部４４は、ソフトウェアのバージョンが許容されるか否かを判定する（ステップＳ３３）。
【００９９】
ソフトウェアのバージョンが旧い場合や修正対象の場合等は、ソフトウェアのバージョンは許容されない。従って、この場合（ステップＳ３３でＮＯ）、判定部４４は、要約値は想定値でないと判定する。
【０１００】
一方、ソフトウェアのバージョンが許容される場合（ステップＳ３３でＹＥＳ）、判定部４４は、要約値は想定値であると判定する（ステップＳ３４）。従って、ステップＳ３１〜ステップＳ３４により、ステップＳ２０の要約値が想定値であるか否かの判定が行われる。
【０１０１】
ＥＣＵ６の各ソフトウェアの要約値が想定値であると判定部４４が判定した場合（ステップＳ３４でＹＥＳ）、検査エンジン４０は対象のＥＣＵ６が正常であると判定する（ステップＳ２１）。第２の記憶部４５は、ＥＣＵ６ごとに正常であるか、または異常であるかの情報を記憶してもよい。
【０１０２】
判定部４４は、第２の記憶部４５に記憶されている情報のうち、対象のＥＣＵ６の情報が異常であることを示しているか否かを判定する（ステップＳ２２）。ステップＳ２１において、対象のＥＣＵ６は正常であると判定されている。
よって、対象のＥＣＵ６が異常であることが第２の記憶部４５に記憶されている場合（ステップＳ２２でＹＥＳ）、第２の記憶部４５から対象のＥＣＵ６の情報がリセットされる（ステップＳ２３）。
【０１０３】
対象のＥＣＵ６の情報が異常であることが記憶されていない場合（ステップＳ２２でＮＯ）、ステップＳ２３の処理は行われない。図７の例の「Ａ」以降の処理が行われているときには、検査エンジン４０の通信部４８は、検査エージェント１５から送信情報を受信している。
【０１０４】
よって、カウンタ４７はカウンタ値をリセットする（ステップＳ２４）。検査エンジン４０は送信情報を受信したため、通信部４８は受領通知を検査エージェント１５に返信する（ステップＳ２５）。その後、処理は「Ｂ」を経由して、検査エンジンの処理は終了する。
【０１０５】
ステップＳ２０において、各ＥＣＵ６のソフトウェアのうち何れかの要約値が想定値でない場合（ステップＳ２０でＮＯ）、判定部４４は、対象のＥＣＵ６が異常であると判定する（ステップＳ２６）。また、ステップＳ１８において、カウンタ値と送信実行回数とが一致しなければ（ステップＳ１８でＮＯ）、判定部４４は、対象のＥＣＵ６が異常であると判定する。
【０１０６】
判定部４４は、カウンタ値が送信実行回数より多いか否かを判定する（ステップＳ２７）。カウンタ値が送信実行回数より多い場合（ステップＳ２７でＹＥＳ）、判定部４４は、対象のＥＣＵ６のタイマ異常、改変または改竄の可能性があると判定する（ステップＳ２７）。
【０１０７】
つまり、この場合、送信実行記録に含まれる送信実行回数は正常な値より少ないことになる。例えば、送信制御部２５が送信情報を送信するタイミングのときに、第三者がＥＣＵ６のソフトウェアを改変または改竄している場合、送信処理は実行されない。このため、送信実行回数は正常な値よりも少なくなる。
【０１０８】
従って、ステップＳ２７でＹＥＳの場合、対象のＥＣＵ６のソフトウェアが改変または改竄された可能性がある。なお、第１のタイマ２２が異常である場合には、正常なタイミングで送信処理が実行されないため、第１のタイマ２２が異常である可能性もある。
【０１０９】
例えば、判定部４４が対象のＥＣＵ６のタイマ異常、改変または改竄の可能性があると判定した場合、検査エンジン４０は、対象のＥＣＵ６に異常が発生したことを検査エージェント１５に送信してもよい。
【０１１０】
検査エージェント１５は、自動車２に備えられる不図示の表示装置（例えば、カーナビゲーション等）に、ＥＣＵ６の異常を表示してもよい。これにより、表示装置は、自動車２の所有者に対して、自動車２を取り扱う事業者にＥＣＵ６の異常の原因の調査を依頼することを促すことができる。
【０１１１】
また、検査エンジン４０は、検査エージェント１５に対して、特別な検査を実施する指令を送信してもよい。上述したように、検査エージェント１５は、ＥＣＵ６を検査する機能を有する。そこで、検査エージェント１５は、改変や改竄等の痕跡が残る可能性のある部位を検査し、検査結果を検査エンジン４０に送信してもよい。
【０１１２】
また、第三者が、自動車２に対して改変を行っているときに、検査エージェント１５が送信情報を生成する場合もある。この場合、第三者は、生成された送信情報を削除し、送信情報を改竄する可能性もある。これに対して、例えば、個々の送信情報にシリアル番号を付与することで、送信情報が改竄されたことを検証することができる。
【０１１３】
カウンタ値が送信実行回数よりも少ないと判定部４４が判定した場合（ステップＳ２７でＮＯ）、判定部４４は、タイマ異常またはなりすましの可能性があると判定する（ステップＳ２９）。
【０１１４】
カウンタ値が送信実行回数と一致せず、且つカウンタ値が送信実行回数より多くない場合、カウンタ値は送信実行回数よりも少なくなる。従って、送信実行回数は、正常な値より多くなる。
【０１１５】
この場合、第１のタイマ２２に異常が生じたことが考えられる。また、第三者が検査エージェント１５になりすまして、送信情報を多く検査エンジン４０に送信することが考えられる。従って、検査エージェント１５は、上記の表示装置に、ＥＣＵ６の異常を表示してもよい。
【０１１６】
ステップＳ２８またはステップＳ２９の処理が行われた後、処理は、ステップＳ２４に移る。また、第２の記憶部４５に対象のＥＣＵ６が異常と記憶されていない場合（ステップＳ２２でＮＯ）、同様に、処理は、ステップＳ２４に移る。
【０１１７】
従って、検査エンジン４０が検査エージェント１５から送信情報を受信していない期間と送信処理の実行回数とに基づいて、高い信頼性で対象のＥＣＵ６に異常が生じているか否かを判定することができる。
【０１１８】
つまり、カウンタ４７のカウンタ値と送信実行記録に含まれる送信実行回数とが一致しなければ、送信情報の信頼性は低いものとなる。カウンタ値は、送信情報を受信していない期間に、異常が発生してなければ、正常に送信情報を受信する回数になる。よって、検査エンジン４０は、カウンタ値と送信実行回数とが一致するか否かを判定することで、送信情報の信頼性を判定できる。
【０１１９】
このため、検査エンジン４０は、カウンタ値と送信実行回数とが一致したときの送信情報に基づいて、ＥＣＵ６の状態を管理するため、高い信頼性で管理対象を管理することができる。
【０１２０】
実施形態の場合、耐タンパ性を有するセキュリティチップ１２の電子署名付与部３２は、要約値および送信結果記録に電子署名を付与する。これにより、送信情報の信頼性は高くなる。
【０１２１】
従って、電子署名が付与された送信結果記録に含まれる送信実行回数とカウンタ４７のカウンタ値とが一致するか否かを判定部４４が判定することにより、送信情報の信頼性はより高いものとなる。
【０１２２】
＜変形例１＞
上述したように、車載器４が管理サーバ３と通信を行う。自動車２は、複数のＥＣＵ６を有している場合がある。この場合、例えば、図９の例に示すように、車載器４は、各ＥＣＵ６のソフトウェアの送信情報を収集する（ステップＳ５１）。
【０１２３】
車載器４は、収集した各ＥＣＵのソフトウェアの送信情報を纏めて管理サーバ３に送信する（ステップＳ５２）。このとき、車載器４は、自動車２を特定する番号（例えば、製造番号等）を送信情報に付してもよい。
【０１２４】
この場合、管理サーバ３の検査エンジン４０は、１台の自動車２に備えられる各ＥＣＵ６のソフトウェアが異常であるか否かの判定を纏めて行うことができる。つまり、検査エンジン４０は、１台の自動車２の各ＥＣＵ６の状態の検査を一括して行うことができる。
【０１２５】
＜変形例２＞
上述したように、ＥＣＵ６の検査エージェント１５は環境情報取得部２６を備える。変形例２においては、環境情報は位置情報であるものとし、不図示のＧＰＳが位置情報を取得する。
【０１２６】
図１０の例に示すように、環境情報取得部２６が環境情報を取得する（ステップＳ５１）。電子署名付与部３２は、環境情報に電子署名を付与する（ステップＳ５２）。送信制御部２５は、送信情報に電子署名が付与された環境情報を管理サーバ３の検査エンジン４０に送信する（ステップＳ５３）。
【０１２７】
検査エンジン４０の判定部４４は、カウンタ値と送信実行回数とが一致するか否かを判定する（ステップＳ５４）。上述したように、カウンタ値と送信実行回数とが一致しなければ（ステップＳ５４でＮＯ）、判定部４４は対象のＥＣＵ６が異常と判定する（ステップＳ５５）。
【０１２８】
カウンタ値と送信実行回数とが一致する場合（ステップＳ５４でＹＥＳ）、判定部４４はカウンタ値と送信実行回数とが一致した要因が環境によるものか否かを判定する（ステップＳ５６）。
【０１２９】
上述したように、自動車２がトンネルを通過しているときには、送信制御部２５が送信情報を送信しても、送信情報は管理サーバ３に届かない。よって、送信情報に含まれる環境情報が、例えばトンネル通過を示しているときには、判定部４４は、検査エンジン４０が送信情報を受信しない要因が環境によるものであると判定できる。
【０１３０】
この場合、判定部４４は対象のＥＣＵ６が正常であると判定することができる（ステップＳ５７）。一方、カウンタ値と送信実行回数とが一致した要因が環境によるものでない場合（ステップＳ５６でＮＯ）、偶発的にカウンタ値と送信実行回数とが一致したことが想定される。この場合、判定部４４は、対象のＥＣＵ６が異常を生じている可能性があると判定する（ステップＳ５８）。
【０１３１】
従って、送信情報が環境情報を含むことにより、検査エンジン４０は、対象のＥＣＵ６が正常であることを認識することができる。これにより、送信情報は不正な情報でないことの信頼性が向上する。
【０１３２】
＜変形例３＞
次に、遠隔操作の一例について、図１１を参照して、説明する。検査エンジン４０の判定部４４が、対象のＥＣＵ６が異常であると判定した場合、検査エージェント１５に対して、Read Only Memory(ROM)の検査を行うように指示する（ステップＳ６１）。
【０１３３】
検査エージェント１５は、ＲＯＭの検査を行う。例えば、第三者がＥＣＵ６のソフトウェアを改変しようとする場合、ＲＡＭに展開されているプログラムを改変すると、システムが停止する可能性がある。このため、第三者は、ＲＡＭではなく、ＲＯＭのソフトウェアを改変しようとする可能性が高い。
【０１３４】
検査エージェント１５は、ＲＯＭの検査を行う（ステップＳ６２）。次に、検査エージェント１５は、動作中のプログラムが停止されて改変されたか否かを判定する（ステップＳ６３）。
【０１３５】
動作中のプログラムが停止されて改変された場合（ステップＳ６３でＹＥＳ）、検査エージェント１５はブート処理を実行する（ステップＳ６４）。検査エージェント１５は、第１のブート処理または第２のブート処理の何れかを実行する。
【０１３６】
第１のブート処理は、上述したＴＮＣにおいては、Trusted Boot(TB)と称されるブート処理である。第１のブート処理は、検査エンジン４０が検査エージェント１５からＥＣＵ６の状態を取得して、状態の診断を行う。そして、検査エンジン４０は、診断結果に応じた起動を行うように、検査エージェント１５に対して指示を出す。
【０１３７】
第２のブート処理は、上述したＴＮＣにおいては、Secure Boot(SB)と称されるブート処理である。第２のブート処理は、検査エージェント１５が自身の状態の診断を行い、診断結果に応じた起動を行うブート処理である。
【０１３８】
例えば、検査エンジン４０が対象のＥＣＵ６の異常を判定したときに、自動車２のイグニッションがオフになっていた場合、検査エンジンはエンジン起動の抑止の指示を検査エージェント１５に送信する。
【０１３９】
検査エージェント１５は、イグニッションオフの状態からイグニッションオンの状態に遷移する前に、エンジン起動抑止の指示を受信したか否かを判定する（ステップＳ６５）。検査エージェント１５がエンジン起動抑止の指示を受信した場合（ステップＳ６５でＹＥＳ）、エンジン制御部２７は、自動車２のエンジンの起動を抑止する（ステップＳ６６）。
【０１４０】
一方、検査エージェント１５がエンジン起動抑止の指示を受信していない場合（ステップＳ６５でＮＯ）、ステップＳ６６の処理は行われない。これにより、ＥＣＵ６に何らかの異常が生じているときに、エンジンが起動されなくなる。例えば、エンジン制御部２７は、イモビライザと連携して、エンジンの起動を抑止してもよい。
【０１４１】
例えば、制御装置がエンジンを制御する制御装置の場合、ステップＳ６６において、検査エンジン４０は、制御装置に対して、エンジンを起動させる機能を停止させる指示を送信してもよい。
【０１４２】
検査エンジン４０は、検査エージェント１５が動作中に異常を生じた場合、または検査エージェント１５が検査エンジン４０と非通信状態のときに、エンジンの起動を抑止する指示を送信してもよい。
【０１４３】
＜変形例４＞
変形例４は、実施形態をInformation of Things(IoT)に適用した場合を示す。例えば、管理サーバ３が管理する対象は、家屋やビル、インフラストラクチャ制御システム等であってもよい。なお、変形例４の場合、通信の方式は、有線通信であってもよい。
【０１４４】
家屋の場合、例えば、管理サーバ３と通信を行う第１の制御装置はホームゲートウェイであり、所定の情報を処理する第２の制御装置はエアコンディショナー等であってもよい。ビルの場合、第１の制御装置は制御室のコンピュータであり、第２の制御装置はエレベータ等であってもよい。
【０１４５】
水道やガス、電気等のインフラストラクチャのシステムの場合、第１の制御装置は、制御室のコンピュータであり、第２の制御装置は、バルブやスイッチ等であってもよい。管理サーバ３の対象は、可動物であってもよいし、固定物であってもよい。
【０１４６】
変形例４の場合、検査エンジン４０は、検査エージェント１５の異常を２つに分けて判定する。第１の制御装置が第２の制御装置から構成情報を収集することができなかった場合、検査エンジン４０は、検査エージェント１５の異常を判定する。
【０１４７】
この場合、第１の制御装置（Richとも称される）は、第２の制御装置（Thinとも称される）に構成情報の再送要求を行う。第１の制御装置が所定時間内に一部の第２の制御装置の情報を収集できなかった場合、第１の制御装置は、収集できなかった第２の制御装置の情報を検査エンジン４０に送信する。これにより、検査エンジン４０は、第１の制御装置が収集できなかった第２の制御装置に関する情報を認識することができる。
【０１４８】
第１の制御装置による管理サーバ３への送信情報の送信が失敗した場合、検査エンジン４０は検査エージェント１５の異常を判定する。このときの処理は、上述した実施形態と同様の処理になる。
【０１４９】
また、第１の制御装置と第２の制御装置との間で異常が生じた場合、検査エンジン４０は異常を検出する。この場合、第２の制御装置は、第１の制御装置に出力する情報に電子署名を付与する。そして、第１の制御装置は、電子署名が付与された情報を検証する。これにより、改竄等の検知を行うことが可能になる。
【０１５０】
＜制御装置のハードウェア構成の一例＞
次に、図１２を参照して、制御装置のハードウェア構成の一例を説明する。制御装置は、例えば、車載器４またはＥＣＵ６である。図１２の例に示すように、バス１００に対して、ＣＰＵ１１１とＲＡＭ１１２とＲＯＭ１１３と補助記憶装置１１４と媒体接続部１１５と入出力インタフェース１１６とセキュリティチップ１２とが接続されている。
【０１５１】
ＣＰＵ１１１は任意の処理回路である。ＣＰＵ１１１はＲＡＭ１１２に展開されたプログラムを実行する。実行されるプログラムとしては、情報処理プログラムを適用することができる。ＲＯＭ１１３はＲＡＭ１１２に展開されるプログラムを記憶する不揮発性の記憶装置である。
【０１５２】
補助記憶装置１１４は、種々の情報を記憶する記憶装置であり、例えばハードディスクドライブや半導体メモリ等を補助記憶装置１１４に適用することができる。媒体接続部１１５は、可搬型記録媒体１１８と接続可能に設けられている。
【０１５３】
可搬型記録媒体１１８としては、可搬型のメモリや光学式ディスク（例えば、Compact Disk(CD)やDigital Versatile Disk(DVD)等）を適用することができる。この可搬型記録媒体１１８に実施形態の処理を行うプログラムが記録されていてもよい。
【０１５４】
入出力インタフェース１１７は外部との入出力を制御するインタフェースである。例えば、入出力インタフェース１１７は、車内ネットワーク５と接続される。検査エージェント１５の第１の記憶部２４以外の各部は、ＣＰＵ１１１により実現されてもよい。第１の記憶部２４は、ＲＡＭ１１２または補助記憶装置１１４により実現されてもよい。
【０１５５】
ＲＡＭ１１２、ＲＯＭ１１３および補助記憶装置１１４は、何れもコンピュータ読み取り可能な有形の記憶媒体の一例である。これらの有形な記憶媒体は、信号搬送波のような一時的な媒体ではない。
【０１５６】
＜管理装置のハードウェア構成の一例＞
次に、図１３を参照して、管理装置のハードウェア構成の一例を説明する。図１３の例に示すように、バス１００に対して、ＣＰＵ２１１とＲＡＭ２１２とＲＯＭ２１３と補助記憶装置２１４と媒体接続部２１５と通信インタフェース２１６とが接続されている。
【０１５７】
ＣＰＵ２１１とＲＡＭ２１２とＲＯＭ２１３と補助記憶装置２１４と媒体接続部２１５とは上述した例と同様である。ＣＰＵ２１１が実行するプログラムは、例えば管理プログラムであってもよい。通信インタフェース２１６は、外部との通信を行う。通信部２８は、通信インタフェース２１６により実現されてもよい。
【０１５８】
ＲＡＭ２１２、ＲＯＭ２１３および補助記憶装置２１４は、何れもコンピュータ読み取り可能な有形の記憶媒体の一例である。これらの有形な記憶媒体は、信号搬送波のような一時的な媒体ではない。
【０１５９】
＜その他＞
本実施形態は、以上に述べた実施の形態に限定されるものではなく、本実施形態の要旨を逸脱しない範囲内で種々の構成または実施形態を取ることができる。
【０１６０】
以上の実施形態に関し、更に以下の付記を開示する。
（付記１）
１以上の制御装置と管理装置とが相互に通信を行い、前記管理装置が前記制御装置を管理する管理方法であって、
前記制御装置に関する情報と該情報の送信処理の実行に関する記録とを含む送信情報を所定タイミングで前記制御装置が前記管理装置に送信し、
前記管理装置が、前記送信情報を受信したことに応じて、前記制御装置に受領通知を返信し、
前記制御装置が前記送信処理を実行した後、前記管理装置から前記受領通知を受信しない場合、前記送信処理の実行に関する記録を前記制御装置が記憶部に記憶し、
前記制御装置から前記送信情報を受信していない期間と、前記制御装置から受信した前記記憶部の前記記録に含まれる前記送信処理の実行回数とに基づいて、前記制御装置が異常であるか否かを前記管理装置が判定する、
管理方法。
（付記２）
前記管理装置が前記期間に前記送信情報を正常に受信すべき回数と前記実行回数とが一致しないときに前記制御装置が異常であると前記管理装置が判定する、
付記１記載の管理方法。
（付記３）
前記送信処理を行った記録に対して、耐タンパ性を有するチップ内のソフトウェアにより電子署名が付与される、
付記１記載の管理方法。
（付記４）
前記管理装置が前記期間に前記送信情報を正常に受信すべき回数と前記実行回数とが一致し、前記電子署名の検証が成功したときに、前記制御装置が正常であると前記管理装置が判定する、
付記３記載の管理方法。
（付記５）
前記制御装置に関する情報は、所定の演算が行われて要約値に変換され、耐タンパ性を有するチップ内のソフトウェアにより前記要約値に電子署名が付与される、
付記３記載の管理方法。
（付記６）
前記制御装置は、前記管理装置と通信を行う第１の制御装置、または該第１の制御装置に接続され、所定の情報を処理する１以上の第２の制御装置であり、
前記第１の制御装置は、前記第２の制御装置に関する情報を纏めて前記管理装置に送信する、
付記１記載の管理方法。
（付記７）
前記送信情報は環境情報を含み、該環境情報に基づいて、前記制御装置が正常であるか否かを判定する、
付記４記載の管理方法。
（付記８）
前記チップ内のソフトウェアが前記制御装置を検査するソフトウェアの真正性を検証する、
付記３記載の管理方法。
（付記９）
前記制御装置が異常であると前記管理装置が判定した場合、前記制御装置の機能を停止する、
付記３記載の管理方法。
（付記１０）
１以上の制御装置を管理する管理装置により実行される管理方法であって、
前記制御装置に関する情報と該情報を前記管理装置に送信したことを示す送信処理の実行に関する記録とを含む送信情報を受信し、
前記制御装置から前記送信情報を受信していない期間と、受信した前記記録に含まれる前記送信処理の実行回数とに基づいて、前記制御装置が異常であるか否かを判定する、
管理方法。
（付記１１）
管理対象である制御装置に関する情報と該情報を送信したことを示す送信処理の実行に関する記録とを含む送信情報を受信し、
前記制御装置から前記送信情報を受信していない期間と、受信した前記記録に含まれる前記送信処理の実行回数とに基づいて、前記制御装置が異常であるか否かを判定する、
処理をコンピュータに実行させるための管理プログラム。
（付記１２）
１以上の制御装置を管理する管理装置であって、
前記制御装置に関する情報と該情報を前記管理装置に送信したことを示す送信処理の実行に関する記録とを含む送信情報を受信する通信部と、
前記制御装置から前記送信情報を受信していない期間と、受信した前記記録に含まれる前記送信処理の実行回数とに基づいて、前記制御装置が異常であるか否かを判定する判定部と、
を備える管理装置。
（付記１３）
１以上の制御装置と該制御装置を管理する管理装置とを含む管理システムであって、
前記制御装置は、
該制御装置に関する情報と該情報の送信処理の実行に関する記録とを含む送信情報を所定タイミングで前記管理装置に送信する制御を行う送信制御部と、
前記制御装置が前記送信処理を実行した後、前記管理装置から前記受領通知を受信しない場合、前記送信処理の実行に関する記録を記憶する記憶部と、
を備え、
前記管理装置は、
前記送信情報を受信したことに応じて、前記制御装置に受領通知を返信する制御を行う返信制御部と、
前記制御装置から前記送信情報を受信していない期間と、前記制御装置から受信した前記記憶部の前記記録に含まれる前記送信処理の実行回数とに基づいて、前記制御装置が異常であるか否かを判定する判定部と、
を備える管理システム。
（付記１４）
管理装置と相互に通信を行う制御装置の情報処理方法であって、
前記制御装置に関する情報と該情報を前記管理装置に送信したことを示す送信処理の実行に関する記録とを含む送信情報を所定タイミングで前記制御装置が前記管理装置に送信し、
前記制御装置が前記送信処理を実行した後、前記管理装置から前記送信情報を受信した通知を受信しない場合、前記送信処理の実行に関する記録を記憶部に記憶する、
情報処理方法。
（付記１５）
管理装置と相互に通信を行う制御装置の情報処理プログラムであって、
前記制御装置に関する情報と該情報を前記管理装置に送信したことを示す送信処理の実行に関する記録とを含む送信情報を所定タイミングで前記制御装置が前記管理装置に送信し、
前記制御装置が前記送信処理を実行した後、前記管理装置から前記送信情報を受信した通知を受信しない場合、前記送信処理の実行に関する記録を記憶部に記憶する、
処理をコンピュータに実行させるための情報処理プログラム。
（付記１６）
管理装置と相互に通信を行う制御装置の情報処理装置であって、
該制御装置に関する情報と該情報を前記管理装置に送信したことを示す送信処理の実行に関する記録とを含む送信情報を所定タイミングで前記管理装置に送信する制御を行う送信制御部と、
前記制御装置が前記送信処理を実行した後、前記管理装置から前記受領通知を受信しない場合、前記送信処理の実行に関する記録を記憶する記憶部と、
を備える情報処理装置。
【符号の説明】
【０１６１】
１    管理システム
２    自動車
３    管理サーバ
４    車載器
６    ＥＣＵ
１２    セキュリティチップ
１５    検査エージェント
２１    情報収集部
２２    第１のタイマ
２３    第２のタイマ
２４    第１の記憶部
２５    送信制御部
２６    環境情報取得部
２７    エンジン制御部
３１    要約値生成部
３２    電子署名付与部
４０    検査エンジン
４１    返信制御部
４２    電子署検証部
４３    比較部
４４    判定部
４５    第２の記憶部
４６    第３のタイマ
４７    カウンタ
４８    通信部
１１１、２１１  ＣＰＵ
１１２、２１２  ＲＡＭ
１１３、２１３  ＲＯＭ
【図１】
0006483461.tif 000002
【図２】
0006483461.tif 000003
【図３】
0006483461.tif 000004
【図４】
0006483461.tif 000005
【図５】
0006483461.tif 000006
【図６】
0006483461.tif 000007
【図７】
0006483461.tif 000008
【図８】
0006483461.tif 000009
【図９】
0006483461.tif 000010
【図１０】
0006483461.tif 000011
【図１１】
0006483461.tif 000012
【図１２】
0006483461.tif 000013
【図１３】
0006483461.tif 000014