(57)【要約】【課題】  プログラム配信装置から車載ゲートウェイ装置へ配信されるプログラムが車両ＥＣＵへの不正なアクセスを実行するのを未然に回避し、プログラムの信頼性を適切に確保する。【解決手段】  プログラム配信システム１において、プログラム配信装置３は、アクセス権識別子が付加されたプログラムを車載ゲートウェイ５装置へ配信し、車載ゲートウェイ装置５では、プログラム配信装置３から配信されたアクセス権識別子に基づいて車両ＥＣＵ６へのアクセス権を設定し、しかも、この際、両者の間でアクセス権識別子が付加されたプログラムに対して暗号演算を施して配信する。プログラムの車両ＥＣＵ６へのアクセスの許可または禁止をアクセス権識別子により設定でき、しかも、プログラムとアクセス権識別子とを第三者の悪意による偽造や改ざんから適切に保護できる。【選択図】  図１
2005244313.tif 000002
【特許請求の範囲】
【請求項１】
車両ＥＣＵへのアクセスを実行するプログラムを車載ゲートウェイ装置へ配信するプログラム配信装置と、
プログラム配信装置からプログラムが配信される車載ゲートウェイ装置とを備えてなるプログラム配信システムであって、
プログラム配信装置は、アクセス権識別子が付加されたプログラムに対して一の暗号鍵による暗号演算を施して電子署名を作成し、プログラム、アクセス権識別子、電子署名および一の暗号鍵と対をなす他の暗号鍵を車載ゲートウェイ装置へ配信し、
車載ゲートウェイ装置は、プログラム配信装置からプログラム、アクセス権識別子、電子署名および他の暗号鍵が配信されると、アクセス権識別子が付加されたプログラムに対して他の暗号鍵による暗号演算を施して電子署名を作成し、プログラム配信装置により一の暗号鍵による暗号演算が施されて作成された電子署名と自身により他の暗号鍵による暗号演算が施されて作成された電子署名とを比較して電子署名の正当性を判定し、電子署名が正当である旨を検出した場合に、アクセス権識別子に基づいて車両ＥＣＵへのアクセス権を設定し、アクセス権が設定された車両ＥＣＵへのアクセスを許可すると共にアクセス権が設定されなかった車両ＥＣＵへのアクセスを禁止することを特徴とするプログラム配信システム。
【請求項２】
車両ＥＣＵへのアクセスを実行するプログラムを車載ゲートウェイ装置へ配信するプログラム配信装置と、
プログラム配信装置からプログラムが配信される車載ゲートウェイ装置と、
プログラム配信装置から車載ゲートウェイ装置へ配信されたプログラムを実行するプログラム実行装置とを備えてなるプログラム配信システムであって、
プログラム配信装置は、アクセス権識別子が付加されたプログラムに対して一の暗号鍵による暗号演算を施して電子署名を作成し、プログラム、アクセス権識別子、電子署名および一の暗号鍵と対をなす他の暗号鍵を車載ゲートウェイ装置へ配信し、
車載ゲートウェイ装置は、プログラム配信装置からプログラム、アクセス権識別子、電子署名および他の暗号鍵が配信されると、アクセス権識別子が付加されたプログラムに対して他の暗号鍵による暗号演算を施して電子署名を作成し、プログラム配信装置により一の暗号鍵による暗号演算が施されて作成された電子署名と自身により他の暗号鍵による暗号演算が施されて作成された電子署名とを比較して電子署名の正当性を判定し、
プログラム実行装置は、車載ゲートウェイ装置により電子署名が正当である旨が検出された場合に、アクセス権識別子に基づいて車両ＥＣＵへのアクセス権を設定し、アクセス権が設定された車両ＥＣＵへのアクセスを許可すると共にアクセス権が設定されなかった車両ＥＣＵへのアクセスを禁止することを特徴とするプログラム配信システム。
【請求項３】
請求項１または２に記載したプログラム配信システムにおいて、
暗号鍵を管理する認証局を備え、
認証局は、一の暗号鍵と他の暗号鍵とをプログラム配信装置へ送信すると共に他の暗号鍵を車載ゲートウェイ装置へ送信し、
プログラム配信装置は、アクセス権識別子が付加されたプログラムに対して認証局から送信された一の暗号鍵による暗号演算を施して電子署名を作成し、プログラム、アクセス権識別子、電子署名および認証局から送信された他の暗号鍵を車載ゲートウェイ装置へ配信し、
車載ゲートウェイ装置は、プログラム配信装置からプログラム、アクセス権識別子、電子署名および他の暗号鍵が配信されると、プログラム配信装置から配信された他の暗号鍵と認証局から送信された他の暗号鍵とを比較して他の暗号鍵の正当性を判定し、他の暗号鍵が正当である旨を検出した場合に、アクセス権識別子が付加されたプログラムに対して他の暗号鍵による暗号演算を施して電子署名を作成することを特徴とするプログラム配信システム。
【請求項４】
アクセス権識別子が付加された車両ＥＣＵへのアクセスを実行するプログラムに対して一の暗号鍵による暗号演算を施して電子署名を作成し、プログラム、アクセス権識別子、電子署名および一の暗号鍵と対をなす他の暗号鍵を車載ゲートウェイ装置へ配信するプログラム配信装置と共にプログラム配信システム内で用いられる車載ゲートウェイ装置であって、
プログラム配信装置からプログラム、アクセス権識別子、電子署名および他の暗号鍵が配信されると、アクセス権識別子が付加されたプログラムに対して他の暗号鍵による暗号演算を施して電子署名を作成し、プログラム配信装置により一の暗号鍵による暗号演算が施されて作成された電子署名と自身により他の暗号鍵による暗号演算が施されて生成された電子署名とを比較して電子署名の正当性を判定し、電子署名が正当である旨を検出した場合に、アクセス権識別子に基づいて車両ＥＣＵへのアクセス権を設定することを特徴とする車載ゲートウェイ装置。
【請求項５】
アクセス権識別子が付加された車両ＥＣＵへのアクセスを実行するプログラムに対して一の暗号鍵による暗号演算を施して電子署名を作成し、プログラム、アクセス権識別子、電子署名および一の暗号鍵と対をなす他の暗号鍵を車載ゲートウェイ装置へ配信するプログラム配信装置と、プログラム配信装置から車載ゲートウェイ装置へ配信されたプログラムを実行するプログラム実行装置と共にプログラム配信システム内で用いられる車載ゲートウェイ装置であって、
プログラム配信装置からプログラム、アクセス権識別子、電子署名および他の暗号鍵が配信されると、アクセス権識別子が付加されたプログラムに対して他の暗号鍵による暗号演算を施して電子署名を作成し、プログラム配信装置により一の暗号鍵による暗号演算が施されて作成された電子署名と自身により他の暗号鍵による暗号演算が施されて作成された電子署名とを比較して電子署名の正当性を判定することを特徴とする車載ゲートウェイ装置。
【請求項６】
請求項４または５に記載した車載ゲートウェイ装置において、
暗号鍵を管理する認証局と共にプログラム配信システム内で用いられ、プログラム配信装置からプログラム、アクセス権識別子、電子署名および他の暗号鍵が配信されると、プログラム配信装置から配信された他の暗号鍵と認証局から送信された他の暗号鍵とを比較して他の暗号鍵の正当性を判定し、他の暗号鍵が正当である旨を検出した場合に、アクセス権識別子が付加されたプログラムに対して他の暗号鍵による暗号演算を施して電子署名を作成することを特徴とする車載ゲートウェイ装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車両ＥＣＵへのアクセスを実行するプログラムを車載ゲートウェイ装置へ配信するプログラム配信装置と、プログラム配信装置からプログラムが配信される車載ゲートウェイ装置とを備えてなるプログラム配信システム、前記プログラム配信システム内で用いられる車載ゲートウェイ装置に関する。
【発明の開示】
【発明が解決しようとする課題】
【０００２】
プログラム配信装置が特定のプログラムをゲートウェイ装置へ配信する仕組みとして、ＯＳＧｉ（オープン・サービス・ゲートウェイ・イニシアティブ）フレームワークがある。ところで、プログラム配信装置が車両ＥＣＵへのアクセスを実行するプログラムを車載ゲートウェイ装置へ配信するものでは、そのプログラムが配信される途中で第三者の悪意により偽造されたり改ざんされたりすると、車両ＥＣＵに対して不正なアクセスが行われてしまう虞があり、そうなると、場合によっては車両の走行に多大な支障が生じるという問題がある。
【０００３】
このような問題を解決するものとして、プログラム配信装置が信頼のおけるプログラム開発者により開発・検証されたプログラムのみしか車載ゲートウェイ装置へ配信しない方法が考えられるが、これでは、プログラム開発者が制限されてしまうため、配信されるプログラムが制限されてしまうという問題がある。一方、車両ＥＣＵへのアクセスを禁止するセキュリティが確保された環境を用意し、そのセキュリティが確保された環境のみでしかプログラムを実行させない方法も考えられるが、これでは、車両ＥＣＵへのアクセスを実行することができないという問題がある。
【０００４】
本発明は、上記した事情に鑑みてなされたものであり、その目的は、プログラム配信装置から車載ゲートウェイ装置へ配信されるプログラムが車両ＥＣＵへの不正なアクセスを実行してしまうのを未然に回避することができ、それによって、プログラムの信頼性を適切に確保することができるプログラム配信システムおよび車載ゲートウェイ装置を提供することにある。
【課題を解決するための手段】
【０００５】
請求項１に記載した発明によれば、プログラム配信装置は、アクセス権識別子が付加されたプログラムに対して一の暗号鍵による暗号演算を施して電子署名を作成し、プログラム、アクセス権識別子、電子署名および一の暗号鍵と対をなす他の暗号鍵を車載ゲートウェイ装置へ配信する。一方、車載ゲートウェイ装置は、プログラム配信装置からプログラム、アクセス権識別子、電子署名および他の暗号鍵が配信されると、アクセス権識別子が付加されたプログラムに対して他の暗号鍵による暗号演算を施して電子署名を作成し、プログラム配信装置により一の暗号鍵による暗号演算が施されて作成された電子署名と自身により他の暗号鍵による暗号演算が施されて作成された電子署名とを比較して電子署名の正当性を判定し、電子署名が正当である旨を検出すると、アクセス権識別子に基づいて車両ＥＣＵへのアクセス権を設定し、アクセス権が設定された車両ＥＣＵへのアクセスを許可すると共にアクセス権が設定されなかった車両ＥＣＵへのアクセスを禁止する。
【０００６】
すなわち、本発明によれば、プログラム配信装置では、アクセス権識別子が付加されたプログラムを車載ゲートウェイ装置へ配信し、一方、車載ゲートウェイ装置では、プログラム配信装置から配信されたアクセス権識別子に基づいて車両ＥＣＵへのアクセス権を設定するように構成したので、プログラムの車両ＥＣＵへのアクセスの許可または禁止をアクセス権識別子により設定することができる。しかも、この際、両者の間でアクセス権識別子が付加されたプログラムに対して暗号演算を施して配信するように構成したので、プログラムとアクセス権識別子とを第三者の悪意による偽造や改ざんから適切に保護することができる。これにより、プログラム配信装置から車載ゲートウェイ装置へ配信されるプログラムが車両ＥＣＵへの不正なアクセスを実行してしまうのを未然に回避することができ、それによって、プログラムの信頼性を適切に確保することができる。
【０００７】
請求項２に記載した発明によれば、プログラム配信装置は、アクセス権識別子が付加されたプログラムに対して一の暗号鍵による暗号演算を施して電子署名を作成し、プログラム、アクセス権識別子、電子署名および一の暗号鍵と対をなす他の暗号鍵を車載ゲートウェイ装置へ配信する。一方、車載ゲートウェイ装置は、プログラム配信装置からプログラム、アクセス権識別子、電子署名および他の暗号鍵が配信されると、アクセス権識別子が付加されたプログラムに対して他の暗号鍵による暗号演算を施して電子署名を作成し、プログラム配信装置により一の暗号鍵による暗号演算が施されて作成された電子署名と自身により他の暗号鍵による暗号演算が施されて作成された電子署名とを比較して電子署名の正当性を判定する。そして、プログラム実行装置は、車載ゲートウェイ装置により電子署名が正当である旨が検出されると、アクセス権識別子に基づいて車両ＥＣＵへのアクセス権を設定し、アクセス権が設定された車両ＥＣＵへのアクセスを許可すると共にアクセス権が設定されなかった車両ＥＣＵへのアクセスを禁止する。
【０００８】
すなわち、本発明によれば、プログラム配信装置では、アクセス権識別子が付加されたプログラムを車載ゲートウェイ装置へ配信し、一方、プログラム実行装置では、プログラム配信装置から車載ゲートウェイ装置へ配信されたアクセス権識別子に基づいて車両ＥＣＵへのアクセス権を設定するように構成したので、上記した請求項１に記載したものと同様にして、プログラムの車両ＥＣＵへのアクセスの許可または禁止をアクセス権識別子により設定することができる。しかも、この際、両者の間でアクセス権識別子が付加されたプログラムに対して暗号演算を施して配信するように構成したので、プログラムとアクセス権識別子とを第三者の悪意による偽造や改ざんから適切に保護することができる。これにより、プログラム配信装置から車載ゲートウェイ装置へ配信されるプログラムが車両ＥＣＵへの不正なアクセスを実行してしまうのを未然に回避することができ、それによって、プログラムの信頼性を適切に確保することができる。
【０００９】
請求項３に記載したプログラム配信システムによれば、認証局は、一の暗号鍵と他の暗号鍵とをプログラム配信装置へ送信すると共に他の暗号鍵を車載ゲートウェイ装置へ送信する。プログラム配信装置は、アクセス権識別子が付加されたプログラムに対して認証局から送信された一の暗号鍵による暗号演算を施して電子署名を作成し、プログラム、アクセス権識別子、電子署名および認証局から送信された他の暗号鍵を車載ゲートウェイ装置へ配信する。一方、車載ゲートウェイ装置は、プログラム配信装置からプログラム、アクセス権識別子、電子署名および他の暗号鍵が配信されると、プログラム配信装置から配信された他の暗号鍵と認証局から送信された他の暗号鍵とを比較して他の暗号鍵の正当性を判定し、他の暗号鍵が正当である旨を検出すると、アクセス権識別子が付加されたプログラムに対して他の暗号鍵による暗号演算を施して電子署名を作成する。
【００１０】
すなわち、本発明によれば、認証局から送信された暗号鍵を用いて、両者の間でアクセス権識別子が付加されたプログラムに対して暗号演算を施して配信するように構成したので、暗号演算に用いられる暗号鍵をも第三者の悪意による偽造や改ざんから保護することができ、プログラムとアクセス権識別子とを第三者の悪意による偽造や改ざんからより適切に保護することができる。そして、このようにプログラム配信装置が用いる暗号鍵をプログラム配信装置とは異なる認証局が管理することにより、システム全体の中でプログラム配信装置と認証局とをｎ（ｎは自然数）対１の関係に拡張することができる利点もある。
【発明を実施するための最良の形態】
【００１１】
以下、本発明の一実施形態について、図面を参照して説明する。尚、ここでいうプログラムは、車両ＥＣＵへのアクセスを実行するプログラムである。図１は、プログラム配信システムの全体構成を概略的に示している。プログラム配信システム１は、プログラム開発装置２、プログラム配信装置３、認証局４および車載ゲートウェイ装置５を備えて構成されている。
【００１２】
プログラム開発装置２は、プログラム開発者（個人や法人）が主にプログラムを開発することを目的として取扱う装置であり、プログラムを開発するための開発環境やプログラムを通信するための通信機能を有するパーソナルコンピュータやサーバなどから構成されている。
【００１３】
プログラム配信装置３は、プログラム配信者（個人や法人）が主にプログラム開発者により開発されたプログラムを車載ゲートウェイ装置５へ配信すること目的として取扱う装置であり、プログラムを配信するための配信機能を有するサーバなどから構成されている。尚、プログラム開発者とプログラム配信者との関係の一例としては、プログラム配信者は、ある特定のアプリケーションサービスを公衆へ提供する側であり、プログラム開発者は、その特定のアプリケーションサービスを公衆へ提供するために必要なアプリケーションプログラムを開発する側である。
【００１４】
認証局４は、プログラム開発者やプログラム配信者とは異なった団体により管理・運営されるもので、暗号鍵（公開鍵や秘密鍵）を一元的に管理するように構成されている。本実施形態では、認証局４は、一対の公開鍵と秘密鍵とが格納されている証明書をプログラム配信装置３へ送信すると共に公開鍵を車載ゲートウェイ装置５へ送信する。つまり、秘密鍵が本発明でいう一の暗号鍵であり、公開鍵が本発明でいう他の暗号鍵である。
【００１５】
車載ゲートウェイ装置５は、車両に搭載されるもので、プログラム配信装置３からプログラムおよびアクセス識別子が配信されると、アクセス権識別子に基づいて車両ＥＣＵ６へのアクセス権を設定し、アクセス権が設定された車両ＥＣＵ６へのアクセスを許可すると共にアクセス権が設定されなかった車両ＥＣＵ６へのアクセスを禁止するように構成されている。尚、ここでいう車両ＥＣＵ６は、例えばナビゲーションＥＣＵ（ナビＥＣＵ）７、ドアＥＣＵ８、エンジンＥＣＵ９、エアコンＥＣＵ１０およびメータＥＣＵ１１などである。
【００１６】
次に、上記した構成の作用について、図２および図３を参照して説明する。図２は、プログラム開装置２、プログラム配信装置３、認証局４および車載ゲートウェイ装置５の間のデータ（プログラム、アクセス権識別子、電子署名および公開鍵・秘密鍵）の流れを概略的に示している。尚、ここでは、システム全体の中で、プログラム開発者は、信頼のおける開発者であり、プログラム開発者により開発されたプログラムは、高度な品質管理の下で開発された十分に信頼のおけるプログラムであることを前提とする。また、ここでは、プログラム配信装置３には、予め認証局４から一対の公開鍵と秘密鍵とが格納されている証明書が送信されており、車載ゲートウェイ装置５には、予め認証局４から公開鍵が送信されていることを前提とする。
【００１７】
プログラム開発装置２は、プログラムを開発し（ステップＳ１）、その開発されたプログラムに対応するアクセス権識別子を作成すると（ステップＳ２）、プログラムに対してアクセス権識別子を付加し、アクセス権識別子が付加されたプログラムをプログラム配信装置３へ送信する。
【００１８】
プログラム配信装置３は、プログラム開発装置２からアクセス権識別子が付加されたプログラムが送信されると、予め認証局４から送信された証明書の秘密鍵を用いて、プログラム開発装置２から送信されたプログラムおよびアクセス権識別子に対して秘密鍵による暗号演算を施して電子署名を作成する（ステップＳ３）。そして、プログラム配信装置３は、プログラム、アクセス権識別子、電子署名および予め認証局４から送信された証明書の公開鍵を車載ゲートウェイ装置５へ配信する。
【００１９】
車載ゲートウェイ装置５は、プログラム配信装置３からプログラム、アクセス権識別子、電子署名および証明書の公開鍵が配信されると、予め認証局４から送信された公開鍵を用いて、プログラム配信装置３から配信された公開鍵と認証局４から送信された公開鍵とを比較して証明書（公開鍵）の正当性を判定する（ステップＳ４）。そして、車載ゲートウェイ装置５は、両者が一致し、公開鍵が正当である旨を検出すると、その正当な公開鍵を用いて、プログラム配信装置３から配信されたプログラムおよびアクセス権識別子に対して公開鍵による暗号演算を施して電子署名を作成する（ステップＳ５）。
【００２０】
次いで、車載ゲートウェイ装置５は、プログラム配信装置３により秘密鍵による暗号演算が施されて作成された電子署名と自身により公開鍵による暗号演算が施されて作成された電子署名とを比較して電子署名の正当性を判定する（ステップＳ６）。次いで、車載ゲートウェイ装置５は、両者が一致し、電子署名が正当である旨を検出すると、プログラムおよびアクセス権識別子の安全性を確認する（ステップＳ７）。そして、車載ゲートウェイ装置５は、車両ＥＣＵ６へのアクセス権を設定し（ステップＳ８）、これ以後、アクセス権が設定された車両ＥＣＵへのアクセスを許可すると共にアクセス権が設定されなかった車両ＥＣＵへのアクセスを禁止する。
【００２１】
尚、車載ゲートウェイ装置５は、これ以後、アクセス権が設定されなかった車両ＥＣＵ６へのアクセスをプログラムが実行しようとした場合には、そのアクセスを停止したり、必要に応じてプログラム自体の実行を停止したりする。また、車載ゲートウェイ装置５は、その旨をセンターに通知したり、ユーザに対して警告したりする。
【００２２】
ところで、以上は、プログラム配信装置３とは異なる認証局４を利用することにより、プログラム配信装置３が認証局４から送信された秘密鍵を用いて暗号演算を行うと共に、
車載ゲートウェイ装置５が認証局４から送信された公開鍵を用いて公開鍵の正当性を判定する場合を説明したが、これは、以下の理由によるものである。すなわち、車載ゲートウェイ装置５から見た場合に、プログラム配信装置３が十分に信頼のおけるものであれば、暗号演算の手順をプログラム配信装置３に全て委ねたとしても何ら不具合が発生することは無いものであるが、プログラム配信装置３が十分に信頼のおけるものでなければ、暗号演算の手順をプログラム配信装置３に全て委ねてしまうと、仮に公開鍵が途中で偽造されたり改ざんされたりしまった場合に救済することが困難になるからである。
【００２３】
したがって、本実施形態では、信頼のおける（少なくともプログラム配信装置３よりは信頼度が高い）認証局４から提供される公開鍵・秘密鍵を用いることにより、上記したような不具合が発生することを未然に回避することができる。つまり、認証局４から提供される公開鍵・秘密鍵を用いるか否かは、車載ゲートウェイ装置５からプログラム配信装置３を見た場合の信頼度の程度や、システムの中で要求されるセキュリティの程度などを考慮して決定されても良い。
【００２４】
尚、以上は、プログラム開発装置２において、プログラムを開発した後にアクセス権識別子を作成する場合を説明しているが、アクセス権識別子を作成した後にプログラムを開発しても良い。また、以上は、プログラム開発装置２において、プログラムに対してアクセス識別子を付加し、アクセス権識別子が付加されたプログラムをプログラム配信装置３へ送信する場合を説明しているが、プログラム開発装置２において、プログラムとアクセス権識別子とを別々にプログラム配信装置３へ送信し、プログラム配信装置３において、プログラム開発装置２から別々へ送信されたプログラムに対してアクセス権識別子を付加しても良い。
【００２５】
さて、図３は、プログラム配信装置３および車載ゲートウェイ装置５の構成を概略的に示している。プログラム配信装置３は、アプリケーションサービスプロバイダにより管理されるアプリケーションサーバ１２ａ〜１２ｃからプログラムが送信されると、そのプログラムに対して暗号演算を施してプログラム管理データベースにデータベース化して管理する。この場合、アプリケーションサーバ１２ａ〜１２ｃは、その機能がプログラム配信装置３に組込まれて構成されていても良いし、その機能がプログラム配信装置３とは別体に構成されていても良い。また、アプリケーションサーバ１２ａ〜１２ｃは、車載ゲートウェイ装置５から例えばダイアグ情報などが取込まれたプログラムを開発する構成であっても良い。
【００２６】
車載ゲートウェイ装置５は、プログラム配信装置３からプログラムおよびアクセス権識別子が配信されると、プログラムに対して付加されているアクセス権識別子をサービスゲートウェイ機能における暗号演算モジュールにより暗号演算し、プログラムおよびアクセス権識別子の安全性を確認すると、サービスゲートウェイ機能におけるアクセス権管理モジュールによりアクセス権を管理する。尚、プログラム配信装置３から配信されたプログラムは、ナビゲーションプログラムやブラウザと共にナビゲーション装置のＯＳ（オペレーティング・システム）上で実行される。
【００２７】
以上に説明したように本実施形態によれば、プログラム配信システム１において、プログラム配信装置３では、アクセス権識別子が付加されたプログラムを車載ゲートウェイ５装置へ配信し、一方、車載ゲートウェイ装置５では、プログラム配信装置３から配信されたアクセス権識別子に基づいて車両ＥＣＵ６へのアクセス権を設定するように構成したので、プログラムの車両ＥＣＵ６へのアクセスの許可または禁止をアクセス権識別子により設定することができ、しかも、この際、両者の間でアクセス権識別子が付加されたプログラムに対して暗号演算を施して配信するように構成したので、プログラムとアクセス権識別子とを第三者の悪意による偽造や改ざんから適切に保護することができる。これにより、プログラム配信装置３から車載ゲートウェイ装置５へ配信されるプログラムが車両ＥＣＵへの不正なアクセスを実行してしまうのを未然に回避することができ、それによって、プログラムの信頼性を適切に確保することができる。
【００２８】
また、この場合、認証局４から送信された暗号鍵を用いて、両者の間でアクセス権識別子が付加されたプログラムに対して暗号演算を施して配信するように構成したので、暗号演算に用いられる公開鍵をも第三者の悪意による偽造や改ざんから保護することができ、プログラムとアクセス権識別子とを第三者の悪意による偽造や改ざんからより適切に保護することができる。そして、このようにプログラム配信装置３が用いる公開鍵・秘密鍵をプログラム配信装置３とは異なる認証局４が管理することにより、システム全体の中でプログラム配信装置３と認証局４とをｎ（ｎは自然数）対１の関係に拡張することができる利点もある。
【００２９】
本発明は、上記した実施形態にのみ限定されるものではなく、以下のように変形または拡張することができる。
車載ゲートウェイ装置に対して他のＥＣＵが接続されている構成であっても良い。
プログラム配信装置から配信されたプログラムを車載ゲートウェイ装置が実行する構成に限らず、車載ゲートウェイ装置とは別体にプログラム実行装置が設けられることにより、プログラム配信装置から車載ゲートウェイ装置へ配信されたプログラムをプログラム実行装置が実行する構成であっても良い。
【００３０】
暗号化・復号化に一対の公開鍵と秘密鍵とを用いる公開鍵暗号方式が採用される構成に限らず、暗号化・復号化に同一の秘密鍵を用いる秘密鍵暗号方式が採用される構成であっても良い。
【図面の簡単な説明】
【００３１】
【図１】本発明の一実施形態の全体構成を概略的に示す図
【図２】シーケンス図
【図３】プログラム配信装置および車載ゲートウェイ装置の構成を概略的に示す図
【符号の説明】
【００３２】
図面中、１はプログラム配信システム、２はプログラム開発装置、３はプログラム配信装置、４は認証局、５は車載ゲートウェイ装置、６は車両ＥＣＵである。
【図１】
2005244313.tif 000003
【図２】
2005244313.tif 000004
【図３】
2005244313.tif 000005