(57)【特許請求の範囲】
【請求項１】
車両の制御イベント・データを認証および機密化する装置であって：
Ａ）制御イベント情報を受信すべく結合され、第１タイム・スタンプおよび車両識別番号ＶＩＮを前記制御イベント情報に添付して第１情報を与え、前記第１情報をタイム・オーバラップ方式でメモリ（１０６）に送出するマイクロコントローラ（１０４）；
Ｂ）前記マイクロコントローラ（１０４）およびマイクロプロセッサ（１０８）に結合され、第１情報および第２情報をタイム・オーバラップ方式で格納する前記メモリ（１０６）；および
Ｃ）前記メモリ（１０６）および複数のトランスデューサ（１１０）に結合され、受信した衝突データが以前の衝突データとは異なるかどうかを判定し、受信した衝突データが異なる場合に、第２タイム・スタンプおよびＶＩＮを前記受信した衝突データに追加して、第２情報を形成する前記マイクロプロセッサ（１０８）；
によって構成されることを特徴とする装置。
【請求項２】
前記装置は、前記マイクロプロセッサ（１０８）に結合され、前記第１情報および前記第２情報を変更不可能な形式でロックするための信号を前記メモリ（１０６）に送出するオートロック・ユニット（１１２）をさらに含んで構成されることを特徴とする請求項１記載の装置。
【請求項３】
前記装置は、前記第１情報および前記第２情報を変更不可能な形式でロックするための信号を前記メモリ（１０６）に送出するマニュアル・ロック（１１４）をさらに含んで構成されることを特徴とする請求項１記載の装置。
【請求項４】
車両の制御イベント・データを認証および機密化する方法であって：
Ａ）制御イベント情報およびデータをマイクロコントローラに送出する段階（２０４）；
Ｂ）前記マイクロコントローラによって、第１タイム・スタンプおよび車両識別番号を前記制御イベント情報およびデータに添付して第１情報を与え、前記第１情報をメモリに送出する段階（２０６）；
Ｃ）前記第１情報を前記メモリ内のリストにタイム・オーバラップ方式で格納する段階（２０８）；
Ｄ）所定の時間が経過したかどうかを判定し（２１０）、前記所定の時間が未経過である場合（２１０：ＮＯ）、前記車両への衝撃が検出されたかどうかを判定する段階（２１６）；
Ｅ）前記車両への衝撃が検出されない場合（２１６：ＮＯ）、段階Ａに戻る段階；
Ｆ）前記所定の時間が経過した場合（２１０：ＹＥＳ）、新たなリストをオーバラップ方式で開始するための命令を前記メモリに送出する段階（２１２）；
Ｇ）前記リストを終了すべきかどうかを判定する段階（２１４）；
Ｈ）前記リストを終了しない場合（２１４：ＮＯ）、段階Ａに戻る段階（２１７）；および
Ｉ）前記リストを終了すべき場合（２１４：ＹＥＳ）、前記リストを終了する段階（２１５）；によって構成されることを特徴とする方法。
【請求項５】
車両において衝突データおよび制御イベント情報を認証する方法であって：
トランスデューサの衝突時に：
Ａ）衝突データをマイクロプロセッサに送出する段階（２１８）；
Ｂ）衝突データが変化したかどうかを判定し、衝突データが変化しない場合に、終了し、また衝突データが変化した場合に、タイム・スタンプおよび車両識別番号を前記衝突データに追加して第２情報を形成し、前記第２情報をメモリに格納する段階（２２０）；
Ｃ）制御イベントおよびデータに関する第１情報を取得し、前記第２情報と比較する段階（２２４）；
Ｄ）前記第１情報および前記第２情報が同期されているかどうかを判定する段階（２２６）；
Ｅ）前記第１情報および前記第２情報が同期されていない場合に、不正データ／操作を報告する段階（２２８）；および
Ｆ）前記第１情報および前記第２情報が同期している場合に、前記第１情報および前記第２情報をメモリに格納する段階（２３０）；
によって構成されることを特徴とする方法。
【発明の詳細な説明】
【０００１】
【産業上の利用分野】
本発明は、車両制御イベント(vehicle control event) に関し、さらに詳しくは、車両制御イベントを記録することに関する。
【０００２】
【従来の技術】
航空機の場合、機体制御イベントは、事故発生時に一般にアクセスされ、事故の原因を判明するために用いられる「ブラック・ボックス(black box) 」に記録・格納される。この「ブラック・ボックス」は、音声イベントを録音する航空機コックピット・ボイス・データ・レコーダである。この種の記録装置は、操縦者のエラーまたは機械的不良が事故の原因であるのかを判定するのに極めて有用であることが実証されている。
【０００３】
【発明が解決しようとする課題】
しかし、自動車の場合、事故請求を分析・評価するための正当な制御イベント・レコーダはまだ開発されていない。車両同士が衝突したり、あるいは単体で事故に会うと、事故の発生前、発生中または発生後に運転者によって実行された一連の制御イベントを判定するための方法は今のところない。一般に、警察は事故報告書を要求するが、このような報告書は事故にかかわった運転者や、事故の目撃者の記憶に依存するのが一般的である。警察の調査の他に、事故車にかかわる保険会社も運転者および事故目撃者を面接することがある。事故責任運転者の事実に基づく割り出しは警察または保険会社によって判明しないことが多い。
【０００４】
従って、車両の制御イベント・データを認証(authenticating)および機密化(securing)する方法および装置が必要とされる。
【０００５】
【実施例】
本発明は、どの運転者が原因か、あるいは車両の電子機械的システムの不良について判定を助けるために、警察または保険会社による事故原因を解析するために利用できる、車両のイベント・データを認証および機密化する装置および方法を提供する。また、本方法および装置は、偽りの保険請求が行われたかどうかを判定するためにも利用できる。本明細書で用いられる「イベント・データの認証」とは、マイクロコントローラ・データおよびマイクロプロセッサ・データ上のタイム・スタンプを比較することによって、本物のイベント・データが記録されていることを保証することであると定義される。本明細書で用いられる「イベント・データの機密化」とは、格納された認証済みイベント・データへのアクセスを特定の機関に制限することであると定義される。イベント・データの認証および機密化は、制御イベントの時間的経過について不正操作のない情報(tamper-proof information)を提供する。
【０００６】
本発明は、運転者によって起動されたすべての制御イベントと、外部要因(external agents) に関する複数のデータを記録する。外部要因に関するデータは、例えば、衝突時の車体の外面に対する衝突の力を含んでもよい。制御イベント・データは、一般にマイクロコントローラおよびマイクロプロセッサ（図１および図２参照）によってメモリ・デバイスに格納される。マイクロコントローラは、ハザード・ライト(hazard light)の点灯や、ギヤをリバースに入れるなどの制御イベントによって生成される所定の入力を記録し、マイクロプロセッサは、運転者の動作と、衝突に起因する力（例えば、バンパ，パネル，ドアへの衝突や、事故の際の衝突時のエアバックなどの起動）を測定するトランスデューサによって生成されるフィードバックとの間の関係の記録を保持する。データは先入れ先出し(first-in-first-out)方式で格納される。メモリの制限内でデータ格納を維持するために選択された所定の時間期間内に衝突が起こらなければ、以前の制御情報およびデータは単純に上書きされる。あるいは、メモリの初期化（すなわち、格納済みデータの削除）を正当なユーザが行ってもよい。正当なユーザ(authorized user) は、一般に保険会社などの一員である。衝突の場合、メモリ記録は、衝突の登録時に自動的にメモリ・デバイス内で機密化されるか、あるいはオプションが許せば、運転者によって手動で機密化される。
【０００７】
マイクロコントローラによって記録されるイベントは、マイクロコントローラによって「サイン」が付される、すなわち、記録されたイベントが特定の車両の運転中に生成されたことを保証するために、タイム・スタンプと所定の識別値とを含む。従って、データは、マイクロコントローラ・データが本物であるかどうかを判定するために、マイクロプロセッサがそれ自身によってサインが付されたデータと比較するための情報を与える。例えば、一つの所定の識別値は、運転される車両の車両識別番号（ＶＩＮ：vehicle identification number ）である。ＶＩＮは、車両を固有に識別するために、イベント情報とともに記録される。イベント情報は、衝突トランスデューサに関するデータと、制御イベント情報と、収集された他の所定のデータとを含む。また、車両は、認識機構(recognition mechanism) や、サイン付き期間中に誰が車両を運転していたかの判定を可能にする運転者プレファレンス機構(driver preference mechanism) をサポートしてもよい。マイクロプロセッサは、外部衝突センサに関連する自己のタイム・スタンプ機構を有する。イベント記録と、衝突検出タイム・スタンプとの組み合わせを利用して、イベントが事故の時間に記録されたことを確証できる。
【０００８】
次に、イベントの機密化レコードは自動車保険会社や警察などの機関に対して機密的にアクセス可能となる。これらの機関は、メモリ・デバイスを機密的にアクセスし、機密レコードを取り出して解釈することにより、データを解析できる。保険会社および警察のみしか機密レコードにアクセスできないので、事故請求は機密的に監視できる。警察は機密イベント・データを利用して、事故の原因を判定し、事故責任者を割り出すことができる。
【０００９】
メモリ・デバイスに格納される情報は、所定の量だけ重複するレコードを生成するために時間位相差を有する二重レコードを含む。このように、第１レコードが削除されつつあり、同時に事故が発生しても、位相はずれレコードの最初の部分は依然利用可能である。累積レコードは、無制限のメモリが必要になり、また衝突前のレコードの大部分は一般に役立たないので、一般にありえない。一実施例では、イベント・データは、暗号化およびパブリック・キー暗号を利用して、機密的にのみアクセスされる。アクセス機構は、スマート・カードを利用して行ってもよい。スマート・カードは、さらに遠隔処理するために車両から取り外し可能な、確証済みデータを格納するための機構として利用できる。スマート・カードは、アクセス側の正式機関にとって便利な標準化され、モジュール式の携帯／着脱可能な装置として機能する。スマート・カードは、正式機関のみが知る確証可能なキーであって、これらの正式機関についてパブリック・キーに対してマイクロプロセッサによって認証できる確証可能なキー(certifiable key) を収容する。
【００１０】
機密機構は、マイクロプロセッサ・タイム・クロックを所定の間隔でマイクロコントローラ・タイム・クロックから位相をずらして故意に設定することを含んでもよい。この位相外れ値は、マイクロプロセッサのシステム設定にのみ知らされる。
【００１１】
一実施例では、イベント・レコードは、機密方法を利用してイベント・データを送出することによって、セルラ電話または同様な無線装置を利用して遠隔地（例えば、保険会社および警察）に送信してもよい。無線周波装置が車両にある場合、マイクロプロセッサは正式機関のデータバンクを呼び出すようにプログラムでき、このデータバンクは正式機関に対してのみ知らされた確証可能なキーを与え、これは、選ばれた正式機関についてマイクロプロセッサによってパブリック・キーに対して認証できる。また、イベント・レコードの不正受信を防止するために、機密プロトコルを利用できる。
【００１２】
本発明の構成要素は、スマート・カード・リーダを介して読み取り可能なコンタクト式／コンタクトレス・スマートカード・モジュールとして具現してもよい。あるいは、これらの構成要素は自動車のエレクトロニクス内に具現してもよい。例えば、構成要素は一体型デバイス，すなわち、入出力およびメモリ構成要素の両方と一体化された単一集積回路におけるマイクロコントローラとマイクロプロセッサ・モジュールの組み合わせ、として具現できる。第３の代替例では、車両内の既設のマイクロエレクトロニクスの利用を可能にする機密メモリおよびソフトウェア・プログラムを利用する。ソフトウェアは、図２に示す方法に基づいて機能する。
【００１３】
参照番号１００である図１は、本発明により車両において制御イベント・データを認証および機密化するための装置のブロック図である。この装置は、Ａ）制御イベント情報を受信すべく結合され、第１タイム・スタンプおよび車両識別番号ＶＩＮを前記制御イベント情報に添付して第１情報を与え、前記第１情報をタイム・オーバラップ方式でメモリに送出するマイクロコントローラ；Ｂ）前記マイクロコントローラおよびマイクロプロセッサに結合され、第１情報および第２情報をタイム・オーバラップ方式で格納する前記メモリ；およびＣ）前記メモリおよび複数のトランスデューサに結合され、受信した衝突データが以前の衝突データとは異なるかどうかを判定し、受信した衝突データが異なる場合に、第２タイム・スタンプおよびＶＩＮを前記受信した衝突データに追加して、第２情報を形成する前記マイクロプロセッサを含む。
【００１４】
また、この装置は、第１情報および第２情報を変更不可能な形式でロックするための信号をメモリに送出するために、マイクロプロセッサに結合されたオートロック・ユニット、あるいは、第１情報および第２情報を変更不可能な形式でロックするための信号をメモリに送出するマニュアル・ロックを一般に含む。
【００１５】
参照番号２００である図２
は、本発明により車両において制御イベント・データを確実に格納するための方法の段階の一実施例のフローチャートである。本方法は、Ａ）制御イベント情報およびオプション・データをマイクロコントローラに送出する段階（２０４）；Ｂ）マイクロコントローラによって、第１タイム・スタンプおよび車両識別番号ＶＩＮを制御イベント情報およびオプション・データに添付して第１情報を与え、この第１情報をメモリに送出する段階（２０６）；Ｃ）タイム・オーバラップＴ’，Ｔ”方式で、第１情報をメモリ内のリストに格納する段階（２０８）；Ｄ）所定の時間が経過したかどうかを判定し、所定の時間が未経過の場合に（２１０：ＮＯ）、トランスデューサが衝突を検知したかどうかを判定する段階（２１６）；Ｅ）所定の時間が経過した場合に（２１０：ＹＥＳ）、オーバラップ方式で新たなリストを開始するための命令をメモリに送出し、Ｔ’リストを削除する段階（２１２）；Ｆ）リストを終了すべきかどうかを判定する段階（２１４）；Ｇ）リストを終了すべき場合に（２１４：ＹＥＳ）、リストを終了し、保持する段階（２１５）；Ｈ）リストを終了しない場合（２１４：ＮＯ）、段階Ａに戻る段階；およびＩ）トランスデューサが衝突を検知した場合に（２１６：ＹＥＳ）、衝突の時間Ｔi にて衝突データをマイクロプロセッサに送出する段階（２１８）；Ｊ）第２タイム・スタンプおよびＶＩＮを衝突データに追加して第２情報を形成し、この第２情報をメモリに格納する段階（２２０）；Ｋ）時間Ｔi にて第１情報および第２情報を保持する段階（２２２）；Ｌ）第１情報の第１タイム・スタンプと、第２情報の第２タイム・スタンプとを比較する段階（２２４）；第１情報が第２情報と所定の範囲内で実質的に同期しているかどうかを判定する段階（２２６）；Ｍ）第１情報が第２情報と非同期である場合に（２２６：ＮＯ）、不正データ操作(unauthorized data tampering) を報告する段階（２２８）；およびＮ）第１情報が第２情報と同期である場合に（２２６：ＹＥＳ）、別の時間にて正式アクセスのために、第１情報および第２情報の両方を格納する段階（２３０）を含む。
【００１６】
制御イベント情報は、運転者による動作の結果として生じる。制御イベント情報は、加速／減速情報，ブレーキ情報，ハザード・ライト開始，エア・バッグ展開，ターン信号開始，リバース・ギア実行，パーキング・ギア開始，ハンド・ブレーキ開始などを含んでもよい。ＶＩＮは、車両によってマイクロコントローラに送出されるオプション・データでもよい。あるいは、ＶＩＮ番号はマイクロコントローラ内にすでに常駐してもよい。他のオプション・データには、例えば、車両の運転者を識別するパーソナル識別番号を含んでもよい。
【００１７】
第１情報をタイム・オーバラップ方式でメモリ内のリストに格納することは、所定の時間だけ第１リストから位相がずれた別のリストを格納することを意味する。
【００１８】
第１タイム・スタンプと第２タイム・スタンプとの同期は、あらかじめ選択された同期差が不正な人物または装置に知られないような所定の値において、マイクロプロセッサ内のタイム・スタンプのプリセット値を利用することによって判定できる。
【００１９】
参照番号３００である図３
は、本発明により車両において制御イベント・データおよび衝突データを解釈する方法の段階の一実施例のフローチャートである。本方法は、Ａ）車両において、第２タイム・スタンプの格納済み衝突データと、第１タイム・スタンプの制御イベント情報およびデータに対するアクセスが認可されるかどうかを判定する段階（３０２）；Ｂ）アクセスが認可されない場合（３０２：ＮＯ）、アクセスを拒否する段階（３０４）；Ｃ）アクセスが認可された場合（３０２：ＹＥＳ）、第２タイム・スタンプの衝突データと、第１タイム・スタンプの制御イベント情報およびデータとを取得して、第２タイム・スタンプの衝突データおよび第１タイム・スタンプの制御イベント情報およびデータを解釈して、事故の解析を行う段階を含む。
【００２０】
参照番号４００である図４は、本発明によりメモリにおいて制御イベント情報およびオプション・データ・リストを生成・保持するためのタイム・ラインの概略図である。初期制御イベントの開始を示す時間Ｔ1 にて、リスト、すなわち、リスト１が開始される。所定の期間後、すなわち、時間Ｔ2 にて、第２リストが開始される。時間Ｔ3 にて、第３リストが開始され、この時間でリスト１は削除される。このプロセスは、図２に示すように制御イベント情報およびデータの生成が終了するまで繰り返される。所定の期間は、（Ｔ1 ，Ｔ2 ）＝（Ｔ2 ，Ｔ3 ）＝（Ｔ3 ，Ｔ4 ）＝．．．である。制御イベント情報およびデータの生成が終了すると、制御イベント情報およびデータは保持される。例えば、図４に示すように、トランスデューサが衝突を検知すると、時間はＴi である。リスト２における時間Ｔ2 とＴi との間のデータ（４０２）およびリスト３におけるＴ3 とＴi との間のデータは保持され、メモリの保存される。また、イグニッションをオフにすると、データは同じように保持され、格納される。
【００２１】
本発明は、本発明の精神および本質的な特徴から逸脱せずに、他の特定の形式でも具現できる。説明した実施例は、あらゆる点で例示的であり、制約的ではないとみなされる。従って、本発明の範囲は、上記の説明ではなく、特許請求の範囲によって示される。特許請求の範囲の同等の意味および範囲内のあらゆる変更は、その範囲内に内包されるものとする。
【図面の簡単な説明】
【図１】本発明により車両において制御イベント・データを認証および機密化する装置のブロック図である。
【図２】本発明により車両において制御イベント・データを確実に格納するための方法の段階の一実施例のフローチャートである。
【図３】本発明により車両において衝突データおよび制御イベント情報を認証するための方法の段階の一実施例のフローチャートである。
【図４】本発明により車両において制御イベント・データおよび衝突データを解釈するための方法の段階の一実施例のフローチャートである。
【符号の説明】
１００  装置
１０４  マイクロコントローラ
１０６  メモリ
１０８  マイクロプロセッサ
１１０  複数のトランスデューサ
１１２  オートロック・ユニット
１１４  マニュアル・ロック
【図１】
0004299386.tif 000002
【図２】
0004299386.tif 000003
【図３】
0004299386.tif 000004
【図４】
0004299386.tif 000005