Nothing Special   »   [go: up one dir, main page]

JP6683588B2 - 再利用システム、サーバ装置、再利用方法、及びコンピュータプログラム - Google Patents

再利用システム、サーバ装置、再利用方法、及びコンピュータプログラム Download PDF

Info

Publication number
JP6683588B2
JP6683588B2 JP2016219709A JP2016219709A JP6683588B2 JP 6683588 B2 JP6683588 B2 JP 6683588B2 JP 2016219709 A JP2016219709 A JP 2016219709A JP 2016219709 A JP2016219709 A JP 2016219709A JP 6683588 B2 JP6683588 B2 JP 6683588B2
Authority
JP
Japan
Prior art keywords
vehicle
key
data
computer
security device
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
JP2016219709A
Other languages
English (en)
Other versions
JP2018078484A (ja
Inventor
竹森　敬祐
敬祐 竹森
誠一郎 溝口
誠一郎 溝口
秀明 川端
秀明 川端
歩 窪田
歩 窪田
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
KDDI Corp
Original Assignee
KDDI Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by KDDI Corp filed Critical KDDI Corp
Priority to JP2016219709A priority Critical patent/JP6683588B2/ja
Priority to US16/315,891 priority patent/US11082228B2/en
Priority to CN201780042605.9A priority patent/CN109479000B/zh
Priority to EP17868999.8A priority patent/EP3541006B1/en
Priority to PCT/JP2017/027036 priority patent/WO2018087963A1/ja
Publication of JP2018078484A publication Critical patent/JP2018078484A/ja
Application granted granted Critical
Publication of JP6683588B2 publication Critical patent/JP6683588B2/ja
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3234—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving additional secure or trusted devices, e.g. TPM, smartcard, USB or software token
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/575—Secure boot
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0822—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using key encryption key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0866—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving user or device identifiers, e.g. serial number, physical or biometrical information, DNA, hand-signature or measurable physical characteristics
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H04L9/0897—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage involving additional devices, e.g. trusted platform module [TPM], smartcard or USB
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3242—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving keyed hash functions, e.g. message authentication codes [MACs], CBC-MAC or HMAC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/84—Vehicles

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Mechanical Engineering (AREA)
  • Power Engineering (AREA)
  • Lock And Its Accessories (AREA)
  • Storage Device Security (AREA)
  • Stored Programmes (AREA)

Description

本発明は、再利用システム、サーバ装置、再利用方法、及びコンピュータプログラムに関する。
従来、自動車は、ＥＣＵ（Electronic Control Unit：電子制御装置）を有し、ＥＣＵによってエンジン制御等の機能を実現する。ＥＣＵは、コンピュータの一種であり、コンピュータプログラムによって所望の機能を実現する。複数のＥＣＵをＣＡＮ（Controller Area Network）に接続して構成される車載制御システムについてのセキュリティ技術が例えば非特許文献１に記載されている。
竹森敬祐、"セキュアエレメントを基点とした車載制御システムの保護 −要素技術の整理と考察−"、電子情報通信学会、信学技報、vol. 114、no. 508、pp. 73-78、2015年3月 日本工業規格、ＪＩＳＤ４９０１、"車両識別番号（ＶＩＮ）" STMicroelectronics、"AN4240 Application note"、［平成２８年１０月５日検索］、インターネット＜ＵＲＬ：http://www.st.com/web/en/resource/technical/document/application_note/DM00075575.pdf＞
ある自動車に搭載されていた中古のＥＣＵを他の自動車で再利用する場合に、中古のＥＣＵが搭載される自動車の信頼性を向上させることが一つの課題であった。
本発明は、このような事情を考慮してなされたものであり、ＥＣＵ等の中古品が搭載される自動車の信頼性を向上させることができる、再利用システム、サーバ装置、再利用方法、及びコンピュータプログラムを提供することを課題とする。
本発明の一態様は、鍵生成装置と、第１車両から取り外されて第２車両に搭載される車載コンピュータと、前記第２車両に搭載されるデータ保安装置とを備え、前記鍵生成装置は、前記第２車両とデータを送受する車両インタフェースと、前記車載コンピュータの車載コンピュータ識別子と、前記第１車両と前記第２車両とに共通のマスタ鍵とを使用して、前記第１車両に搭載時から前記車載コンピュータに格納されている鍵と同じ第１鍵を生成する鍵生成部と、を備え、前記車両インタフェースにより前記第１鍵を前記第２車両に送信し、前記データ保安装置は、自データ保安装置の外部の装置とデータを送受する第１インタフェース部と、前記車載コンピュータに適用される第１データを、前記第１インタフェース部により前記鍵生成装置から受信した第１鍵により暗号化して暗号化第１データを生成する第１暗号処理部と、を備え、前記第１インタフェース部により前記暗号化第１データを前記車載コンピュータに送信し、前記車載コンピュータは、自車載コンピュータの外部の装置とデータを送受する第２インタフェース部と、前記第１車両に搭載時から第１鍵を格納する第２記憶部と、前記第２インタフェース部により前記データ保安装置から受信した暗号化第１データを、前記第２記憶部に格納されている第１鍵により復号する第２暗号処理部と、を備え、前記車載コンピュータは、第２鍵を前記第２記憶部にさらに格納し、前記第２記憶部に格納されている第２鍵を使用して、自車載コンピュータに適用しているデータの測定を行う測定部をさらに備え、前記鍵生成部は、前記車載コンピュータ識別子と前記マスタ鍵とを使用して、前記車載コンピュータに格納されている鍵と同じ第２鍵をさらに生成し、前記鍵生成装置は、前記鍵生成部が生成した第２鍵を使用して、前記測定の期待値を計算する期待値計算部をさらに備え、前記鍵生成装置は、前記車両インタフェースにより前記第２車両から受信した前記測定部の測定結果を、前記期待値により検証する検証部をさらに備える、再利用システムであって、前記鍵生成装置は、車両の外部に設けられ、中古の車載コンピュータの再利用に関する処理を実行するサーバ装置であり、前記サーバ装置は、中古の車載コンピュータに適用されているデータを記憶するデータ記憶部を備え、前記期待値計算部は、前記データ記憶部に記憶されるデータであって、前記第１車両から取り外されて前記第２車両に搭載される車載コンピュータが前記第２車両に搭載される時点で当該車載コンピュータに適用されているデータについての前記測定の期待値を計算する、再利用システムである。
本発明の一態様は、鍵生成装置と、第１車両から取り外されて第２車両に搭載される車載コンピュータと、前記第２車両に搭載されるデータ保安装置とを備え、前記鍵生成装置は、前記第２車両とデータを送受する車両インタフェースと、前記車載コンピュータの車載コンピュータ識別子と、前記第１車両と前記第２車両とに共通のマスタ鍵とを使用して、前記第１車両に搭載時から前記車載コンピュータに格納されている鍵と同じ第１鍵を生成する鍵生成部と、を備え、前記車両インタフェースにより前記第１鍵を前記第２車両に送信し、前記データ保安装置は、自データ保安装置の外部の装置とデータを送受する第１インタフェース部と、前記車載コンピュータに適用される第１データを、前記第１インタフェース部により前記鍵生成装置から受信した第１鍵により暗号化して暗号化第１データを生成する第１暗号処理部と、を備え、前記第１インタフェース部により前記暗号化第１データを前記車載コンピュータに送信し、前記車載コンピュータは、自車載コンピュータの外部の装置とデータを送受する第２インタフェース部と、前記第１車両に搭載時から第１鍵を格納する第２記憶部と、前記第２インタフェース部により前記データ保安装置から受信した暗号化第１データを、前記第２記憶部に格納されている第１鍵により復号する第２暗号処理部と、を備え、前記車載コンピュータは、第２鍵を前記第２記憶部にさらに格納し、前記第２記憶部に格納されている第２鍵を使用して、自車載コンピュータに適用しているデータの測定を行う測定部をさらに備え、前記鍵生成部は、前記車載コンピュータ識別子と前記マスタ鍵とを使用して、前記車載コンピュータに格納されている鍵と同じ第２鍵をさらに生成し、前記鍵生成装置は、前記鍵生成部が生成した第２鍵を使用して、前記測定の期待値を計算する期待値計算部をさらに備え、前記データ保安装置は、前記第１インタフェース部により前記車載コンピュータから受信した前記測定部の測定結果を、前記期待値により検証する検証部をさらに備える、再利用システムであり、前記鍵生成装置は、車両の外部に設けられ、中古の車載コンピュータの再利用に関する処理を実行するサーバ装置であって、前記サーバ装置は、中古の車載コンピュータに適用されているデータを記憶するデータ記憶部を備え、前記期待値計算部は、前記データ記憶部に記憶されるデータであって、前記第１車両から取り外されて前記第２車両に搭載される車載コンピュータが前記第２車両に搭載される時点で当該車載コンピュータに適用されているデータについての前記測定の期待値を計算する、再利用システムである。
本発明の一態様は、鍵生成装置と、第１車両から取り外されて第２車両に搭載されるデータ保安装置と、を備え、前記鍵生成装置は、前記第２車両とデータを送受する車両インタフェースと、前記データ保安装置の装置識別子と、前記第１車両と前記第２車両とに共通のマスタ鍵とを使用して、前記第１車両に搭載時から前記データ保安装置に格納されている鍵と同じ第３鍵を生成する鍵生成部と、前記第２車両に搭載される車載コンピュータの第４鍵を前記第３鍵により暗号化して暗号化第４鍵を生成する暗号処理部と、を備え、前記車両インタフェースにより前記暗号化第４鍵を前記第２車両に送信し、前記データ保安装置は、自データ保安装置の外部の装置とデータを送受する第１インタフェース部と、前記第１車両に搭載時から第３鍵を格納する第１記憶部と、前記第１インタフェース部により前記鍵生成装置から受信した暗号化第４鍵を、前記第１記憶部に格納されている第３鍵により復号する第１暗号処理部と、を備え、前記データ保安装置は、第２鍵を前記第１記憶部にさらに格納し、前記第１記憶部に格納されている第２鍵を使用して、自データ保安装置に適用しているデータの測定を行う測定部をさらに備え、前記鍵生成部は、前記装置識別子と前記マスタ鍵とを使用して、前記データ保安装置に格納されている鍵と同じ第２鍵をさらに生成し、前記鍵生成装置は、前記鍵生成部が生成した第２鍵を使用して、前記測定の期待値を計算する期待値計算部をさらに備え、前記鍵生成装置は、前記車両インタフェースにより前記第２車両から受信した前記測定部の測定結果を、前記期待値により検証する検証部をさらに備える、再利用システムであって、前記鍵生成装置は、車両の外部に設けられ、中古のデータ保安装置の再利用に関する処理を実行するサーバ装置であり、前記サーバ装置は、中古のデータ保安装置に適用されているデータを記憶するデータ記憶部を備え、前記期待値計算部は、前記データ記憶部に記憶されるデータであって、前記第１車両から取り外されて前記第２車両に搭載されるデータ保安装置が前記第２車両に搭載される時点で当該データ保安装置に適用されているデータについての前記測定の期待値を計算する、再利用システムである。
本発明の一態様は、上記の再利用システムにおいて、前記第１暗号処理部は、前記車載コンピュータに適用される第１データを、前記暗号化第４鍵の復号により取得した第４鍵により暗号化して暗号化第１データを生成し、前記データ保安装置は、前記第１インタフェース部により前記暗号化第１データを前記車載コンピュータに送信する、再利用システムである。
本発明の一態様は、車両の外部に設けられ、中古の車載コンピュータの再利用に関する処理を実行するサーバ装置であって、第１車両から取り外された車載コンピュータが搭載される第２車両とデータを送受する車両インタフェースと、前記車載コンピュータの車載コンピュータ識別子と、前記第１車両と前記第２車両とに共通のマスタ鍵とを使用して、前記第１車両に搭載時から前記車載コンピュータに格納されている鍵と同じ第１鍵を生成する鍵生成部と、を備え、前記車両インタフェースにより前記第１鍵を前記第２車両に送信する、サーバ装置であり、前記鍵生成部は、前記車載コンピュータ識別子と前記マスタ鍵とを使用して、前記車載コンピュータに格納されている鍵と同じ第２鍵をさらに生成し、前記サーバ装置は、前記鍵生成部が生成した第２鍵を使用して、前記車載コンピュータに適用されているデータの測定の期待値を計算する期待値計算部と、前記第２車両から受信した前記測定の測定結果を、前記期待値により検証する検証部とをさらに備え、前記サーバ装置は、中古の車載コンピュータに適用されているデータを記憶するデータ記憶部をさらに備え、前記期待値計算部は、前記データ記憶部に記憶されるデータであって、前記第１車両から取り外されて前記第２車両に搭載される車載コンピュータが前記第２車両に搭載される時点で当該車載コンピュータに適用されているデータについての前記測定の期待値を計算する、サーバ装置である。
本発明の一態様は、車両の外部に設けられ、中古のデータ保安装置の再利用に関する処理を実行するサーバ装置であって、第１車両から取り外されたデータ保安装置が搭載される第２車両とデータを送受する車両インタフェースと、前記データ保安装置の装置識別子と、前記第１車両と前記第２車両とに共通のマスタ鍵とを使用して、前記第１車両に搭載時から前記データ保安装置に格納されている鍵と同じ第３鍵を生成する鍵生成部と、前記第２車両に搭載される車載コンピュータの第４鍵を前記第３鍵により暗号化して暗号化第４鍵を生成する暗号処理部と、を備え、前記車両インタフェースにより前記暗号化第４鍵を前記第２車両に送信する、サーバ装置であり、前記鍵生成部は、前記装置識別子と前記マスタ鍵とを使用して、前記データ保安装置に格納されている鍵と同じ第２鍵をさらに生成し、前記サーバ装置は、前記鍵生成部が生成した第２鍵を使用して、前記データ保安装置に適用されているデータの測定の期待値を計算する期待値計算部と、前記第２車両から受信した前記測定の測定結果を、前記期待値により検証する検証部とをさらに備え、前記サーバ装置は、中古のデータ保安装置に適用されているデータを記憶するデータ記憶部をさらに備え、前記期待値計算部は、前記データ記憶部に記憶されるデータであって、前記第１車両から取り外されて前記第２車両に搭載されるデータ保安装置が前記第２車両に搭載される時点で当該データ保安装置に適用されているデータについての前記測定の期待値を計算する、サーバ装置である。
（１１）本発明の一態様は、第１車両から取り外されて第２車両に搭載されるデータ保安装置において、自データ保安装置の外部の装置とデータを送受する第１インタフェース部と、前記第１車両に搭載時から第３鍵を格納する第１記憶部と、前記第１インタフェース部により鍵生成装置から受信した暗号化第４鍵を、前記第１記憶部に格納されている第３鍵により復号する第１暗号処理部と、を備えるデータ保安装置である。
本発明の一態様は、第１車両から取り外されて第２車両に搭載される車載コンピュータの再利用方法において、車両の外部に設けられ、中古の車載コンピュータの再利用に関する処理を実行するサーバ装置が、前記車載コンピュータの車載コンピュータ識別子と、前記第１車両と前記第２車両とに共通のマスタ鍵とを使用して、前記第１車両に搭載時から前記車載コンピュータに格納されている鍵と同じ第１鍵を生成する鍵生成ステップと、前記サーバ装置が、前記第２車両とデータを送受する車両インタフェースにより、前記第１鍵を前記第２車両に送信する第１鍵送信ステップと、データ保安装置が、前記車載コンピュータに適用される第１データを、自データ保安装置の外部の装置とデータを送受する第１インタフェース部により前記鍵生成装置から受信した第１鍵により暗号化して、暗号化第１データを生成する暗号化ステップと、前記データ保安装置が、前記第１インタフェース部により前記暗号化第１データを前記車載コンピュータに送信する暗号化第１データ送信ステップと、前記車載コンピュータが、自車載コンピュータの外部の装置とデータを送受する第２インタフェース部により前記データ保安装置から受信した暗号化第１データを、前記第１車両に搭載時から自己の第２記憶部に格納されている第１鍵により復号する復号ステップと、前記車載コンピュータが、自己が格納する第２鍵を使用して、自車載コンピュータに適用しているデータの測定を行う測定ステップと、前記サーバ装置が、前記車載コンピュータ識別子と前記マスタ鍵とを使用して、前記車載コンピュータに格納されている鍵と同じ第２鍵を生成するステップと、前記サーバ装置が、前記生成した第２鍵を使用して、前記測定の期待値を計算する期待値計算ステップと、前記サーバ装置が、前記第２車両から受信した前記測定の測定結果を、前記期待値により検証する検証ステップと、を含み、前記サーバ装置は、中古の車載コンピュータに適用されているデータを記憶するデータ記憶部を備え、前記期待値計算ステップは、前記データ記憶部に記憶されるデータであって、前記第１車両から取り外されて前記第２車両に搭載される車載コンピュータが前記第２車両に搭載される時点で当該車載コンピュータに適用されているデータについての前記測定の期待値を計算する、再利用方法である。
本発明の一態様は、第１車両から取り外されて第２車両に搭載されるデータ保安装置の再利用方法において、車両の外部に設けられ、中古のデータ保安装置の再利用に関する処理を実行するサーバ装置が、前記データ保安装置の装置識別子と、前記第１車両と前記第２車両とに共通のマスタ鍵とを使用して、前記第１車両に搭載時から前記データ保安装置に格納されている鍵と同じ第３鍵を生成する鍵生成ステップと、前記サーバ装置が、前記第２車両に搭載される車載コンピュータの第４鍵を前記第３鍵により暗号化して暗号化第４鍵を生成する暗号化ステップと、前記サーバ装置が、前記第２車両とデータを送受する車両インタフェースにより、前記暗号化第４鍵を前記第２車両に送信する暗号化鍵送信ステップと、前記データ保安装置が、自データ保安装置の外部の装置とデータを送受する第１インタフェース部により前記鍵生成装置から受信した暗号化第４鍵を、前記第１車両に搭載時から自己の第１記憶部に格納されている第３鍵により復号する復号ステップと、前記データ保安装置が、自己が格納する第２鍵を使用して、自データ保安装置に適用しているデータの測定を行う測定ステップと、前記サーバ装置が、前記装置識別子と前記マスタ鍵とを使用して、前記データ保安装置に格納されている鍵と同じ第２鍵を生成するステップと、前記サーバ装置が、前記生成した第２鍵を使用して、前記測定の期待値を計算する期待値計算ステップと、前記サーバ装置が、前記第２車両から受信した前記測定の測定結果を、前記期待値により検証する検証ステップと、を含み、前記サーバ装置は、中古のデータ保安装置に適用されているデータを記憶するデータ記憶部を備え、 前記期待値計算ステップは、前記データ記憶部に記憶されるデータであって、前記第１車両から取り外されて前記第２車両に搭載されるデータ保安装置が前記第２車両に搭載される時点で当該データ保安装置に適用されているデータについての前記測定の期待値を計算する、再利用方法である。
本発明の一態様は、車両の外部に設けられ、中古の車載コンピュータの再利用に関する処理を実行するサーバコンピュータであって、第１車両から取り外された車載コンピュータが搭載される第２車両とデータを送受する車両インタフェースを備える前記サーバコンピュータに、前記車載コンピュータの車載コンピュータ識別子と、前記第１車両と前記第２車両とに共通のマスタ鍵とを使用して、前記第１車両に搭載時から前記車載コンピュータに格納されている鍵と同じ第１鍵を生成する鍵生成機能と、前記車両インタフェースにより前記第１鍵を前記第２車両に送信する送信機能と、を実現させ、前記鍵生成機能は、前記車載コンピュータ識別子と前記マスタ鍵とを使用して、前記車載コンピュータに格納されている鍵と同じ第２鍵をさらに生成する、コンピュータプログラムであって、前記鍵生成機能が生成した第２鍵を使用して、前記車載コンピュータに適用されているデータの測定の期待値を計算する期待値計算機能と、前記第２車両から受信した前記測定の測定結果を、前記期待値により検証する検証機能とをさらに前記サーバコンピュータに実現させ、前記サーバコンピュータは、中古の車載コンピュータに適用されているデータを記憶するデータ記憶部を備え、前記期待値計算機能は、前記データ記憶部に記憶されるデータであって、前記第１車両から取り外されて前記第２車両に搭載される車載コンピュータが前記第２車両に搭載される時点で当該車載コンピュータに適用されているデータについての前記測定の期待値を計算する、コンピュータプログラムである。
本発明の一態様は、車両の外部に設けられ、中古のデータ保安装置の再利用に関する処理を実行するサーバコンピュータであって、第１車両から取り外されたデータ保安装置が搭載される第２車両とデータを送受する車両インタフェースを備える前記サーバコンピュータに、前記データ保安装置の装置識別子と、前記第１車両と前記第２車両とに共通のマスタ鍵とを使用して、前記第１車両に搭載時から前記データ保安装置に格納されている鍵と同じ第３鍵を生成する鍵生成機能と、前記第２車両に搭載される車載コンピュータの第４鍵を前記第３鍵により暗号化して暗号化第４鍵を生成する暗号処理機能と、前記車両インタフェースにより前記暗号化第４鍵を前記第２車両に送信する送信機能と、を実現させ、前記鍵生成機能は、前記装置識別子と前記マスタ鍵とを使用して、前記データ保安装置に格納されている鍵と同じ第２鍵をさらに生成する、コンピュータプログラムであって、前記鍵生成機能が生成した第２鍵を使用して、前記データ保安装置に適用されているデータの測定の期待値を計算する期待値計算機能と、前記第２車両から受信した前記測定の測定結果を、前記期待値により検証する検証機能とをさらに前記サーバコンピュータに実現させ、前記サーバコンピュータは、中古のデータ保安装置に適用されているデータを記憶するデータ記憶部を備え、前記期待値計算機能は、前記データ記憶部に記憶されるデータであって、前記第１車両から取り外されて前記第２車両に搭載されるデータ保安装置が前記第２車両に搭載される時点で当該データ保安装置に適用されているデータについての前記測定の期待値を計算する、コンピュータプログラムである。
本発明によれば、中古のＥＣＵが搭載される自動車の信頼性を向上させることができるという効果が得られる。
一実施形態に係る再利用システム及び自動車１００１の構成例を示す図である。 一実施形態に係るサーバ装置２０００の構成例を示す図である。 一実施形態に係るデータ保安装置１０１０の構成例を示す図である。 一実施形態に係るＥＣＵ１０２０の構成例を示す図である。 一実施形態に係る再利用方法の例１を示すシーケンスチャートである。 一実施形態に係る再利用方法の例１の変形例ａを示すシーケンスチャートである。 一実施形態に係る再利用方法の例２を示すシーケンスチャートである。 一実施形態に係る再利用方法の例２の変形例ｂを示すシーケンスチャートである。 一実施形態に係る再利用方法の例３を示すシーケンスチャートである。 一実施形態に係る再利用方法の例３の変形例ｃを示すシーケンスチャートである。
以下、図面を参照し、本発明の実施形態について説明する。なお、以下に示す実施形態では、車両として自動車を例に挙げて説明する。
図１は、一実施形態に係る再利用システム及び自動車１００１の構成例を示す図である。本実施形態では、車載コンピュータの一例として、自動車１００１に搭載されるＥＣＵ（電子制御装置）を挙げて説明する。
図１において、自動車１００１は、データ保安装置１０１０と複数のＥＣＵ１０２０とを備える。ＥＣＵ１０２０は、自動車１００１に備わる車載コンピュータである。ＥＣＵ１０２０は、自動車１００１のエンジン制御等の制御機能を有する。ＥＣＵ１０２０として、例えば、エンジン制御機能を有するＥＣＵ、ハンドル制御機能を有するＥＣＵ、ブレーキ制御機能を有するＥＣＵなどがある。データ保安装置１０１０は、自動車１００１に搭載されたＥＣＵ１０２０に適用されるデータのセキュリティ（保安）の機能を有する。なお、自動車１００１に搭載されたいずれかのＥＣＵをデータ保安装置１０１０として機能させてもよい。
データ保安装置１０１０と複数のＥＣＵ１０２０は、自動車１００１に備わるＣＡＮ（Controller Area Network）１０３０に接続される。ＣＡＮ１０３０は通信ネットワークである。ＣＡＮは車両に搭載される通信ネットワークの一つとして知られている。データ保安装置１０１０は、ＣＡＮ１０３０を介して、各ＥＣＵ１０２０との間でデータを交換する。ＥＣＵ１０２０は、ＣＡＮ１０３０を介して、他のＥＣＵ１０２０との間でデータを交換する。
なお、車両に搭載される通信ネットワークとして、ＣＡＮ以外の通信ネットワークを自動車１００１に備え、ＣＡＮ以外の通信ネットワークを介して、データ保安装置１０１０とＥＣＵ１０２０との間のデータの交換、及び、ＥＣＵ１０２０同士の間のデータの交換が行われてもよい。例えば、ＬＩＮ（Local Interconnect Network）を自動車１００１に備えてもよい。また、ＣＡＮとＬＩＮとを自動車１００１に備えてもよい。また、自動車１００１において、ＬＩＮに接続するＥＣＵ１０２０を備えてもよい。また、データ保安装置１０１０は、ＣＡＮとＬＩＮとに接続されてもよい。また、データ保安装置１０１０は、ＣＡＮを介して該ＣＡＮに接続されるＥＣＵ１０２０との間でデータを交換し、また、ＬＩＮを介して該ＬＩＮに接続されるＥＣＵ１０２０との間でデータを交換してもよい。また、ＥＣＵ１０２０同士が、ＬＩＮを介してデータを交換してもよい。
自動車１００１に備わる車載コンピュータシステム１００２は、データ保安装置１０１０と複数のＥＣＵ１０２０とがＣＡＮ１０３０に接続されて構成される。本実施形態において、車載コンピュータシステム１００２は、自動車１００１の車載制御システムとして機能する。
データ保安装置１０１０は、車載コンピュータシステム１００２の内部と外部の間の通信を監視する。データ保安装置１０１０は、車載コンピュータシステム１００２の外部の装置の例として、インフォテイメント機器１０４０、ＴＣＵ（Tele Communication Unit）１０５０及び診断ポート１０６０と接続される。ＥＣＵ１０２０は、データ保安装置１０１０を介して、車載コンピュータシステム１００２の外部の装置と通信を行う。
なお、ＣＡＮ１０３０の構成として、ＣＡＮ１０３０が複数のバス（通信線）を備え、該複数のバスをデータ保安装置１０１０に接続してもよい。この場合、一つのバスに、一つのＥＣＵ１０２０又は複数のＥＣＵ１０２０が接続される。
自動車１００１は診断ポート１０６０を備える。診断ポート１０６０として、例えばＯＢＤ（On-board Diagnostics）ポートを使用してもよい。診断ポート１０６０には、自動車１００１の外部の装置を接続可能である。診断ポート１０６０に接続可能な自動車１００１の外部の装置として、例えば、図１に示されるメンテナンスツール２１００などがある。データ保安装置１０１０と、診断ポート１０６０に接続された装置、例えばメンテナンスツール２１００とは、診断ポート１０６０を介して、データを交換する。メンテナンスツール２１００は、ＯＢＤポートに接続される従来の診断端末の機能を有していてもよい。
自動車１００１はインフォテイメント（Infotainment）機器１０４０を備える。インフォテイメント機器１０４０として、例えば、ナビゲーション機能、位置情報サービス機能、音楽や動画などのマルチメディア再生機能、音声通信機能、データ通信機能、インターネット接続機能などを有するものが挙げられる。
自動車１００１はＴＣＵ１０５０を備える。ＴＣＵ１０５０は通信装置である。ＴＣＵ１０５０は通信モジュール１０５１を備える。通信モジュール１０５１は、無線通信ネットワークを利用して無線通信を行う。通信モジュール１０５１は、ＳＩＭ（Subscriber Identity Module）１０５２を備える。ＳＩＭ１０５２は、無線通信ネットワークを利用するための情報が書き込まれたＳＩＭである。通信モジュール１０５１は、ＳＩＭ１０５２を使用することにより該無線通信ネットワークに接続して無線通信を行うことができる。なお、ＳＩＭ１０５２として、ｅＳＩＭ（Embedded Subscriber Identity Module）を使用してもよい。
データ保安装置１０１０はＴＣＵ１０５０とデータを交換する。なお、ＴＣＵ１０５０の他の接続形態として、例えば、ＴＣＵ１０５０をインフォテイメント機器１０４０に接続し、データ保安装置１０１０が、インフォテイメント機器１０４０を介して、ＴＣＵ１０５０とデータを交換してもよい。又は、ＴＣＵ１０５０を診断ポート１０６０に接続し、データ保安装置１０１０が、診断ポート１０６０を介して、該診断ポート１０６０に接続されたＴＣＵ１０５０とデータを交換してもよい。又は、データ保安装置１０１０が、ＳＩＭ１０５２を含む通信モジュール１０５１を備えてもよい。データ保安装置１０１０がＳＩＭ１０５２を含む通信モジュール１０５１を備える場合には、自動車１００１はＴＣＵ１０５０を備えなくてもよい。
データ保安装置１０１０は、メイン演算器１０１１とＨＳＭ（Hardware Security Module）１０１２を備える。メイン演算器１０１１は、データ保安装置１０１０の機能を実現させるためのコンピュータプログラムを実行する。ＨＳＭ１０１２は暗号処理機能等を有する。ＨＳＭ１０１２は耐タンパー性（Tamper Resistant）を有する。ＨＳＭ１０１２はセキュアエレメント（Secure Element：ＳＥ）の例である。ＨＳＭ１０１２は、データを記憶する記憶部１０１３を備える。メイン演算器１０１１はＨＳＭ１０１２を使用する。
ＥＣＵ１０２０は、メイン演算器１０２１とＳＨＥ（Secure Hardware Extension）１０２２を備える。メイン演算器１０２１は、ＥＣＵ１０２０の機能を実現させるためのコンピュータプログラムを実行する。ＳＨＥ１０２２は暗号処理機能等を有する。ＳＨＥ１０２２は耐タンパー性を有する。ＳＨＥ１０２２はセキュアエレメントの例である。ＳＨＥ１０２２は、データを記憶する記憶部１０２３を備える。メイン演算器１０２１はＳＨＥ１０２２を使用する。
サーバ装置２０００は、通信回線を介して、自動車１００１のＴＣＵ１０５０の通信モジュール１０５１とデータを送受する。サーバ装置２０００は、自動車１００１のＴＣＵ１０５０の通信モジュール１０５１が利用する無線通信ネットワークを介して、該通信モジュール１０５１とデータを送受する。又は、サーバ装置２０００は、インターネット等の通信ネットワークと該無線通信ネットワークとを介して、該通信モジュール１０５１とデータを送受してもよい。また、例えば、サーバ装置２０００と通信モジュール１０５１との間をＶＰＮ（Virtual Private Network）回線等の専用回線で接続し、該専用回線でデータを送受してもよい。例えば、ＳＩＭ１０５２に対応する無線通信ネットワークによって、ＶＰＮ回線等の専用回線が提供されてもよい。なお、サーバ装置２０００と自動車１００１とを通信ケーブルで接続してもよい。例えば、サーバ装置２０００と自動車１００１のデータ保安装置１０１０とを通信ケーブルで接続するように構成してもよい。
サーバ装置２０００は、鍵生成機能等を有する。サーバ装置２０００は、中古のＥＣＵの再利用に関する処理を実行する。本実施形態では、サーバ装置２０００は鍵生成装置の例である。
図２は、サーバ装置２０００の構成例を示す図である。図２において、サーバ装置２０００は、通信部２０１１と記憶部２０１２と期待値計算部２０１３と検証部２０１４と鍵生成部２０１５と暗号処理部２０１６とを備える。通信部２０１１は、通信回線を介して、他の装置と通信を行う。通信部２０１１は車両インタフェースに対応する。記憶部２０１２は、データを記憶する。
期待値計算部２０１３は、自動車１００１に適用されているデータについての測定の期待値を計算する。検証部２０１４は、自動車１００１の測定値の検証に係る処理を行う。鍵生成部２０１５は、鍵を生成する。暗号処理部２０１６は、データの暗号化及び暗号化データの復号を行う。
サーバ装置２０００の機能は、該サーバ装置２０００が備えるＣＰＵ（Central Processing Unit：中央演算処理装置）がコンピュータプログラムを実行することにより実現される。なお、サーバ装置２０００として、汎用のコンピュータ装置を使用して構成してもよく、又は、専用のハードウェア装置として構成してもよい。
図３は、データ保安装置１０１０の構成例を示す図である。図３において、データ保安装置１０１０は、メイン演算器１０１１とＨＳＭ１０１２とインタフェース部２０とを備える。メイン演算器１０１１は、制御部２１と記憶部２２と検証部２３とを備える。ＨＳＭ１０１２は、記憶部１０１３と暗号処理部３２と測定部３３と鍵生成部３４とを備える。
インタフェース部２０は、自データ保安装置１０１０の外部の装置とデータを送受する。インタフェース部２０は、ＣＡＮ１０３０を介してデータを送受するインタフェースと、インフォテイメント機器１０４０とデータを送受するインタフェースと、ＴＣＵ１０５０とデータを送受するインタフェースと、診断ポート１０６０を介してデータを送受するインタフェースとを備える。メイン演算器１０１１は、インタフェース部２０を介して、データ保安装置１０１０以外の他の装置とデータの送受を行う。
制御部２１は、データ保安装置１０１０の制御を行う。記憶部２２は、データを記憶する。検証部２３は、測定値の検証に係る処理を行う。記憶部１０１３は、データを記憶する。暗号処理部３２は、データの暗号化及び暗号化データの復号を行う。測定部３３は、自データ保安装置１０１０に適用されているデータの測定を行う。鍵生成部３４は、鍵を生成する。
図４は、ＥＣＵ１０２０の構成例を示す図である。図４において、ＥＣＵ１０２０は、メイン演算器１０２１とＳＨＥ１０２２とインタフェース部４０とを備える。メイン演算器１０２１は、制御部４１と記憶部４２とを備える。ＳＨＥ１０２２は、記憶部１０２３と暗号処理部５２と測定部５３とを備える。
インタフェース部４０は、自ＥＣＵ１０２０の外部の装置とデータを送受する。インタフェース部４０は、ＣＡＮ１０３０を介してデータを送受するインタフェースを備える。メイン演算器１０２１は、インタフェース部４０を介して、自ＥＣＵ１０２０以外の他の装置とデータの送受を行う。
制御部４１は、ＥＣＵ１０２０の制御を行う。記憶部４２は、データを記憶する。記憶部１０２３は、データを記憶する。暗号処理部５２は、データの暗号化及び暗号化データの復号を行う。測定部５３は、自ＥＣＵ１０２０に適用されているデータの測定を行う。
なお、本実施形態では、データ保安装置１０１０にＨＳＭを使用しているが、データ保安装置１０１０においてＨＳＭの代わりにＳＨＥを使用してもよい。なお、ＳＨＥについては、例えば非特許文献３に記載されている。
［ＥＣＵ識別子の構成例］
本実施形態に係るＥＣＵ識別子の構成例を説明する。ＥＣＵ識別子は、ＥＣＵを識別する情報である。本実施形態では、中古のＥＣＵのＥＣＵ識別子が分かりやすいように、ＥＣＵ識別子を構成する。
＜ＥＣＵ識別子の構成例１＞
ＥＣＵ識別子の構成例１では、ＥＣＵ識別子のビット長を１１３ビットにする。このＥＣＵ識別子のビットの内訳を以下に示す。
・車両識別番号（ＶＩＮ：Vehicle Identification Number）：１０２ビット（１７ケタの英数字、１文字は６ビット）
・ＣＡＮ識別子：１１ビット
ＣＡＮ識別子の１１ビットは、ＣＡＮの標準フォーマットのデータフレーム中の１１ビット長のＩＤフィールドに格納されるＣＡＮ識別子である。又は、ＣＡＮ識別子の１１ビットは、ＣＡＮの拡張フォーマットのデータフレーム中の１１ビット長のベースＩＤ（Base ID）フィールドに格納されるＣＡＮ識別子である。なお、車両識別番号（ＶＩＮ）については、例えば非特許文献２に記載されている。
＜ＥＣＵ識別子の構成例２＞
ＥＣＵ識別子の構成例２では、ＥＣＵ識別子のビット長を１３１ビットにする。このＥＣＵ識別子のビットの内訳を以下に示す。
・車両識別番号（ＶＩＮ）：１０２ビット（１７ケタの英数字、１文字は６ビット）
・ＣＡＮ識別子：２９ビット
ＣＡＮ識別子の２９ビットは、ＣＡＮの拡張フォーマットのデータフレーム中の１１ビット長のベースＩＤフィールドに格納されるＣＡＮ識別子部分「１１ビット」と、１８ビット長の拡張ＩＤ（Extend ID）フィールドに格納されるＣＡＮ識別子部分「１８ビット」との合計である。
＜ＥＣＵ識別子の構成例３＞
ＥＣＵ識別子の構成例３では、ＥＣＵ識別子のビット長を１１３ビットにする。このＥＣＵ識別子のビットの内訳を以下に示す。
・車両識別番号（ＶＩＮ）の製造業者識別コード（ＷＭＩ：World Manufacturer Identifier）以外の残りの部分：８４ビット（１４ケタの英数字、１文字６ビット）
・ＣＡＮ識別子：２９ビット
ＣＡＮ識別子の２９ビットは、ＣＡＮの拡張フォーマットのデータフレーム中の１１ビット長のベースＩＤフィールドに格納されるＣＡＮ識別子部分「１１ビット」と、１８ビット長の拡張ＩＤフィールドに格納されるＣＡＮ識別子部分「１８ビット」との合計である。
＜ＥＣＵ識別子の構成例４＞
ＥＣＵ識別子の構成例４では、ＥＣＵに備わるＳＨＥのＵＩＤを当該ＥＣＵのＥＣＵ識別子に使用する。
・ＳＨＥの識別子（ＵＩＤ）：１２０ビット
ＥＣＵ識別子の構成例４では、ＥＣＵ識別子のビット長は１２０ビットである。
車両識別番号（ＶＩＮ）、ＣＡＮ識別子及びＳＨＥのＵＩＤは、例えば自動車１００１の製造工場において取得される。ＥＣＵ識別子の構成例１，２，３では、ＥＣＵ識別子は車両識別番号（ＶＩＮ）を含む。このため、ＥＣＵ識別子の構成例１，２，３では、ＥＣＵが搭載される自動車が変わるとＥＣＵ識別子も変わる。一方、ＥＣＵ識別子の構成例４では、ＥＣＵに備わるＳＨＥのＵＩＤが当該ＥＣＵのＥＣＵ識別子であるので、ＥＣＵが搭載される自動車が変わってもＥＣＵ識別子は変わらず同じである。
［再利用方法の例］
次に本実施形態に係る再利用方法の例を説明する。以下の再利用方法の例の説明では、ＥＣＵ識別子の一例として、上記したＥＣＵ識別子の構成例４、つまり、ＥＣＵに備わるＳＨＥのＵＩＤを当該ＥＣＵのＥＣＵ識別子に使用する。したがって、ＥＣＵのＥＣＵ識別子は、当該ＥＣＵが搭載される自動車が変わっても、同じである。
＜再利用方法の例１＞
図５は、本実施形態に係る再利用方法の例１を示すシーケンスチャートである。図５を参照して本実施形態に係る再利用方法の例１を説明する。再利用方法の例１は、中古のＥＣＵを再利用する場合である。以下、中古のＥＣＵをＥＣＵ（ｕｓｅｄ）と称する。
図５において、ＥＣＵ（ｕｓｅｄ）１０２０は、図示しないある自動車（第１車両に対応）から取り外されて自動車１００１（第２車両に対応）に搭載されている。サーバ装置２０００は、マスタ鍵Ｍａｓｔｅｒ＿Ｓｅｃｒｅｔと、プログラムコードとを予め記憶部２０１２に格納している。プログラムコードは、更新プログラム等のコンピュータプログラムであってもよく、又は、パラメータ設定値などの設定データであってもよい。記憶部２０１２に格納されているプログラムコードは、ＥＣＵ（ｕｓｅｄ）１０２０が自動車１００１に搭載される時点で該ＥＣＵ（ｕｓｅｄ））１０２０に適用されているＥＣＵコード（ECU code）を含む。ＥＣＵコードは、ＥＣＵのプログラムコードである。
データ保安装置１０１０は、Ｒｏｏｔ鍵Ｋｒｃ、署名鍵Ｋｂｃ、暗号鍵Ｋｅｃ、期待値Ｅｃｎ及び車内鍵Ｋｖを予めＨＳＭ１０１２の記憶部１０１３に格納している。ＥＣＵ（ｕｓｅｄ）１０２０は、Ｒｏｏｔ鍵Ｋｒｅ、署名鍵Ｋｂｅ、暗号鍵Ｋｅｅ、期待値Ｅｅｎ＿ｏｌｄ及び車内鍵Ｋｖ＿ｏｌｄを予めＳＨＥ１０２２の記憶部１０２３に格納している。
以下、サーバ装置２０００は、通信部２０１１により、自動車１００１のＴＣＵ１０５０と通信を行い、ＴＣＵ１０５０を介して、自動車１００１のデータ保安装置１０１０との間でデータを送受する。また、データ保安装置１０１０とＥＣＵ（ｕｓｅｄ）１０２０とは、ＣＡＮ１０３０を介して、データを送受する。なお、サーバ装置２０００とデータ保安装置１０１０との間の通信路として、暗号化通信路を使用してもよい。例えば、サーバ装置２０００とデータ保安装置１０１０は、暗号化通信路の一例として、ｈｔｔｐｓ（hypertext transfer protocol secure）通信を行ってもよい。
（ステップＳ１０１）サーバ装置２０００の鍵生成部２０１５は、自動車１００１に搭載されているデータ保安装置１０１０のＲｏｏｔ鍵Ｋｒｃと、ＥＣＵ（ｕｓｅｄ）１０２０のＲｏｏｔ鍵Ｋｒｅ及び署名鍵Ｋｂｅとを生成する。
鍵生成部２０１５の鍵生成方法の例を説明する。鍵生成部２０１５は、記憶部２０１２に格納されているマスタ鍵Ｍａｓｔｅｒ＿Ｓｅｃｒｅｔと、鍵生成対象装置の識別子ＵＮＩＴ＿ＩＤと、変数Ｎｋとを使用して、次式により鍵（共通鍵）を生成する。
共通鍵＝ダイジェスト（Ｍａｓｔｅｒ＿Ｓｅｃｒｅｔ、ＵＮＩＴ＿ＩＤ、Ｎｋ）
但し、鍵生成対象装置がデータ保安装置１０１０である場合には、ＵＮＩＴ＿ＩＤはデータ保安装置１０１０の装置識別子ＳｅｃＵ＿ＩＤである。鍵生成対象装置がＥＣＵ１０２０である場合には、ＵＮＩＴ＿ＩＤはＥＣＵ１０２０のＥＣＵ識別子ＥＣＵ＿ＩＤである。ダイジェスト（Ｍａｓｔｅｒ＿Ｓｅｃｒｅｔ、ＵＮＩＴ＿ＩＤ、Ｎｋ）は、マスタ鍵Ｍａｓｔｅｒ＿Ｓｅｃｒｅｔと識別子ＵＮＩＴ＿ＩＤと変数Ｎｋとから生成されるダイジェスト値である。ダイジェスト値として、例えば、ハッシュ（hash）関数により算出される値、又は、排他的論理和演算により算出される値などが挙げられる。例えば、共通鍵は、マスタ鍵Ｍａｓｔｅｒ＿Ｓｅｃｒｅｔと識別子ＵＮＩＴ＿ＩＤと変数Ｎｋとを入力値に使用して算出されるハッシュ関数値である。
変数Ｎｋの値が異なれば、ダイジェスト値は異なる。変数Ｎｋの値を変えることによって、同じマスタ鍵Ｍａｓｔｅｒ＿Ｓｅｃｒｅｔと識別子ＵＮＩＴ＿ＩＤとから、異なる共通鍵を生成することができる。例えば、Ｒｏｏｔ鍵用の変数Ｎｋの値をＮｋ＿ｚとし、署名鍵用の変数Ｎｋの値をＮｋ＿ａとし、暗号鍵用の変数Ｎｋの値をＮｋ＿ｂとする。鍵生成部２０１５は、マスタ鍵Ｍａｓｔｅｒ＿Ｓｅｃｒｅｔと、データ保安装置１０１０の識別子ＳｅｃＵ＿ＩＤと、変数Ｎｋ＿ｚ，Ｎｋ＿ａ，Ｎｋ＿ｂとを使用して、
Ｒｏｏｔ鍵Ｋｒｃ＝ダイジェスト（Ｍａｓｔｅｒ＿Ｓｅｃｒｅｔ、ＳｅｃＵ＿ＩＤ、Ｎｋ＿ｚ）、
署名鍵Ｋｂｃ＝ダイジェスト（Ｍａｓｔｅｒ＿Ｓｅｃｒｅｔ、ＳｅｃＵ＿ＩＤ、Ｎｋ＿ａ）、
暗号鍵Ｋｅｃ＝ダイジェスト（Ｍａｓｔｅｒ＿Ｓｅｃｒｅｔ、ＳｅｃＵ＿ＩＤ、Ｎｋ＿ｂ）、
により、データ保安装置１０１０のＲｏｏｔ鍵Ｋｒｃと署名鍵Ｋｂｃと暗号鍵Ｋｅｃとを異なる鍵として生成することができる。
また、鍵生成部２０１５は、マスタ鍵Ｍａｓｔｅｒ＿Ｓｅｃｒｅｔと、ＥＣＵ１０２０の識別子ＥＣＵ＿ＩＤと、変数Ｎｋ＿ｚ，Ｎｋ＿ａ，Ｎｋ＿ｂとを使用して、
Ｒｏｏｔ鍵Ｋｒｅ＝ダイジェスト（Ｍａｓｔｅｒ＿Ｓｅｃｒｅｔ、ＥＣＵ＿ＩＤ、Ｎｋ＿ｚ）、
署名鍵Ｋｂｅ＝ダイジェスト（Ｍａｓｔｅｒ＿Ｓｅｃｒｅｔ、ＥＣＵ＿ＩＤ、Ｎｋ＿ａ）、
暗号鍵Ｋｅｅ＝ダイジェスト（Ｍａｓｔｅｒ＿Ｓｅｃｒｅｔ、ＥＣＵ＿ＩＤ、Ｎｋ＿ａ）、
により、ＥＣＵ１０２０のＲｏｏｔ鍵Ｋｒｅと署名鍵Ｋｂｅと暗号鍵Ｋｅｅとを異なる鍵として生成することができる。
記憶部２０１２は、データ保安装置１０１０のＲｏｏｔ鍵Ｋｒｃと、ＥＣＵ（ｕｓｅｄ）１０２０のＲｏｏｔ鍵Ｋｒｅ及び署名鍵Ｋｂｅとを格納する。データ保安装置１０１０のＨＳＭ１０１２の記憶部１０１３は、サーバ装置２０００と同じ鍵生成方法によって生成されたＲｏｏｔ鍵Ｋｒｃを予め格納している。ＥＣＵ（ｕｓｅｄ）１０２０のＳＨＥ１０２２の記憶部１０２３は、サーバ装置２０００と同じ鍵生成方法によって生成されたＲｏｏｔ鍵Ｋｒｅ及び署名鍵Ｋｂｅを予め格納している。
（ステップＳ１０２）ＥＣＵ（ｕｓｅｄ）１０２０の制御部４１は、自動車１００１に搭載された後、セキュアブートを実行する。このセキュアブートでは、ＳＨＥ１０２２の測定部５３は、記憶部１０２３に格納している署名鍵ＫｂｅによりＥＣＵコードの測定値を計算する。本実施形態では、測定値の一例として、ＣＭＡＣ（Cipher-based Message Authentication Code）を使用する。よって、測定部５３は、記憶部１０２３に格納している署名鍵Ｋｂｅにより、ＥＣＵコードのＣＭＡＣを計算する。この計算結果のＣＭＡＣを測定値Ｅｅｎ＿ａと称する。ＳＨＥ１０２２は、測定値Ｅｅｎ＿ａを制御部４１に渡す。制御部４１は、測定値Ｅｅｎ＿ａにより、ＳＨＥ１０２２の憶部１０２３に格納している期待値Ｅｅｎ＿ｏｌｄを更新する。これにより、記憶部１０２３に格納している期待値Ｅｅｎ＿ｏｌｄが測定値Ｅｅｎ＿ａに書き換えられる。よって、該更新後の記憶部１０２３に格納される期待値は測定値Ｅｅｎ＿ａである。
（ステップＳ１０３）ＥＣＵ（ｕｓｅｄ）１０２０の制御部４１は、測定値Ｅｅｎ＿ａをＳＨＥ１０２２に渡して暗号化を実行させる。ＳＨＥ１０２２の暗号処理部５２は、記憶部１０２３に格納しているＲｏｏｔ鍵Ｋｒｅにより測定値Ｅｅｎ＿ａを暗号化して暗号化データＫｒｅ（Ｅｅｎ＿ａ）を生成する。ＳＨＥ１０２２は、暗号化データＫｒｅ（Ｅｅｎ＿ａ）を制御部４１に渡す。制御部４１は、インタフェース部４０により、暗号化データＫｒｅ（Ｅｅｎ＿ａ）を、ＣＡＮ１０３０を介してデータ保安装置１０１０経由でサーバ装置２０００に送信する。サーバ装置２０００は、自動車１００１のデータ保安装置１０１０から暗号化データＫｒｅ（Ｅｅｎ＿ａ）を受信する。測定値Ｅｅｎ＿ａは、セキュアブート結果の例である。
（ステップＳ１０４）サーバ装置２０００の暗号処理部２０１６は、記憶部２０１２に格納しているＲｏｏｔ鍵Ｋｒｅにより暗号化データＫｒｅ（Ｅｅｎ＿ａ）を復号して、測定値Ｅｅｎ＿ａを取得する。なお、ＥＣＵ（ｕｓｅｄ）１０２０は、測定値Ｅｅｎ＿ａを暗号化しないでそのままのデータでサーバ装置２０００に送信してもよい。
期待値計算部２０１３は、記憶部２０１２に格納している署名鍵Ｋｂｅにより、記憶部２０１２に格納しているＥＣＵ（ｕｓｅｄ）１０２０のＥＣＵコードについてのＣＭＡＣを計算する。この計算結果のＣＭＡＣを期待値Ｅｅｎ＿ｂと称する。検証部２０１４は、測定値Ｅｅｎ＿ａと期待値Ｅｅｎ＿ｂとを比較し、両者が一致するか否かを判断する。この判断の結果、両者が一致する場合には測定値Ｅｅｎ＿ａの検証が合格である。測定値Ｅｅｎ＿ａの検証が合格である場合には、ステップＳ１０５に進む。一方、両者が一致しない場合には測定値Ｅｅｎ＿ａの検証が不合格である。測定値Ｅｅｎ＿ａの検証が不合格である場合には、当該ＥＣＵ（ｕｓｅｄ）１０２０について図５の処理を終了する。よって、測定値Ｅｅｎ＿ａの検証が不合格である場合には、当該ＥＣＵ（ｕｓｅｄ）１０２０についてステップＳ１０５以降は実行されない。また、測定値Ｅｅｎ＿ａの検証が不合格である場合には、サーバ装置２０００は所定のエラー処理を実行してもよい。
（ステップＳ１０５）サーバ装置２０００は、車内鍵送付要求メッセージを自動車１００１のデータ保安装置１０１０に送信する。この車内鍵送付要求メッセージは、測定値Ｅｅｎ＿ａの検証が合格したＥＣＵ（ｕｓｅｄ）１０２０に車内鍵Ｋｖを送付することを要求するメッセージである。該車内鍵送付要求メッセージは、ＥＣＵ（ｕｓｅｄ）１０２０のＲｏｏｔ鍵Ｋｒｅを含む。サーバ装置２０００は、暗号処理部２０１６によりデータ保安装置１０１０のＲｏｏｔ鍵ＫｒｃでＲｏｏｔ鍵Ｋｒｅを暗号化し、該Ｒｏｏｔ鍵Ｋｒｅの暗号化データＫｒｃ（Ｋｒｅ）を車内鍵送付要求メッセージに格納することが好ましい。自動車１００１のデータ保安装置１０１０は、サーバ装置２０００から車内鍵送付要求メッセージを受信する。
（ステップＳ１０６）データ保安装置１０１０の制御部２１は、車内鍵送付要求メッセージに含まれるＥＣＵ（ｕｓｅｄ）１０２０のＲｏｏｔ鍵ＫｒｅをＨＳＭ１０１２に渡して、車内鍵Ｋｖの暗号化を実行させる。なお、車内鍵送付要求メッセージに含まれるＥＣＵ（ｕｓｅｄ）１０２０のＲｏｏｔ鍵Ｋｒｅが暗号化されている場合には、制御部２１は、該Ｒｏｏｔ鍵Ｋｒｅの暗号化データＫｒｃ（Ｋｒｅ）をＨＳＭ１０１２に渡して、Ｒｏｏｔ鍵Ｋｒｃにより復号させることにより、ＥＣＵ（ｕｓｅｄ）１０２０のＲｏｏｔ鍵Ｋｒｅを取得する。
ＨＳＭ１０１２の暗号処理部３２は、ＥＣＵ（ｕｓｅｄ）１０２０のＲｏｏｔ鍵Ｋｒｅにより、記憶部１０１３に格納している車内鍵Ｋｖを暗号化して、暗号化データＫｒｅ（Ｋｖ）を生成する。ＨＳＭ１０１２は、暗号化データＫｒｅ（Ｋｖ）を制御部２１に渡す。制御部２１は、インタフェース部２０により、暗号化データＫｒｅ（Ｋｖ）をＥＣＵ（ｕｓｅｄ）１０２０に送信する。ＥＣＵ（ｕｓｅｄ）１０２０は、インタフェース部４０により、データ保安装置１０１０から暗号化データＫｒｅ（Ｋｖ）を受信する。
（ステップＳ１０７）ＥＣＵ（ｕｓｅｄ）１０２０の制御部４１は、暗号化データＫｒｅ（Ｋｖ）をＳＨＥ１０２２に渡して復号を実行させる。ＳＨＥ１０２２の暗号処理部５２は、記憶部１０２３に格納しているＲｏｏｔ鍵Ｋｒｅにより暗号化データＫｒｅ（Ｋｖ）を復号して、車内鍵Ｋｖを取得する。ＳＨＥ１０２２は、該車内鍵Ｋｖにより、記憶部１０２３に格納している車内鍵Ｋｖ＿ｏｌｄを更新する。これにより、記憶部１０２３に格納している車内鍵Ｋｖ＿ｏｌｄが車内鍵Ｋｖに書き換えられる。よって、該更新後の記憶部１０２３に格納される車内鍵は車内鍵Ｋｖである。これにより、ＥＣＵ（ｕｓｅｄ）１０２０は、自動車１００１のデータ保安装置１０１０及び各ＥＣＵ１０２０に共通の車内鍵Ｋｖを格納する。
上記の図５の各ステップは、自動車１００１に搭載されている全てのＥＣＵ（ｕｓｅｄ）１０２０に対して同様に実行される。本再利用方法の例１において、車内鍵Ｋｖは、ＥＣＵ（ｕｓｅｄ）１０２０に適用される第１データの例である。また、Ｒｏｏｔ鍵Ｋｒｅは、第１鍵の例である。また、署名鍵Ｋｂｅは、第２鍵の例である。
上述した再利用方法の例１によれば、自動車１００１に搭載されたＥＣＵ（ｕｓｅｄ）１０２０の従前の車内鍵Ｋｖ＿ｏｌｄが、自動車１００１で使用されている車内鍵Ｋｖに更新される。これにより、ＥＣＵ（ｕｓｅｄ）１０２０は、自動車１００１の他のＥＣＵ１０２０やデータ保安装置１０１０との間で、車内鍵Ｋｖを使用して安全な通信を行うことができる。これは、ＥＣＵ（ｕｓｅｄ）１０２０が搭載される自動車１００１の信頼性を向上させることに寄与するという効果を奏する。
＜再利用方法の例１の変形例ａ＞
図６は、再利用方法の例１の変形例ａを示すシーケンスチャートである。図６を参照して、再利用方法の例１の変形例ａを説明する。図６において図５の各ステップに対応する部分には同一の符号を付している。再利用方法の例１の変形例ａでは、ＥＣＵ（ｕｓｅｄ）１０２０のセキュアブートの測定の期待値を、サーバ装置２０００からＥＣＵ（ｕｓｅｄ）１０２０に供給する。
図６において、ステップＳ１０１が実行される。ステップＳ１０１は、上記の再利用方法の例１と同じである。
（ステップＳ１０１ａ）ステップＳ１０１の後、サーバ装置２０００の期待値計算部２０１３は、記憶部２０１２に格納している署名鍵Ｋｂｅにより、記憶部２０１２に格納しているＥＣＵ（ｕｓｅｄ）１０２０のＥＣＵコードについてのＣＭＡＣを計算する。この計算結果のＣＭＡＣは期待値Ｅｅｎ＿ｂである。
（ステップＳ１０１ｂ）サーバ装置２０００は、期待値Ｅｅｎ＿ｂをＥＣＵ（ｕｓｅｄ）１０２０に送信する。
（ステップＳ１０２）ＥＣＵ（ｕｓｅｄ）１０２０は、サーバ装置２０００から受信した期待値Ｅｅｎ＿ｂにより、ＳＨＥ１０２２の記憶部１０２３に格納している期待値Ｅｅｎ＿ｏｌｄを更新する。これにより、記憶部１０２３に格納している期待値Ｅｅｎ＿ｏｌｄが期待値Ｅｅｎ＿ｂに書き換えられる。よって、該更新後の記憶部１０２３に格納される期待値は期待値Ｅｅｎ＿ｂである。ＥＣＵ（ｕｓｅｄ）１０２０は、セキュアブートの測定値Ｅｅｎ＿ａと、記憶部１０２３に格納される期待値Ｅｅｎ＿ｂとを比較し、両者が一致するか否かを判断する。この判断の結果、両者が一致する場合にはセキュアブート結果が合格である。一方、両者が一致しない場合にはセキュアブート結果が不合格である。
（ステップＳ１０３）ＥＣＵ（ｕｓｅｄ）１０２０は、セキュアブート結果「合格又は不合格」をサーバ装置２０００に送信する。
（ステップＳ１０４）サーバ装置２０００は、ＥＣＵ（ｕｓｅｄ）１０２０から受信したセキュアブート結果により、ＥＣＵ（ｕｓｅｄ）１０２０のセキュアブートの合否を判断する。ＥＣＵ（ｕｓｅｄ）１０２０から受信したセキュアブート結果が合格である場合には、ステップＳ１０５に進む。一方、ＥＣＵ（ｕｓｅｄ）１０２０から受信したセキュアブート結果が不合格である場合には、当該ＥＣＵ（ｕｓｅｄ）１０２０について図６の処理を終了する。よって、該セキュアブート結果が不合格である場合には、当該ＥＣＵ（ｕｓｅｄ）１０２０についてステップＳ１０５以降は実行されない。また、セキュアブート結果が不合格である場合には、サーバ装置２０００は所定のエラー処理を実行してもよい。
次いで、ステップＳ１０５，Ｓ１０６，Ｓ１０７が実行される。ステップＳ１０５，Ｓ１０６，Ｓ１０７は、上記の再利用方法の例１と同じである。
なお、サーバ装置２０００は、検証値（例えば、乱数）を予めＥＣＵ（ｕｓｅｄ）１０２０に供給してもよい。そして、ステップＳ１０３において、ＥＣＵ（ｕｓｅｄ）１０２０は、セキュアブート結果が合格である場合にはセキュアブート結果「合格」に検証値を含め、一方、セキュアブート結果が不合格である場合にはセキュアブート結果「不合格」に検証値を含めない。サーバ装置２０００の検証部２０１４は、ＥＣＵ（ｕｓｅｄ）１０２０のセキュアブート結果「合格」に含まれる検証値と、予めＥＣＵ（ｕｓｅｄ）１０２０に供給した元の検証値とを比較する。サーバ装置２０００の検証部２０１４は、該比較の結果、両者が一致する場合にはＥＣＵ（ｕｓｅｄ）１０２０のセキュアブート結果が合格であると判断し、両者が一致しない場合にはＥＣＵ（ｕｓｅｄ）１０２０のセキュアブート結果が不合格であると判断する。
また、ＥＣＵ（ｕｓｅｄ）１０２０は、ＳＨＥ１０２２の暗号処理部５２によりセキュアブート結果を暗号化して、サーバ装置２０００に送信してもよい。この暗号化に用いる暗号鍵Ｋｅｅは、予め、サーバ装置２０００とＥＣＵ（ｕｓｅｄ）１０２０間で共有しておく。サーバ装置２０００は、ＥＣＵ（ｕｓｅｄ）１０２０からの暗号化データを、暗号処理部２０１６により、記憶部２０１２に格納されている暗号鍵Ｋｅｅで復号して、セキュアブート結果を取得する。なお、暗号鍵Ｋｅｅは、セキュアブート結果が合格である場合にのみＳＨＥ１０２２で使用可能となる鍵であってもよい。この場合、ＳＨＥ１０２２の暗号処理部５２はセキュアブート結果「合格」を該暗号鍵Ｋｅｅにより暗号化する。
以上が再利用方法の例１の変形例ａの説明である。
＜再利用方法の例２＞
図７は、本実施形態に係る再利用方法の例２を示すシーケンスチャートである。図７を参照して本実施形態に係る再利用方法の例２を説明する。再利用方法の例２は、上記の再利用方法の例１と同様に、中古のＥＣＵ（ＥＣＵ（ｕｓｅｄ））を再利用する場合である。再利用方法の例２では、ＥＣＵ（ｕｓｅｄ）１０２０のセキュアブート結果の検証を、データ保安装置１０１０が行う点が再利用方法の例１と異なる。以下、再利用方法の例１と異なる点を主に説明する。
図７において、ＥＣＵ（ｕｓｅｄ）１０２０は、図示しないある自動車（第１車両に対応）から取り外されて自動車１００１（第２車両に対応）に搭載されている。サーバ装置２０００は、マスタ鍵Ｍａｓｔｅｒ＿Ｓｅｃｒｅｔと、プログラムコードとを予め記憶部２０１２に格納している。記憶部２０１２に格納されているプログラムコードは、ＥＣＵ（ｕｓｅｄ）１０２０が自動車１００１に搭載される時点で該ＥＣＵ（ｕｓｅｄ））１０２０に適用されているＥＣＵコードを含む。
データ保安装置１０１０は、Ｒｏｏｔ鍵Ｋｒｃ、署名鍵Ｋｂｃ、暗号鍵Ｋｅｃ、期待値Ｅｃｎ及び車内鍵Ｋｖを予めＨＳＭ１０１２の記憶部１０１３に格納している。ＥＣＵ（ｕｓｅｄ）１０２０は、Ｒｏｏｔ鍵Ｋｒｅ、署名鍵Ｋｂｅ、暗号鍵Ｋｅｅ、期待値Ｅｅｎ＿ｏｌｄ及び車内鍵Ｋｖ＿ｏｌｄを予めＳＨＥ１０２２の記憶部１０２３に格納している。
以下、サーバ装置２０００は、自動車１００１のＴＣＵ１０５０を介して、自動車１００１のデータ保安装置１０１０との間でデータを送受する。また、データ保安装置１０１０とＥＣＵ（ｕｓｅｄ）１０２０とは、ＣＡＮ１０３０を介して、データを送受する。なお、サーバ装置２０００とデータ保安装置１０１０は、暗号化通信路の一例として、ｈｔｔｐｓ通信を行ってもよい。
（ステップＳ１１１）サーバ装置２０００の鍵生成部２０１５は、自動車１００１に搭載されているデータ保安装置１０１０のＲｏｏｔ鍵Ｋｒｃと、ＥＣＵ（ｕｓｅｄ）１０２０のＲｏｏｔ鍵Ｋｒｅ及び署名鍵Ｋｂｅとを生成する。この鍵の生成に係る処理は、上述した図５の再利用方法の例１のステップＳ１０１と同じである。記憶部２０１２は、データ保安装置１０１０のＲｏｏｔ鍵Ｋｒｃと、ＥＣＵ（ｕｓｅｄ）１０２０のＲｏｏｔ鍵Ｋｒｅ及び署名鍵Ｋｂｅとを格納する。データ保安装置１０１０のＨＳＭ１０１２の記憶部１０１３は、サーバ装置２０００と同じ鍵生成方法によって生成されたＲｏｏｔ鍵Ｋｒｃを予め格納している。ＥＣＵ（ｕｓｅｄ）１０２０のＳＨＥ１０２２の記憶部１０２３は、サーバ装置２０００と同じ鍵生成方法によって生成されたＲｏｏｔ鍵Ｋｒｅ及び署名鍵Ｋｂｅを予め格納している。
（ステップＳ１１２）サーバ装置２０００の期待値計算部２０１３は、記憶部２０１２に格納している署名鍵Ｋｂｅにより、記憶部２０１２に格納しているＥＣＵ（ｕｓｅｄ）１０２０のＥＣＵコードについてのＣＭＡＣを計算する。この計算結果のＣＭＡＣは期待値Ｅｅｎ＿ｂである。
（ステップＳ１１３）サーバ装置２０００は、期待値Ｅｅｎ＿ｂと、ＥＣＵ（ｕｓｅｄ）１０２０のＲｏｏｔ鍵Ｋｒｅとをデータ保安装置１０１０に送信する。データ保安装置１０１０は、サーバ装置２０００から、期待値Ｅｅｎ＿ｂと、ＥＣＵ（ｕｓｅｄ）１０２０のＲｏｏｔ鍵Ｋｒｅとを受信する。データ保安装置１０１０の記憶部２２は、サーバ装置２０００から受信した期待値Ｅｅｎ＿ｂを格納する。データ保安装置１０１０のＨＳＭ１０１２の記憶部１０１３は、サーバ装置２０００から受信したＥＣＵ（ｕｓｅｄ）１０２０のＲｏｏｔ鍵Ｋｒｅを格納する。
なお、サーバ装置２０００は、暗号処理部２０１６によりデータ保安装置１０１０のＲｏｏｔ鍵ＫｒｃでＲｏｏｔ鍵Ｋｒｅを暗号化し、該Ｒｏｏｔ鍵Ｋｒｅの暗号化データＫｒｃ（Ｋｒｅ）をデータ保安装置１０１０に送信することが好ましい。データ保安装置１０１０のＨＳＭ１０１２は、暗号処理部３２により該Ｒｏｏｔ鍵Ｋｒｅの暗号化データＫｒｃ（Ｋｒｅ）をＲｏｏｔ鍵Ｋｒｃで復号して、ＥＣＵ（ｕｓｅｄ）１０２０のＲｏｏｔ鍵Ｋｒｅを取得する。同様に、期待値Ｅｅｎ＿ｂは、データ保安装置１０１０のＲｏｏｔ鍵Ｋｒｃにより暗号化されて、サーバ装置２０００からデータ保安装置１０１０に送信されてもよい。
（ステップＳ１１４）ＥＣＵ（ｕｓｅｄ）１０２０の制御部４１は、自動車１００１に搭載された後、セキュアブート及び期待値の更新を実行する。このセキュアブート及び期待値の更新に係る処理は、上述した図５の再利用方法の例１のステップＳ１０２と同じである。
（ステップＳ１１５）ＥＣＵ（ｕｓｅｄ）１０２０は、セキュアブート結果として測定値Ｅｅｎ＿ａの暗号化データＫｒｅ（Ｅｅｎ＿ａ）をデータ保安装置１０１０に送信する。測定値Ｅｅｎ＿ａの暗号化処理は、上述した図５の再利用方法の例１のステップＳ１０３と同じである。データ保安装置１０１０は、ＥＣＵ（ｕｓｅｄ）１０２０から暗号化データＫｒｅ（Ｅｅｎ＿ａ）を受信する。
（ステップＳ１１６）データ保安装置１０１０の制御部２１は、暗号化データＫｒｅ（Ｅｅｎ＿ａ）をＨＳＭ１０１２に渡して復号を実行させる。ＨＳＭ１０１２の暗号処理部３２は、記憶部１０１３に格納しているＥＣＵ（ｕｓｅｄ）１０２０のＲｏｏｔ鍵Ｋｒｅにより暗号化データＫｒｅ（Ｅｅｎ＿ａ）を復号して、測定値Ｅｅｎ＿ａを取得する。なお、ＥＣＵ（ｕｓｅｄ）１０２０は、測定値Ｅｅｎ＿ａを暗号化しないでそのままのデータでデータ保安装置１０１０に送信してもよい。
データ保安装置１０１０の検証部２３は、ＨＳＭ１０１２により取得した測定値Ｅｅｎ＿ａと、記憶部２２に格納している期待値Ｅｅｎ＿ｂとを比較し、両者が一致するか否かを判断する。この判断の結果、両者が一致する場合には測定値Ｅｅｎ＿ａの検証が合格である。測定値Ｅｅｎ＿ａの検証が合格である場合には、ステップＳ１１７に進む。一方、両者が一致しない場合には測定値Ｅｅｎ＿ａの検証が不合格である。測定値Ｅｅｎ＿ａの検証が不合格である場合には、当該ＥＣＵ（ｕｓｅｄ）１０２０について図７の処理を終了する。よって、測定値Ｅｅｎ＿ａの検証が不合格である場合には、当該ＥＣＵ（ｕｓｅｄ）１０２０についてステップＳ１１７以降は実行されない。また、測定値Ｅｅｎ＿ａの検証が不合格である場合には、データ保安装置１０１０は所定のエラー処理を実行してもよい。
（ステップＳ１１７）データ保安装置１０１０の制御部２１は、ＨＳＭ１０１２により生成した車内鍵Ｋｖの暗号化データＫｒｅ（Ｋｖ）を、ＥＣＵ（ｕｓｅｄ）１０２０に送信する。車内鍵Ｋｖの暗号化データＫｒｅ（Ｋｖ）は、上述した図５の再利用方法の例１のステップＳ１０６と同様に、ＨＳＭ１０１２により生成される。ＥＣＵ（ｕｓｅｄ）１０２０は、データ保安装置１０１０から暗号化データＫｒｅ（Ｋｖ）を受信する。
（ステップＳ１１８）ＥＣＵ（ｕｓｅｄ）１０２０は、データ保安装置１０１０から受信した暗号化データＫｒｅ（Ｋｖ）を復号して取得した車内鍵Ｋｖを設定する。この車内鍵Ｋｖの設定に係る処理は、上述した図５の再利用方法の例１のステップＳ１０７と同じである。この車内鍵Ｋｖの設定により、ＥＣＵ（ｕｓｅｄ）１０２０のＳＨＥ１０２２の記憶部１０２３に格納している車内鍵Ｋｖ＿ｏｌｄが車内鍵Ｋｖに書き換えられて、記憶部１０２３に格納される車内鍵が車内鍵Ｋｖに更新される。これにより、ＥＣＵ（ｕｓｅｄ）１０２０は、自動車１００１のデータ保安装置１０１０及び各ＥＣＵ１０２０に共通の車内鍵Ｋｖを格納する。
上記の図７の各ステップは、自動車１００１に搭載されている全てのＥＣＵ（ｕｓｅｄ）１０２０に対して同様に実行される。本再利用方法の例２において、車内鍵Ｋｖは、ＥＣＵ（ｕｓｅｄ）１０２０に適用される第１データの例である。また、Ｒｏｏｔ鍵Ｋｒｅは、第１鍵の例である。また、署名鍵Ｋｂｅは、第２鍵の例である。
上述した再利用方法の例２によれば、再利用方法の例１と同様に、自動車１００１に搭載されたＥＣＵ（ｕｓｅｄ）１０２０の従前の車内鍵Ｋｖ＿ｏｌｄが、自動車１００１で使用されている車内鍵Ｋｖに更新される。これにより、ＥＣＵ（ｕｓｅｄ）１０２０は、自動車１００１の他のＥＣＵ１０２０やデータ保安装置１０１０との間で、車内鍵Ｋｖを使用して安全な通信を行うことができる。これは、ＥＣＵ（ｕｓｅｄ）１０２０が搭載される自動車１００１の信頼性を向上させることに寄与するという効果を奏する。
また、上述した再利用方法の例２によれば、データ保安装置１０１０がセキュアブート結果の検証を行う。これにより、再利用方法の例１のように、自動車１００１の外部のサーバ装置２０００でセキュアブート結果の検証を行う場合に比して、処理の効率化を図ることができる。
＜再利用方法の例２の変形例ｂ＞
図８は、再利用方法の例２の変形例ｂを示すシーケンスチャートである。図８を参照して、再利用方法の例２の変形例ｂを説明する。図８において図７の各ステップに対応する部分には同一の符号を付している。再利用方法の例２の変形例ｂでは、上述の再利用方法の例１の変形例ａと同様に、ＥＣＵ（ｕｓｅｄ）１０２０のセキュアブートの測定の期待値を、サーバ装置２０００からＥＣＵ（ｕｓｅｄ）１０２０に供給する。
図８において、ステップＳ１１１，Ｓ１１２，Ｓ１１３が実行される。ステップＳ１１１，Ｓ１１２，Ｓ１１３は、上記の再利用方法の例２と同じである。
（ステップＳ１１３ａ）データ保安装置１０１０は、サーバ装置２０００から受信した期待値Ｅｅｎ＿ｂを、ＥＣＵ（ｕｓｅｄ）１０２０に送信する。
（ステップＳ１１４）ＥＣＵ（ｕｓｅｄ）１０２０は、データ保安装置１０１０から受信した期待値Ｅｅｎ＿ｂにより、記憶部１０２３に格納している期待値Ｅｅｎ＿ｏｌｄを更新する。これにより、記憶部１０２３に格納している期待値Ｅｅｎ＿ｏｌｄが期待値Ｅｅｎ＿ｂに書き換えられる。よって、該更新後の記憶部１０２３に格納される期待値は期待値Ｅｅｎ＿ｂである。ＥＣＵ（ｕｓｅｄ）１０２０は、セキュアブートの測定値Ｅｅｎ＿ａと、記憶部１０２３に格納される期待値Ｅｅｎ＿ｂとを比較し、両者が一致するか否かを判断する。この判断の結果、両者が一致する場合にはセキュアブート結果が合格である。一方、両者が一致しない場合にはセキュアブート結果が不合格である。
（ステップＳ１１５）ＥＣＵ（ｕｓｅｄ）１０２０は、セキュアブート結果「合格又は不合格」をデータ保安装置１０１０に送信する。
（ステップＳ１１６）データ保安装置１０１０は、ＥＣＵ（ｕｓｅｄ）１０２０から受信したセキュアブート結果により、ＥＣＵ（ｕｓｅｄ）１０２０のセキュアブートの合否を判断する。ＥＣＵ（ｕｓｅｄ）１０２０から受信したセキュアブート結果が合格である場合には、ステップＳ１１７に進む。一方、ＥＣＵ（ｕｓｅｄ）１０２０から受信したセキュアブート結果が不合格である場合には、当該ＥＣＵ（ｕｓｅｄ）１０２０について図６の処理を終了する。よって、該セキュアブート結果が不合格である場合には、当該ＥＣＵ（ｕｓｅｄ）１０２０についてステップＳ１１７以降は実行されない。また、セキュアブート結果が不合格である場合には、データ保安装置１０１０は所定のエラー処理を実行してもよい。
次いで、ステップＳ１１７，Ｓ１１８が実行される。ステップＳ１１７，Ｓ１１８は、上記の再利用方法の例２と同じである。
なお、データ保安装置１０１０は、検証値（例えば、乱数）を予めＥＣＵ（ｕｓｅｄ）１０２０に供給してもよい。そして、ステップＳ１１５において、ＥＣＵ（ｕｓｅｄ）１０２０は、セキュアブート結果が合格である場合にはセキュアブート結果「合格」に検証値を含め、一方、セキュアブート結果が不合格である場合にはセキュアブート結果「不合格」に検証値を含めない。データ保安装置１０１０の検証部２３は、ＥＣＵ（ｕｓｅｄ）１０２０のセキュアブート結果「合格」に含まれる検証値と、予めＥＣＵ（ｕｓｅｄ）１０２０に供給した元の検証値とを比較する。データ保安装置１０１０の検証部２３は、該比較の結果、両者が一致する場合にはＥＣＵ（ｕｓｅｄ）１０２０のセキュアブート結果が合格であると判断し、両者が一致しない場合にはＥＣＵ（ｕｓｅｄ）１０２０のセキュアブート結果が不合格であると判断する。
また、ＥＣＵ（ｕｓｅｄ）１０２０は、ＳＨＥ１０２２の暗号処理部５２によりセキュアブート結果を暗号化して、データ保安装置１０１０に送信してもよい。この暗号化に用いる暗号鍵Ｋｅｅは、予め、データ保安装置１０１０とＥＣＵ（ｕｓｅｄ）１０２０間で共有しておく。例えば、サーバ装置２０００が暗号鍵Ｋｅｅをデータ保安装置１０１０に供給する。データ保安装置１０１０は、ＥＣＵ（ｕｓｅｄ）１０２０からの暗号化データを、暗号処理部３２により暗号鍵Ｋｅｅで復号して、セキュアブート結果を取得する。なお、暗号鍵Ｋｅｅは、セキュアブート結果が合格である場合にのみＳＨＥ１０２２で使用可能となる鍵であってもよい。この場合、ＳＨＥ１０２２の暗号処理部５２はセキュアブート結果「合格」を該暗号鍵Ｋｅｅにより暗号化する。
以上が再利用方法の例２の変形例ｂの説明である。
＜再利用方法の例３＞
図９は、本実施形態に係る再利用方法の例３を示すシーケンスチャートである。図９を参照して本実施形態に係る再利用方法の例３を説明する。再利用方法の例３は、中古のデータ保安装置を再利用する場合である。以下、中古のデータ保安装置をデータ保安装置（ｕｓｅｄ）と称する。
図９には、説明の便宜上、自動車１００１に搭載されるＥＣＵ（ｎ）１０２０のうち、１個のＥＣＵ（１）１０２０のみを示している。但し、ｎは１からＮまでの整数である。Ｎは、自動車１００１に搭載されているＥＣＵ１０２０のうち、車内鍵配信対象のＥＣＵ１０２０の個数である。
図９において、データ保安装置（ｕｓｅｄ）１０１０は、図示しないある自動車（第１車両に対応）から取り外されて自動車１００１（第２車両に対応）に搭載されている。サーバ装置２０００は、マスタ鍵Ｍａｓｔｅｒ＿Ｓｅｃｒｅｔと、プログラムコードとを予め記憶部２０１２に格納している。プログラムコードは、更新プログラム等のコンピュータプログラムであってもよく、又は、パラメータ設定値などの設定データであってもよい。記憶部２０１２に格納されているプログラムコードは、データ保安装置（ｕｓｅｄ）１０１０が自動車１００１に搭載される時点で該データ保安装置（ｕｓｅｄ）１０１０に適用されているデータ保安装置コードを含む。データ保安装置コードは、データ保安装置のプログラムコードである。
データ保安装置１０１０は、Ｒｏｏｔ鍵Ｋｒｃ、署名鍵Ｋｂｃ、暗号鍵Ｋｅｃ、期待値Ｅｃｎ＿ｏｌｄ及び車内鍵Ｋｖ＿ｏｌｄ＿ａを予めＨＳＭ１０１２の記憶部１０１３に格納している。ＥＣＵ（１）１０２０は、Ｒｏｏｔ鍵Ｋｒ１、署名鍵Ｋｂ１、暗号鍵Ｋｅ１、期待値Ｅ１ｎ及び車内鍵Ｋｖ＿ｏｌｄ＿ｂを予めＳＨＥ１０２２の記憶部１０２３に格納している。データ保安装置（ｕｓｅｄ）１０１０が格納する車内鍵Ｋｖ＿ｏｌｄ＿ａと、ＥＣＵ（１）１０２０が格納する車内鍵Ｋｖ＿ｏｌｄ＿ｂとは異なる。
以下、サーバ装置２０００は、通信部２０１１により、自動車１００１のＴＣＵ１０５０と通信を行い、ＴＣＵ１０５０を介して、自動車１００１のデータ保安装置（ｕｓｅｄ）１０１０との間でデータを送受する。また、データ保安装置（ｕｓｅｄ）１０１０とＥＣＵ（１）１０２０とは、ＣＡＮ１０３０を介して、データを送受する。なお、サーバ装置２０００とデータ保安装置（ｕｓｅｄ）１０１０は、暗号化通信路の一例として、ｈｔｔｐｓ通信を行ってもよい。
（ステップＳ２０１）サーバ装置２０００の鍵生成部２０１５は、自動車１００１に搭載されているデータ保安装置（ｕｓｅｄ）１０１０のＲｏｏｔ鍵Ｋｒｃ及び署名鍵Ｋｂｃと、ＥＣＵ（１）１０２０のＲｏｏｔ鍵Ｋｒ１とを生成する。この鍵生成方法は、上述した図５の再利用方法の例１と同じである。記憶部２０１２は、データ保安装置（ｕｓｅｄ）１０１０のＲｏｏｔ鍵Ｋｒｃ及び署名鍵Ｋｂｃと、ＥＣＵ（１）１０２０のＲｏｏｔ鍵Ｋｒ１とを格納する。データ保安装置（ｕｓｅｄ）１０１０のＨＳＭ１０１２の記憶部１０１３は、サーバ装置２０００と同じ鍵生成方法によって生成されたＲｏｏｔ鍵Ｋｒｃ及び署名鍵Ｋｂｃを予め格納している。ＥＣＵ１０２０のＳＨＥ１０２２の記憶部１０２３は、サーバ装置２０００と同じ鍵生成方法によって生成されたＲｏｏｔ鍵Ｋｒ１を予め格納している。
（ステップＳ２０２）データ保安装置（ｕｓｅｄ）１０１０の制御部２１は、自動車１００１に搭載された後、セキュアブートを実行する。このセキュアブートでは、ＨＳＭ１０１２の測定部３３は、記憶部１０１３に格納している署名鍵Ｋｂｃによりデータ保安装置コードの測定値を計算する。本実施形態では、測定値の一例として、ＣＭＡＣを使用する。よって、測定部３３は、記憶部１０１３に格納している署名鍵Ｋｂｃにより、データ保安装置コードのＣＭＡＣを計算する。この計算結果のＣＭＡＣを測定値Ｅｃｎ＿ａと称する。ＨＳＭ１０１２は、測定値Ｅｃｎ＿ａを制御部２１に渡す。ＨＳＭ１０１２は、測定値Ｅｃｎ＿ａにより、記憶部１０１３に格納している期待値Ｅｃｎ＿ｏｌｄを更新する。これにより、記憶部１０１３に格納している期待値Ｅｃｎ＿ｏｌｄが測定値Ｅｃｎ＿ａに書き換えられる。よって、該更新後の記憶部１０１３に格納される期待値は測定値Ｅｃｎ＿ａである。
（ステップＳ２０３）データ保安装置（ｕｓｅｄ）１０１０の制御部２１は、測定値Ｅｃｎ＿ａをＨＳＭ１０１２に渡して暗号化を実行させる。ＨＳＭ１０１２の暗号処理部３２は、記憶部１０１３に格納しているＲｏｏｔ鍵Ｋｒｃにより測定値Ｅｃｎ＿ａを暗号化して暗号化データＫｒｃ（Ｅｃｎ＿ａ）を生成する。ＨＳＭ１０１２は、暗号化データＫｒｃ（Ｅｃｎ＿ａ）を制御部２１に渡す。制御部２１は、インタフェース部２０により、暗号化データＫｒｃ（Ｅｃｎ＿ａ）をサーバ装置２０００に送信する。サーバ装置２０００は、自動車１００１のデータ保安装置（ｕｓｅｄ）１０１０から暗号化データＫｒｃ（Ｅｃｎ＿ａ）を受信する。測定値Ｅｃｎ＿ａは、セキュアブート結果の例である。
（ステップＳ２０４）サーバ装置２０００の暗号処理部２０１６は、記憶部２０１２に格納しているＲｏｏｔ鍵Ｋｒｃにより暗号化データＫｒｃ（Ｅｃｎ＿ａ）を復号して、測定値Ｅｃｎ＿ａを取得する。なお、データ保安装置（ｕｓｅｄ）１０１０は、測定値Ｅｃｎ＿ａを暗号化しないでそのままのデータでサーバ装置２０００に送信してもよい。
期待値計算部２０１３は、記憶部２０１２に格納している署名鍵Ｋｂｃにより、記憶部２０１２に格納しているデータ保安装置（ｕｓｅｄ）１０１０のデータ保安装置コードについてのＣＭＡＣを計算する。この計算結果のＣＭＡＣを期待値Ｅｃｎ＿ｂと称する。検証部２０１４は、測定値Ｅｃｎ＿ａと期待値Ｅｃｎ＿ｂとを比較し、両者が一致するか否かを判断する。この判断の結果、両者が一致する場合には測定値Ｅｃｎ＿ａの検証が合格である。測定値Ｅｃｎ＿ａの検証が合格である場合には、ステップＳ２０５に進む。一方、両者が一致しない場合には測定値Ｅｃｎ＿ａの検証が不合格である。測定値Ｅｃｎ＿ａの検証が不合格である場合には、当該データ保安装置（ｕｓｅｄ）１０１０について図９の処理を終了する。よって、測定値Ｅｃｎ＿ａの検証が不合格である場合には、当該データ保安装置（ｕｓｅｄ）１０１０についてステップＳ２０５以降は実行されない。また、測定値Ｅｃｎ＿ａの検証が不合格である場合には、サーバ装置２０００は所定のエラー処理を実行してもよい。
（ステップＳ２０５）サーバ装置２０００は、車内鍵送付要求メッセージを自動車１００１のデータ保安装置（ｕｓｅｄ）１０１０に送信する。この車内鍵送付要求メッセージは、測定値Ｅｃｎ＿ａの検証が合格したデータ保安装置（ｕｓｅｄ）１０１０に新車内鍵Ｋｖ＿ｎｅｗを送付することを要求するメッセージである。該車内鍵送付要求メッセージは、ＥＣＵ（１）１０２０のＲｏｏｔ鍵Ｋｒ１を含む。サーバ装置２０００は、暗号処理部２０１６によりデータ保安装置（ｕｓｅｄ）１０１０のＲｏｏｔ鍵ＫｒｃでＲｏｏｔ鍵Ｋｒ１を暗号化し、該Ｒｏｏｔ鍵Ｋｒ１の暗号化データＫｒｃ（Ｋｒ１）を車内鍵送付要求メッセージに格納することが好ましい。自動車１００１のデータ保安装置（ｕｓｅｄ）１０１０は、サーバ装置２０００から車内鍵送付要求メッセージを受信する。
（ステップＳ２０６）データ保安装置（ｕｓｅｄ）１０１０の制御部２１は、ＨＳＭ１０１２に、新車内鍵Ｋｖ＿ｎｅｗの生成を実行させる。ＨＳＭ１０１２の鍵生成部３４は、新車内鍵Ｋｖ＿ｎｅｗを生成する。例えば、ＨＳＭ１０１２の鍵生成部３４は、乱数を発生し、該乱数に基づいて新車内鍵Ｋｖ＿ｎｅｗを生成する。ＨＳＭ１０１２は、新車内鍵Ｋｖ＿ｎｅｗにより、記憶部１０１３に格納している車内鍵Ｋｖ＿ｏｌｄ＿ａを更新する。これにより、記憶部１０１３に格納している車内鍵Ｋｖ＿ｏｌｄ＿ａが新車内鍵Ｋｖ＿ｎｅｗに書き換えられる。よって、該更新後の記憶部１０１３に格納される車内鍵は新車内鍵Ｋｖ＿ｎｅｗである。
（ステップＳ２０７）データ保安装置（ｕｓｅｄ）１０１０の制御部２１は、車内鍵送付要求メッセージに含まれるＥＣＵ（１）１０２０のＲｏｏｔ鍵Ｋｒ１をＨＳＭ１０１２に渡して、新車内鍵Ｋｖ＿ｎｅｗの暗号化を実行させる。なお、車内鍵送付要求メッセージに含まれるＥＣＵ（１）１０２０のＲｏｏｔ鍵Ｋｒ１が暗号化されている場合には、制御部２１は、該Ｒｏｏｔ鍵Ｋｒ１の暗号化データＫｒｃ（Ｋｒ１）をＨＳＭ１０１２に渡して、Ｒｏｏｔ鍵Ｋｒｃにより復号させることにより、ＥＣＵ（１）１０２０のＲｏｏｔ鍵Ｋｒ１を取得する。
ＨＳＭ１０１２の暗号処理部３２は、ＥＣＵ（１）１０２０のＲｏｏｔ鍵Ｋｒ１により、記憶部１０１３に格納している新車内鍵Ｋｖ＿ｎｅｗを暗号化して、暗号化データＫｒ１（Ｋｖ＿ｎｅｗ）を生成する。ＨＳＭ１０１２は、暗号化データＫｒ１（Ｋｖ＿ｎｅｗ）を制御部２１に渡す。制御部２１は、インタフェース部２０により、暗号化データＫｒ１（Ｋｖ＿ｎｅｗ）をＥＣＵ（１）１０２０に送信する。ＥＣＵ（１）１０２０は、インタフェース部４０により、データ保安装置（ｕｓｅｄ）１０１０から暗号化データＫｒ１（Ｋｖ＿ｎｅｗ）を受信する。
（ステップＳ２０８）ＥＣＵ（１）１０２０の制御部４１は、暗号化データＫｒ１（Ｋｖ＿ｎｅｗ）をＳＨＥ１０２２に渡して復号を実行させる。ＳＨＥ１０２２の暗号処理部５２は、記憶部１０２３に格納しているＲｏｏｔ鍵Ｋｒ１により暗号化データＫｒ１（Ｋｖ＿ｎｅｗ）を復号して、新車内鍵Ｋｖ＿ｎｅｗを取得する。ＳＨＥ１０２２は、該新車内鍵Ｋｖ＿ｎｅｗにより、記憶部１０２３に格納している車内鍵Ｋｖ＿ｏｌｄ＿ｂを更新する。これにより、記憶部１０２３に格納している車内鍵Ｋｖ＿ｏｌｄ＿ｂが新車内鍵Ｋｖ＿ｎｅｗに書き換えられる。よって、該更新後の記憶部１０２３に格納される車内鍵は新車内鍵Ｋｖ＿ｎｅｗである。これにより、ＥＣＵ（１）１０２０は、データ保安装置（ｕｓｅｄ）１０１０と共通の新車内鍵Ｋｖ＿ｎｅｗを格納する。
上記の図９の各ステップは、自動車１００１に搭載されている全てのＥＣＵ（ｎ）１０２０に対して同様に実行される。これにより、自動車１００１において、データ保安装置（ｕｓｅｄ）１０１０と各ＥＣＵ（ｎ）１０２０とは、共通の新車内鍵Ｋｖ＿ｎｅｗを格納する。本再利用方法の例３において、Ｒｏｏｔ鍵Ｋｒｃは、第３鍵の例である。また、Ｒｏｏｔ鍵Ｋｒ１は第４鍵の例である。また、新車内鍵Ｋｖ＿ｎｅｗは、ＥＣＵ（１）１０２０に適用される第１データの例である。
上述した再利用方法の例３によれば、自動車１００１に搭載されたデータ保安装置（ｕｓｅｄ）１０１０は該自動車１００１に搭載されている各ＥＣＵ（ｎ）１０２０のＲｏｏｔ鍵Ｋｒｎ（ｎは１からＮまでの整数）を共有することができる。これにより、自動車１００１において、データ保安装置（ｕｓｅｄ）１０１０は、各ＥＣＵ（ｎ）１０２０との間で、各Ｒｏｏｔ鍵Ｋｒｎを使用して安全な通信を行うことができる。これは、データ保安装置（ｕｓｅｄ）１０１０が搭載される自動車１００１の信頼性を向上させることに寄与するという効果を奏する。
また、上述した再利用方法の例３によれば、自動車１００１において、データ保安装置（ｕｓｅｄ）１０１０と各ＥＣＵ（ｎ）１０２０は、新車内鍵Ｋｖ＿ｎｅｗを共有することができる。これにより、ＥＣＵ（ｎ）１０２０は、自動車１００１の他のＥＣＵ（ｎ）１０２０やデータ保安装置（ｕｓｅｄ）１０１０との間で、新車内鍵Ｋｖ＿ｎｅｗを使用して安全な通信を行うことができる。
＜再利用方法の例３の変形例ｃ＞
図１０は、再利用方法の例３の変形例ｃを示すシーケンスチャートである。図１０を参照して、再利用方法の例３の変形例ｃを説明する。図１０において図９の各ステップに対応する部分には同一の符号を付している。
再利用方法の例３の変形例ｃでは、データ保安装置（ｕｓｅｄ）１０１０のセキュアブートの測定の期待値を、サーバ装置２０００からデータ保安装置（ｕｓｅｄ）１０１０に供給する。
図１０において、ステップＳ２０１が実行される。ステップＳ２０１は、上記の再利用方法の例３と同じである。
（ステップＳ２０１ａ）ステップＳ２０１の後、サーバ装置２０００の期待値計算部２０１３は、記憶部２０１２に格納している署名鍵Ｋｂｃにより、記憶部２０１２に格納しているデータ保安装置（ｕｓｅｄ）１０１０のデータ保安装置コードについてのＣＭＡＣを計算する。この計算結果のＣＭＡＣは期待値Ｅｃｎ＿ｂである。
（ステップＳ２０１ｂ）サーバ装置２０００は、期待値Ｅｃｎ＿ｂをデータ保安装置（ｕｓｅｄ）１０１０に送信する。
（ステップＳ２０２）データ保安装置（ｕｓｅｄ）１０１０は、サーバ装置２０００から受信した期待値Ｅｃｎ＿ｂにより、記憶部１０１３に格納している期待値Ｅｃｎ＿ｏｌｄを更新する。これにより、記憶部１０１３に格納している期待値Ｅｃｎ＿ｏｌｄが期待値Ｅｃｎ＿ｂに書き換えられる。よって、該更新後の記憶部１０１３に格納される期待値は期待値Ｅｃｎ＿ｂである。データ保安装置（ｕｓｅｄ）１０１０は、セキュアブートの測定値Ｅｃｎ＿ａと、記憶部１０１３に格納される期待値Ｅｃｎ＿ｂとを比較し、両者が一致するか否かを判断する。この判断の結果、両者が一致する場合にはセキュアブート結果が合格である。一方、両者が一致しない場合にはセキュアブート結果が不合格である。
（ステップＳ２０３）データ保安装置（ｕｓｅｄ）１０１０は、セキュアブート結果「合格又は不合格」をサーバ装置２０００に送信する。
（ステップＳ２０４）サーバ装置２０００は、データ保安装置（ｕｓｅｄ）１０１０から受信したセキュアブート結果により、データ保安装置（ｕｓｅｄ）１０１０のセキュアブートの合否を判断する。データ保安装置（ｕｓｅｄ）１０１０から受信したセキュアブート結果が合格である場合には、ステップＳ２０５に進む。一方、データ保安装置（ｕｓｅｄ）１０１０から受信したセキュアブート結果が不合格である場合には、当該データ保安装置（ｕｓｅｄ）１０１０について図１０の処理を終了する。よって、該セキュアブート結果が不合格である場合には、当該データ保安装置（ｕｓｅｄ）１０１０についてステップＳ２０５以降は実行されない。また、セキュアブート結果が不合格である場合には、サーバ装置２０００は所定のエラー処理を実行してもよい。
次いで、ステップＳ２０５，Ｓ２０６，Ｓ２０７，Ｓ２０８が実行される。ステップＳ２０５，Ｓ２０６，Ｓ２０７，Ｓ２０８は、上記の再利用方法の例３と同じである。
なお、サーバ装置２０００は、検証値（例えば、乱数）を予めデータ保安装置（ｕｓｅｄ）１０１０に供給してもよい。そして、ステップＳ２０３において、データ保安装置（ｕｓｅｄ）１０１０は、セキュアブート結果が合格である場合にはセキュアブート結果「合格」に検証値を含め、一方、セキュアブート結果が不合格である場合にはセキュアブート結果「不合格」に検証値を含めない。サーバ装置２０００の検証部２０１４は、データ保安装置（ｕｓｅｄ）１０１０のセキュアブート結果「合格」に含まれる検証値と、予めデータ保安装置（ｕｓｅｄ）１０１０に供給した元の検証値とを比較する。サーバ装置２０００の検証部２０１４は、該比較の結果、両者が一致する場合にはデータ保安装置（ｕｓｅｄ）１０１０のセキュアブート結果が合格であると判断し、両者が一致しない場合にはデータ保安装置（ｕｓｅｄ）１０１０のセキュアブート結果が不合格であると判断する。
また、データ保安装置（ｕｓｅｄ）１０１０は、ＨＳＭ１０１２の暗号処理部３２によりセキュアブート結果を暗号化して、サーバ装置２０００に送信してもよい。この暗号化に用いる暗号鍵Ｋｅｃは、予め、サーバ装置２０００とデータ保安装置（ｕｓｅｄ）１０１０間で共有しておく。サーバ装置２０００は、データ保安装置（ｕｓｅｄ）１０１０からの暗号化データを、暗号処理部２０１６により、記憶部２０１２に格納されている暗号鍵Ｋｅｃで復号して、セキュアブート結果を取得する。なお、暗号鍵Ｋｅｃは、セキュアブート結果が合格である場合にのみＨＳＭ１０１２で使用可能となる鍵であってもよい。この場合、ＨＳＭ１０１２の暗号処理部３２はセキュアブート結果「合格」を該暗号鍵Ｋｅｃにより暗号化する。
以上が再利用方法の例３の変形例ｃの説明である。
以上、本発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。
上述した実施形態に係る再利用方法の例の説明では、ＥＣＵ識別子の一例として、ＥＣＵ識別子の構成例４、つまり、ＥＣＵに備わるＳＨＥのＵＩＤを当該ＥＣＵのＥＣＵ識別子に使用したが、これに限定されない。例えば、ＳＨＥのＵＩＤ以外の他のＥＣＵに固有の値をＥＣＵ識別子に使用してもよい。
又は、ＥＣＵ識別子の構成例１，２，３を使用してもよい。ＥＣＵ識別子の構成例１，２，３を使用する場合、ＥＣＵのＥＣＵ識別子は、当該ＥＣＵが搭載される自動車の車両識別番号（ＶＩＮ）を含むので、当該ＥＣＵが搭載される自動車が変わると、異なる値に変わる。このため、中古のＥＣＵのＥＣＵ識別子は、該中古のＥＣＵが再利用される先の自動車の車両識別番号（ＶＩＮ）を使用して生成される。サーバ装置２０００は、再利用先の自動車（第２車両）に搭載された中古のＥＣＵに対して、該再利用先の自動車の車両識別番号（ＶＩＮ）を使用して生成された新ＥＣＵ識別子を使用して、各種の新しい鍵（例えば、新Ｒｏｏｔ鍵、新署名鍵、新暗号鍵など）を生成する。この鍵生成方法は、上述の実施形態と同じである。
サーバ装置２０００は、それら新しい鍵、例えば新Ｒｏｏｔ鍵を再利用先の自動車に搭載された中古のＥＣＵに供給し、該中古のＥＣＵのＲｏｏｔ鍵を新Ｒｏｏｔ鍵に更新させる。サーバ装置２０００は、該中古のＥＣＵに予め格納されている旧Ｒｏｏｔ鍵により新Ｒｏｏｔ鍵を暗号化し、該暗号化新Ｒｏｏｔ鍵を再利用先の自動車に搭載された中古のＥＣＵに送信することが好ましい。中古のＥＣＵは、自己に格納している旧Ｒｏｏｔ鍵により暗号化新Ｒｏｏｔ鍵を復号して新Ｒｏｏｔ鍵を取得する。中古のＥＣＵの旧Ｒｏｏｔ鍵は、該中古のＥＣＵが取り外された自動車（第１車両）の車両識別番号（ＶＩＮ）を使用して生成された旧ＥＣＵ識別子を使用して、生成される。
なお、データ保安装置の装置識別子についても、ＥＣＵ識別子と同様に、データ保安装置に固有の値であってもよく、又は、ＥＣＵ識別子の構成例１，２，３のようにデータ保安装置が搭載される自動車別の値であってもよい。データ保安装置の装置識別子が、ＥＣＵ識別子の構成例１，２，３のようにデータ保安装置が搭載される自動車別の値である場合には、上述したＥＣＵと同様に、中古のデータ保安装置の再利用先の自動車において、該中古のデータ保安装置の各種の旧鍵は新鍵に更新される。
なお、メンテナンスツール２１００が、サーバ装置２０００と同様の機能を備え、鍵生成装置として機能してもよい。また、自動車１００１のＴＣＵ１０５０又はインフォテイメント機器１０４０が、サーバ装置２０００と同様の機能を備え、鍵生成装置として機能してもよい。
上述した実施形態では、データ保安装置１０１０やＥＣＵ１０２０にＨＳＭやＳＨＥを使用したが、ＨＳＭ及びＳＨＥ以外の暗号処理チップを使用してもよい。データ保安装置１０１０に対して、例えば「ＴＰＭ（Trusted Platform Module）ｆ」と呼ばれる暗号処理チップを使用してもよい。ＴＰＭｆは耐タンパー性を有する。ＴＰＭｆはセキュアエレメントの例である。ＥＣＵ１０２０に対して、例えば「ＴＰＭｔ」と呼ばれる暗号処理チップを使用してもよい。ＴＰＭｔは耐タンパー性を有する。ＴＰＭｔはセキュアエレメントの例である。
上述した実施形態は、例えば、自動車の整備工場や販売店等において、自動車のＥＣＵ又はデータ保安装置を中古品に交換した際に、自動車に搭載された該中古品に適用してもよい。
上述した実施形態では、車両として自動車を例に挙げたが、原動機付自転車や鉄道車両等の自動車以外の他の車両にも適用可能である。
また、上述した各装置の機能を実現するためのコンピュータプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行するようにしてもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものであってもよい。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、フラッシュメモリ等の書き込み可能な不揮発性メモリ、ＤＶＤ（Digital Versatile Disc）等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。
さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（例えばＤＲＡＭ（Dynamic Random Access Memory））のように、一定時間プログラムを保持しているものも含むものとする。
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
２０，４０…インタフェース部、２１，４１…制御部、２２，４２，２０１２…記憶部、２３，２０１４…検証部、３２，５２，２０１６…暗号処理部、３３，５３…測定部、３４，２０１５…鍵生成部、１００１…自動車、１００２…車載コンピュータシステム、１０１０…データ保安装置、１０１１，１０２１…メイン演算器、１０１２…ＨＳＭ、１０１３，１０２３…記憶部、１０２０…ＥＣＵ、１０２２…ＳＨＥ、１０３０…ＣＡＮ、１０４０…インフォテイメント機器、１０５０…ＴＣＵ、１０５１…通信モジュール、１０５２…ＳＩＭ、１０６０…診断ポート、２０００…サーバ装置、２０１１…通信部、２０１３…期待値計算部、２１００…メンテナンスツール

Claims (10)

  1. 鍵生成装置と、第１車両から取り外されて第２車両に搭載される車載コンピュータと、前記第２車両に搭載されるデータ保安装置とを備え、
    前記鍵生成装置は、
    前記第２車両とデータを送受する車両インタフェースと、
    前記車載コンピュータの車載コンピュータ識別子と、前記第１車両と前記第２車両とに共通のマスタ鍵とを使用して、前記第１車両に搭載時から前記車載コンピュータに格納されている鍵と同じ第１鍵を生成する鍵生成部と、を備え、前記車両インタフェースにより前記第１鍵を前記第２車両に送信し、
    前記データ保安装置は、
    自データ保安装置の外部の装置とデータを送受する第１インタフェース部と、
    前記車載コンピュータに適用される第１データを、前記第１インタフェース部により前記鍵生成装置から受信した第１鍵により暗号化して暗号化第１データを生成する第１暗号処理部と、を備え、前記第１インタフェース部により前記暗号化第１データを前記車載コンピュータに送信し、
    前記車載コンピュータは、
    自車載コンピュータの外部の装置とデータを送受する第２インタフェース部と、
    前記第１車両に搭載時から第１鍵を格納する第２記憶部と、
    前記第２インタフェース部により前記データ保安装置から受信した暗号化第１データを、前記第２記憶部に格納されている第１鍵により復号する第２暗号処理部と、を備え、
    前記車載コンピュータは、
    第２鍵を前記第２記憶部にさらに格納し、
    前記第２記憶部に格納されている第２鍵を使用して、自車載コンピュータに適用しているデータの測定を行う測定部をさらに備え、
    前記鍵生成部は、前記車載コンピュータ識別子と前記マスタ鍵とを使用して、前記車載コンピュータに格納されている鍵と同じ第２鍵をさらに生成し、
    前記鍵生成装置は、前記鍵生成部が生成した第２鍵を使用して、前記測定の期待値を計算する期待値計算部をさらに備え、
    前記鍵生成装置は、前記車両インタフェースにより前記第２車両から受信した前記測定部の測定結果を、前記期待値により検証する検証部をさらに備える、再利用システムであって、
    前記鍵生成装置は、車両の外部に設けられ、中古の車載コンピュータの再利用に関する処理を実行するサーバ装置であり、
    前記サーバ装置は、中古の車載コンピュータに適用されているデータを記憶するデータ記憶部を備え、
    前記期待値計算部は、前記データ記憶部に記憶されるデータであって、前記第１車両から取り外されて前記第２車両に搭載される車載コンピュータが前記第２車両に搭載される時点で当該車載コンピュータに適用されているデータについての前記測定の期待値を計算する、
    再利用システム。
  2. 鍵生成装置と、第１車両から取り外されて第２車両に搭載される車載コンピュータと、前記第２車両に搭載されるデータ保安装置とを備え、
    前記鍵生成装置は、
    前記第２車両とデータを送受する車両インタフェースと、
    前記車載コンピュータの車載コンピュータ識別子と、前記第１車両と前記第２車両とに共通のマスタ鍵とを使用して、前記第１車両に搭載時から前記車載コンピュータに格納されている鍵と同じ第１鍵を生成する鍵生成部と、を備え、前記車両インタフェースにより前記第１鍵を前記第２車両に送信し、
    前記データ保安装置は、
    自データ保安装置の外部の装置とデータを送受する第１インタフェース部と、
    前記車載コンピュータに適用される第１データを、前記第１インタフェース部により前記鍵生成装置から受信した第１鍵により暗号化して暗号化第１データを生成する第１暗号処理部と、を備え、前記第１インタフェース部により前記暗号化第１データを前記車載コンピュータに送信し、
    前記車載コンピュータは、
    自車載コンピュータの外部の装置とデータを送受する第２インタフェース部と、
    前記第１車両に搭載時から第１鍵を格納する第２記憶部と、
    前記第２インタフェース部により前記データ保安装置から受信した暗号化第１データを、前記第２記憶部に格納されている第１鍵により復号する第２暗号処理部と、を備え、
    前記車載コンピュータは、
    第２鍵を前記第２記憶部にさらに格納し、
    前記第２記憶部に格納されている第２鍵を使用して、自車載コンピュータに適用しているデータの測定を行う測定部をさらに備え、
    前記鍵生成部は、前記車載コンピュータ識別子と前記マスタ鍵とを使用して、前記車載コンピュータに格納されている鍵と同じ第２鍵をさらに生成し、
    前記鍵生成装置は、前記鍵生成部が生成した第２鍵を使用して、前記測定の期待値を計算する期待値計算部をさらに備え、
    前記データ保安装置は、前記第１インタフェース部により前記車載コンピュータから受信した前記測定部の測定結果を、前記期待値により検証する検証部をさらに備える、再利用システムであり、
    前記鍵生成装置は、車両の外部に設けられ、中古の車載コンピュータの再利用に関する処理を実行するサーバ装置であって、
    前記サーバ装置は、中古の車載コンピュータに適用されているデータを記憶するデータ記憶部を備え、
    前記期待値計算部は、前記データ記憶部に記憶されるデータであって、前記第１車両から取り外されて前記第２車両に搭載される車載コンピュータが前記第２車両に搭載される時点で当該車載コンピュータに適用されているデータについての前記測定の期待値を計算する、
    再利用システム。
  3. 鍵生成装置と、第１車両から取り外されて第２車両に搭載されるデータ保安装置と、を備え、
    前記鍵生成装置は、
    前記第２車両とデータを送受する車両インタフェースと、
    前記データ保安装置の装置識別子と、前記第１車両と前記第２車両とに共通のマスタ鍵とを使用して、前記第１車両に搭載時から前記データ保安装置に格納されている鍵と同じ第３鍵を生成する鍵生成部と、
    前記第２車両に搭載される車載コンピュータの第４鍵を前記第３鍵により暗号化して暗号化第４鍵を生成する暗号処理部と、を備え、前記車両インタフェースにより前記暗号化第４鍵を前記第２車両に送信し、
    前記データ保安装置は、
    自データ保安装置の外部の装置とデータを送受する第１インタフェース部と、
    前記第１車両に搭載時から第３鍵を格納する第１記憶部と、
    前記第１インタフェース部により前記鍵生成装置から受信した暗号化第４鍵を、前記第１記憶部に格納されている第３鍵により復号する第１暗号処理部と、を備え、
    前記データ保安装置は、
    第２鍵を前記第１記憶部にさらに格納し、
    前記第１記憶部に格納されている第２鍵を使用して、自データ保安装置に適用しているデータの測定を行う測定部をさらに備え、
    前記鍵生成部は、前記装置識別子と前記マスタ鍵とを使用して、前記データ保安装置に格納されている鍵と同じ第２鍵をさらに生成し、
    前記鍵生成装置は、前記鍵生成部が生成した第２鍵を使用して、前記測定の期待値を計算する期待値計算部をさらに備え、
    前記鍵生成装置は、前記車両インタフェースにより前記第２車両から受信した前記測定部の測定結果を、前記期待値により検証する検証部をさらに備える、再利用システムであって、
    前記鍵生成装置は、車両の外部に設けられ、中古のデータ保安装置の再利用に関する処理を実行するサーバ装置であり、
    前記サーバ装置は、中古のデータ保安装置に適用されているデータを記憶するデータ記憶部を備え、
    前記期待値計算部は、前記データ記憶部に記憶されるデータであって、前記第１車両から取り外されて前記第２車両に搭載されるデータ保安装置が前記第２車両に搭載される時点で当該データ保安装置に適用されているデータについての前記測定の期待値を計算する、
    再利用システム。
  4. 前記第１暗号処理部は、前記車載コンピュータに適用される第１データを、前記暗号化第４鍵の復号により取得した第４鍵により暗号化して暗号化第１データを生成し、
    前記データ保安装置は、前記第１インタフェース部により前記暗号化第１データを前記車載コンピュータに送信する、
    請求項３に記載の再利用システム。
  5. 車両の外部に設けられ、中古の車載コンピュータの再利用に関する処理を実行するサーバ装置であって、
    第１車両から取り外された車載コンピュータが搭載される第２車両とデータを送受する車両インタフェースと、
    前記車載コンピュータの車載コンピュータ識別子と、前記第１車両と前記第２車両とに共通のマスタ鍵とを使用して、前記第１車両に搭載時から前記車載コンピュータに格納されている鍵と同じ第１鍵を生成する鍵生成部と、を備え、
    前記車両インタフェースにより前記第１鍵を前記第２車両に送信する、サーバ装置であり、
    前記鍵生成部は、前記車載コンピュータ識別子と前記マスタ鍵とを使用して、前記車載コンピュータに格納されている鍵と同じ第２鍵をさらに生成し、
    前記サーバ装置は、
    前記鍵生成部が生成した第２鍵を使用して、前記車載コンピュータに適用されているデータの測定の期待値を計算する期待値計算部と、
    前記第２車両から受信した前記測定の測定結果を、前記期待値により検証する検証部とをさらに備え、
    前記サーバ装置は、中古の車載コンピュータに適用されているデータを記憶するデータ記憶部をさらに備え、
    前記期待値計算部は、前記データ記憶部に記憶されるデータであって、前記第１車両から取り外されて前記第２車両に搭載される車載コンピュータが前記第２車両に搭載される時点で当該車載コンピュータに適用されているデータについての前記測定の期待値を計算する、
    サーバ装置。
  6. 車両の外部に設けられ、中古のデータ保安装置の再利用に関する処理を実行するサーバ装置であって、
    第１車両から取り外されたデータ保安装置が搭載される第２車両とデータを送受する車両インタフェースと、
    前記データ保安装置の装置識別子と、前記第１車両と前記第２車両とに共通のマスタ鍵とを使用して、前記第１車両に搭載時から前記データ保安装置に格納されている鍵と同じ第３鍵を生成する鍵生成部と、
    前記第２車両に搭載される車載コンピュータの第４鍵を前記第３鍵により暗号化して暗号化第４鍵を生成する暗号処理部と、を備え、前記車両インタフェースにより前記暗号化第４鍵を前記第２車両に送信する、サーバ装置であり、
    前記鍵生成部は、前記装置識別子と前記マスタ鍵とを使用して、前記データ保安装置に格納されている鍵と同じ第２鍵をさらに生成し、
    前記サーバ装置は、前記鍵生成部が生成した第２鍵を使用して、前記データ保安装置に適用されているデータの測定の期待値を計算する期待値計算部と、
    前記第２車両から受信した前記測定の測定結果を、前記期待値により検証する検証部とをさらに備え、
    前記サーバ装置は、中古のデータ保安装置に適用されているデータを記憶するデータ記憶部をさらに備え、
    前記期待値計算部は、前記データ記憶部に記憶されるデータであって、前記第１車両から取り外されて前記第２車両に搭載されるデータ保安装置が前記第２車両に搭載される時点で当該データ保安装置に適用されているデータについての前記測定の期待値を計算する、
    サーバ装置。
  7. 第１車両から取り外されて第２車両に搭載される車載コンピュータの再利用方法において、
    車両の外部に設けられ、中古の車載コンピュータの再利用に関する処理を実行するサーバ装置が、前記車載コンピュータの車載コンピュータ識別子と、前記第１車両と前記第２車両とに共通のマスタ鍵とを使用して、前記第１車両に搭載時から前記車載コンピュータに格納されている鍵と同じ第１鍵を生成する鍵生成ステップと、
    前記サーバ装置が、前記第２車両とデータを送受する車両インタフェースにより、前記第１鍵を前記第２車両に送信する第１鍵送信ステップと、
    データ保安装置が、前記車載コンピュータに適用される第１データを、自データ保安装置の外部の装置とデータを送受する第１インタフェース部により前記鍵生成装置から受信した第１鍵により暗号化して、暗号化第１データを生成する暗号化ステップと、
    前記データ保安装置が、前記第１インタフェース部により前記暗号化第１データを前記車載コンピュータに送信する暗号化第１データ送信ステップと、
    前記車載コンピュータが、自車載コンピュータの外部の装置とデータを送受する第２インタフェース部により前記データ保安装置から受信した暗号化第１データを、前記第１車両に搭載時から自己の第２記憶部に格納されている第１鍵により復号する復号ステップと、
    前記車載コンピュータが、自己が格納する第２鍵を使用して、自車載コンピュータに適用しているデータの測定を行う測定ステップと、
    前記サーバ装置が、前記車載コンピュータ識別子と前記マスタ鍵とを使用して、前記車載コンピュータに格納されている鍵と同じ第２鍵を生成するステップと、
    前記サーバ装置が、前記生成した第２鍵を使用して、前記測定の期待値を計算する期待値計算ステップと、
    前記サーバ装置が、前記第２車両から受信した前記測定の測定結果を、前記期待値により検証する検証ステップと、を含み、
    前記サーバ装置は、中古の車載コンピュータに適用されているデータを記憶するデータ記憶部を備え、
    前記期待値計算ステップは、前記データ記憶部に記憶されるデータであって、前記第１車両から取り外されて前記第２車両に搭載される車載コンピュータが前記第２車両に搭載される時点で当該車載コンピュータに適用されているデータについての前記測定の期待値を計算する、
    再利用方法。
  8. 第１車両から取り外されて第２車両に搭載されるデータ保安装置の再利用方法において、
    車両の外部に設けられ、中古のデータ保安装置の再利用に関する処理を実行するサーバ装置が、前記データ保安装置の装置識別子と、前記第１車両と前記第２車両とに共通のマスタ鍵とを使用して、前記第１車両に搭載時から前記データ保安装置に格納されている鍵と同じ第３鍵を生成する鍵生成ステップと、
    前記サーバ装置が、前記第２車両に搭載される車載コンピュータの第４鍵を前記第３鍵により暗号化して暗号化第４鍵を生成する暗号化ステップと、
    前記サーバ装置が、前記第２車両とデータを送受する車両インタフェースにより、前記暗号化第４鍵を前記第２車両に送信する暗号化鍵送信ステップと、
    前記データ保安装置が、自データ保安装置の外部の装置とデータを送受する第１インタフェース部により前記鍵生成装置から受信した暗号化第４鍵を、前記第１車両に搭載時から自己の第１記憶部に格納されている第３鍵により復号する復号ステップと、
    前記データ保安装置が、自己が格納する第２鍵を使用して、自データ保安装置に適用しているデータの測定を行う測定ステップと、
    前記サーバ装置が、前記装置識別子と前記マスタ鍵とを使用して、前記データ保安装置に格納されている鍵と同じ第２鍵を生成するステップと、
    前記サーバ装置が、前記生成した第２鍵を使用して、前記測定の期待値を計算する期待値計算ステップと、
    前記サーバ装置が、前記第２車両から受信した前記測定の測定結果を、前記期待値により検証する検証ステップと、を含み、
    前記サーバ装置は、中古のデータ保安装置に適用されているデータを記憶するデータ記憶部を備え、
    前記期待値計算ステップは、前記データ記憶部に記憶されるデータであって、前記第１車両から取り外されて前記第２車両に搭載されるデータ保安装置が前記第２車両に搭載される時点で当該データ保安装置に適用されているデータについての前記測定の期待値を計算する、
    再利用方法。
  9. 車両の外部に設けられ、中古の車載コンピュータの再利用に関する処理を実行するサーバコンピュータであって、第１車両から取り外された車載コンピュータが搭載される第２車両とデータを送受する車両インタフェースを備える前記サーバコンピュータに、
    前記車載コンピュータの車載コンピュータ識別子と、前記第１車両と前記第２車両とに共通のマスタ鍵とを使用して、前記第１車両に搭載時から前記車載コンピュータに格納されている鍵と同じ第１鍵を生成する鍵生成機能と、
    前記車両インタフェースにより前記第１鍵を前記第２車両に送信する送信機能と、を実現させ、
    前記鍵生成機能は、前記車載コンピュータ識別子と前記マスタ鍵とを使用して、前記車載コンピュータに格納されている鍵と同じ第２鍵をさらに生成する、コンピュータプログラムであって、
    前記鍵生成機能が生成した第２鍵を使用して、前記車載コンピュータに適用されているデータの測定の期待値を計算する期待値計算機能と、
    前記第２車両から受信した前記測定の測定結果を、前記期待値により検証する検証機能とをさらに前記サーバコンピュータに実現させ、
    前記サーバコンピュータは、中古の車載コンピュータに適用されているデータを記憶するデータ記憶部を備え、
    前記期待値計算機能は、前記データ記憶部に記憶されるデータであって、前記第１車両から取り外されて前記第２車両に搭載される車載コンピュータが前記第２車両に搭載される時点で当該車載コンピュータに適用されているデータについての前記測定の期待値を計算する、
    コンピュータプログラム。
  10. 車両の外部に設けられ、中古のデータ保安装置の再利用に関する処理を実行するサーバコンピュータであって、第１車両から取り外されたデータ保安装置が搭載される第２車両とデータを送受する車両インタフェースを備える前記サーバコンピュータに、
    前記データ保安装置の装置識別子と、前記第１車両と前記第２車両とに共通のマスタ鍵とを使用して、前記第１車両に搭載時から前記データ保安装置に格納されている鍵と同じ第３鍵を生成する鍵生成機能と、
    前記第２車両に搭載される車載コンピュータの第４鍵を前記第３鍵により暗号化して暗号化第４鍵を生成する暗号処理機能と、
    前記車両インタフェースにより前記暗号化第４鍵を前記第２車両に送信する送信機能と、を実現させ、
    前記鍵生成機能は、前記装置識別子と前記マスタ鍵とを使用して、前記データ保安装置に格納されている鍵と同じ第２鍵をさらに生成する、コンピュータプログラムであって、
    前記鍵生成機能が生成した第２鍵を使用して、前記データ保安装置に適用されているデータの測定の期待値を計算する期待値計算機能と、
    前記第２車両から受信した前記測定の測定結果を、前記期待値により検証する検証機能とをさらに前記サーバコンピュータに実現させ、
    前記サーバコンピュータは、中古のデータ保安装置に適用されているデータを記憶するデータ記憶部を備え、
    前記期待値計算機能は、前記データ記憶部に記憶されるデータであって、前記第１車両から取り外されて前記第２車両に搭載されるデータ保安装置が前記第２車両に搭載される時点で当該データ保安装置に適用されているデータについての前記測定の期待値を計算する、
    コンピュータプログラム。
JP2016219709A 2016-11-10 2016-11-10 再利用システム、サーバ装置、再利用方法、及びコンピュータプログラム Expired - Fee Related JP6683588B2 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
JP2016219709A JP6683588B2 (ja) 2016-11-10 2016-11-10 再利用システム、サーバ装置、再利用方法、及びコンピュータプログラム
US16/315,891 US11082228B2 (en) 2016-11-10 2017-07-26 Reuse system, key generation device, data security device, in-vehicle computer, reuse method, and computer program
CN201780042605.9A CN109479000B (zh) 2016-11-10 2017-07-26 再利用系统、密钥生成装置、数据安全装置、车载计算机、再利用方法以及存储介质
EP17868999.8A EP3541006B1 (en) 2016-11-10 2017-07-26 Reuse system, key creating device, data security device, on-vehicle computer, reuse method, and computer program
PCT/JP2017/027036 WO2018087963A1 (ja) 2016-11-10 2017-07-26 再利用システム、鍵生成装置、データ保安装置、車載コンピュータ、再利用方法、及びコンピュータプログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2016219709A JP6683588B2 (ja) 2016-11-10 2016-11-10 再利用システム、サーバ装置、再利用方法、及びコンピュータプログラム

Publications (2)

Publication Number Publication Date
JP2018078484A JP2018078484A (ja) 2018-05-17
JP6683588B2 true JP6683588B2 (ja) 2020-04-22

Family

ID=62109514

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2016219709A Expired - Fee Related JP6683588B2 (ja) 2016-11-10 2016-11-10 再利用システム、サーバ装置、再利用方法、及びコンピュータプログラム

Country Status (5)

Country Link
US (1) US11082228B2 (ja)
EP (1) EP3541006B1 (ja)
JP (1) JP6683588B2 (ja)
CN (1) CN109479000B (ja)
WO (1) WO2018087963A1 (ja)

Families Citing this family (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6683588B2 (ja) * 2016-11-10 2020-04-22 Kddi株式会社 再利用システム、サーバ装置、再利用方法、及びコンピュータプログラム
JP6731887B2 (ja) * 2017-06-27 2020-07-29 Kddi株式会社 保守システム及び保守方法
JP6696942B2 (ja) * 2017-08-14 2020-05-20 Kddi株式会社 車両保安システム及び車両保安方法
JP6863227B2 (ja) * 2017-10-26 2021-04-21 トヨタ自動車株式会社 電子制御装置、通信管理方法、及びプログラム
JP2020088836A (ja) * 2018-11-15 2020-06-04 Kddi株式会社 車両メンテナンスシステム、メンテナンスサーバ装置、管理サーバ装置、車載装置、メンテナンスツール、コンピュータプログラム及び車両メンテナンス方法
US11240006B2 (en) * 2019-03-25 2022-02-01 Micron Technology, Inc. Secure communication for a key exchange
US20220131839A1 (en) * 2019-04-25 2022-04-28 Deere & Company Systems, methods and controllers for secure communications
DE102019207753A1 (de) * 2019-05-27 2020-12-03 Robert Bosch Gmbh Verfahren zum Ansteuern eines Fahrzeugs
CN110752915A (zh) * 2019-09-06 2020-02-04 惠州市德赛西威汽车电子股份有限公司 一种车载电子设备的安全密钥加密系统及方法
CN111428892B (zh) * 2020-03-24 2024-01-02 深圳市易孔立出软件开发有限公司 一种车辆控制单元更换方法、系统及电子设备和存储介质
CN113497704A (zh) * 2020-04-01 2021-10-12 罗伯特·博世有限公司 车载密钥生成方法、车辆及计算机可读存储介质
DE102020212772A1 (de) * 2020-10-09 2022-04-14 Robert Bosch Gesellschaft mit beschränkter Haftung Verfahren und Vorrichtung zum Verwalten von kryptografischen Schlüsseln
DE102020214508A1 (de) 2020-11-18 2022-05-19 Robert Bosch Gesellschaft mit beschränkter Haftung Verfahren zum Speichern eines digitalen Schlüssels in einem Steuergerät
DE102020214515A1 (de) 2020-11-18 2022-05-19 Robert Bosch Gesellschaft mit beschränkter Haftung Verfahren zum Speichern eines digitalen Schlüssels in einem Steuergerät
EP4322467A4 (en) * 2021-04-28 2024-05-08 Huawei Technologies Co., Ltd. KEY PROCESSING METHOD AND APPARATUS
EP4329240A4 (en) * 2021-04-30 2024-05-22 Huawei Technologies Co., Ltd. KEY UPDATE METHOD AND RELATED DEVICE
FR3143242A1 (fr) * 2022-12-13 2024-06-14 Valeo Comfort And Driving Assistance Identification d’ancres de véhicule

Family Cites Families (42)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH06171477A (ja) * 1992-12-04 1994-06-21 Mazda Motor Corp リサイクル自動車の製造システムとその製造方法及びリビルト自動車の製造システムとその製造方法
JP2001195587A (ja) * 2000-01-14 2001-07-19 Sharp Corp 部品が搭載されたプリント基板の解体装置および解体方法
US6360161B1 (en) * 2000-05-04 2002-03-19 Bombardier Motor Corporation Of America Method and system for fuel injector coefficient installation
JP3613516B2 (ja) 2000-08-28 2005-01-26 本田技研工業株式会社 製品の樹脂部品のリサイクル回数を管理する解体管理システム及び解体管理方法
US10678734B2 (en) * 2016-07-25 2020-06-09 General Electric Company Communication system for controlling or monitoring vehicle components
US7010682B2 (en) * 2002-06-28 2006-03-07 Motorola, Inc. Method and system for vehicle authentication of a component
US7228420B2 (en) * 2002-06-28 2007-06-05 Temic Automotive Of North America, Inc. Method and system for technician authentication of a vehicle
JP4576997B2 (ja) * 2004-04-28 2010-11-10 株式会社デンソー 通信システム、鍵配信装置、暗号処理装置
US8626882B2 (en) * 2005-10-07 2014-01-07 GM Global Technology Operations LLC Reconfigurable communication for distributed embedded systems
US20070113070A1 (en) * 2005-11-04 2007-05-17 Lackritz Neal M Secure active suspension system
JP2007253792A (ja) * 2006-03-23 2007-10-04 Denso Corp 車両用電子制御装置のソフトウェアシステムおよびその設計方法
JP2010011400A (ja) * 2008-06-30 2010-01-14 National Institute Of Advanced Industrial & Technology 共通鍵方式の暗号通信システム
JP5173891B2 (ja) * 2009-03-02 2013-04-03 株式会社東海理化電機製作所 秘密鍵登録システム及び秘密鍵登録方法
JP5249175B2 (ja) * 2009-11-11 2013-07-31 株式会社東海理化電機製作所 電子キーシステムのキー位置判定装置
WO2012101721A1 (ja) * 2011-01-25 2012-08-02 三洋電機株式会社 通信装置
JP2013031151A (ja) * 2011-06-20 2013-02-07 Renesas Electronics Corp 暗号通信システムおよび暗号通信方法
JP5479408B2 (ja) 2011-07-06 2014-04-23 日立オートモティブシステムズ株式会社 車載ネットワークシステム
US20140143839A1 (en) * 2011-11-16 2014-05-22 Flextronics Ap, Llc. On board vehicle remote control module
US9147910B2 (en) * 2011-12-28 2015-09-29 General Electric Company Method and system for controlling energy storage device
JP5435513B2 (ja) * 2012-01-27 2014-03-05 トヨタ自動車株式会社 暗号通信システム、鍵配布装置、暗号通信方法
JP6093503B2 (ja) * 2012-01-31 2017-03-08 株式会社東海理化電機製作所 電子キー登録方法
JP5866216B2 (ja) * 2012-01-31 2016-02-17 株式会社東海理化電機製作所 電子キー登録システム
US9270468B2 (en) * 2013-05-29 2016-02-23 GM Global Technology Operations LLC Methods to improve secure flash programming
US9769658B2 (en) * 2013-06-23 2017-09-19 Shlomi Dolev Certificating vehicle public key with vehicle attributes
US10095859B2 (en) * 2014-02-28 2018-10-09 Hitachi Automotive Systems, Ltd. Authentication system and car onboard control device
US20160098555A1 (en) * 2014-10-02 2016-04-07 Arm Limited Program code attestation circuitry, a data processing apparatus including such program code attestation circuitry and a program attestation method
CN105989477A (zh) * 2014-11-07 2016-10-05 天地融科技股份有限公司 数据交互方法
EP4254875A3 (en) * 2014-11-13 2023-11-15 Panasonic Intellectual Property Corporation of America Key management method, vehicle-mounted network system, and key management device
JP6173411B2 (ja) * 2014-12-12 2017-08-02 Kddi株式会社 管理装置、車両、管理システム、管理方法、及びコンピュータプログラム
JP6079768B2 (ja) 2014-12-15 2017-02-15 トヨタ自動車株式会社 車載通信システム
KR101759133B1 (ko) * 2015-03-17 2017-07-18 현대자동차주식회사 비밀 정보 기반의 상호 인증 방법 및 장치
JP6262681B2 (ja) * 2015-03-26 2018-01-17 Kddi株式会社 管理装置、車両、管理方法、及びコンピュータプログラム
US9607457B2 (en) * 2015-06-25 2017-03-28 Ford Global Technologies, Llc Reuseable keyfob for use prior to sale of keyless vehicle
JP6345157B2 (ja) * 2015-06-29 2018-06-20 クラリオン株式会社 車載情報通信システム及び認証方法
JP6536251B2 (ja) * 2015-07-24 2019-07-03 富士通株式会社 通信中継装置、通信ネットワーク、通信中継プログラム及び通信中継方法
US11201736B2 (en) * 2015-08-05 2021-12-14 Kddi Corporation Management device, management system, key generation device, key generation system, key management system, vehicle, management method, key generation method, and computer program
DE102015220224A1 (de) * 2015-10-16 2017-04-20 Volkswagen Aktiengesellschaft Verfahren zur geschützten Kommunikation eines Fahrzeugs
JP6217728B2 (ja) * 2015-10-19 2017-10-25 トヨタ自動車株式会社 車両システムおよび認証方法
JP6502832B2 (ja) * 2015-11-13 2019-04-17 株式会社東芝 検査装置、通信システム、移動体および検査方法
US10285051B2 (en) * 2016-09-20 2019-05-07 2236008 Ontario Inc. In-vehicle networking
JP6683588B2 (ja) * 2016-11-10 2020-04-22 Kddi株式会社 再利用システム、サーバ装置、再利用方法、及びコンピュータプログラム
WO2019146812A1 (ko) * 2018-01-25 2019-08-01 엘지전자 주식회사 차량용 업데이트 시스템 및 제어 방법

Also Published As

Publication number Publication date
JP2018078484A (ja) 2018-05-17
CN109479000A (zh) 2019-03-15
EP3541006A4 (en) 2020-06-24
WO2018087963A1 (ja) 2018-05-17
US11082228B2 (en) 2021-08-03
EP3541006B1 (en) 2023-02-15
US20190245691A1 (en) 2019-08-08
EP3541006A1 (en) 2019-09-18
CN109479000B (zh) 2021-10-22

Similar Documents

Publication Publication Date Title
JP6683588B2 (ja) 再利用システム、サーバ装置、再利用方法、及びコンピュータプログラム
CN109314639B (zh) 管理系统、密钥生成装置、车载计算机、管理方法以及记录介质
CN109314640B (zh) 车辆信息收集系统、车载计算机、车辆信息收集装置、车辆信息收集方法以及记录介质
CN109314645B (zh) 数据提供系统、数据保护装置、数据提供方法以及存储介质
CN112913189B (zh) 一种ota升级方法及装置
CN109314644B (zh) 数据提供系统、数据保护装置、数据提供方法以及存储介质
JP6238939B2 (ja) 車載コンピュータシステム、車両、管理方法、及びコンピュータプログラム
WO2017115751A1 (ja) 車載コンピュータシステム、車両、管理方法、及びコンピュータプログラム
JP2018098572A (ja) 配信システム、データ保安装置、配信方法、及びコンピュータプログラム
JP6476462B2 (ja) 車載コンピュータシステム、車両、管理方法、及びコンピュータプログラム
JP6830877B2 (ja) 配信システム、鍵生成装置、配信方法、及びコンピュータプログラム
JP6454919B2 (ja) 管理システム、データ提供装置、車載コンピュータ、管理方法、及びコンピュータプログラム
JP2018093285A (ja) 配信システム、データ保安装置、配信方法、及びコンピュータプログラム
JP6554704B2 (ja) データ提供システム及びデータ提供方法
JP7049789B2 (ja) 鍵配信システム、鍵配信装置及び鍵配信方法
JP6672243B2 (ja) データ提供システム、データ提供装置、データ提供方法、及びデータ提供プログラム
JP6354099B2 (ja) データ提供システム及びデータ提供方法
JP6519060B2 (ja) 管理装置、車両、管理方法、及びコンピュータプログラム
JP2019029847A (ja) 通信システム及び通信方法
JP2018098760A (ja) 配信システム、データ保安装置、配信方法、及びコンピュータプログラム

Legal Events

Date Code Title Description
A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A821

Effective date: 20161111

A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20181225

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20190903

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20191028

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20200317

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20200326

R150 Certificate of patent or registration of utility model

Ref document number: 6683588

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

LAPS Cancellation because of no payment of annual fees