JP2016018356A - 機器、管理モジュール、およびプログラムならびに制御方法 - Google Patents

Abstract

【課題】ライフサイクル状態において利用者が異なっていても、機器に格納される電子情報の安全性を確保する。
【解決手段】１または複数の制御モジュールが搭載される機器は、当該機器のライフサイクルにおける現在の状態に応じて、１または複数の制御モジュールを管理する状態管理部と、１または複数の電子情報と、機器のライフサイクルにおける状態に応じて該１または複数の電子情報の各々に対して許されるアクセス内容を示すアクセス制御ポリシーとを格納する第１の記憶部と、１または複数の電子情報のいずれかの電子情報へのアクセス要求に応じて、該電子情報に対して許されるアクセス内容を現在の状態に基づいて第１の記憶部に格納されるアクセス制御ポリシーから特定し、該アクセス内容にしたがってアクセス制御を実施するアクセス制御部とを備える。
【選択図】図５

Description

本発明は、機器、管理モジュール、およびプログラムならびに制御方法に関する。

組み込み機器の技術分野においては、その組み込み機器の各モジュール内に重要な電子情報を格納するようになり、その電子情報を守るために高度なセキュリティが必要とされつつある。ここで組み込み機器とは、特定の機能を実現するために家電製品や機械などの機器にモジュールを組み込んだものである。

また、組み込み機器では、製造、廃棄などの各ステージ（段階）を含むライフサイクルを通して安全性を保つこと、つまり一貫して機器が安全であることが求められている。例えば、ライフサイクルに応じて主たる利用者が変更される場合に安全性を確保する必要性が高い。

ＩＣカードに対する不正利用を防止する目的で、ＩＣカードのライフサイクル状態の変更の際に重要情報の登録実施の有無を確認する機能を設け、重要情報の登録がなされているときに限り状態遷移を行う技術が知られている（例えば、特許文献１参照）。

しかし、ライフサイクル状態の変化に応じて、アプリケーションの起動前に情報の設定の有無を調べることによって情報にアクセスできる人物を変化させるようにした場合、状態遷移を実施した設定者は機器を利用者に引き渡した後でも、その機器にアクセス可能な状態にある。つまり、状態遷移を実施した設定者が不正利用をしないことを前提とし、利用者は設定者を信頼する必要があった。ライフサイクル状態を遷移させた後に、その状態遷移を行った設定者と、状態遷移後に機器を受け取る利用者のどちらもが機器内の情報にアクセスできる可能性がある。つまり、状態遷移後は機器を引き渡された利用者だけがその機器の情報を扱えるようにする制御ができず、状態遷移を実施した設定者が不正利用できる余地が残されていた。そのため、ライフサイクルを通した機器の一貫した安全性を保つ上で問題があった。

一方で、情報の不正利用を防止するために利用者を制限したり、情報の利用範囲を制限したりする方法として、ライフサイクルに応じてデータにアクセス制限を設ける方法が存在する。しかし、ライフサイクルを遷移させるのはデータの管理者、もしくはデータの管理者と同等の権限を持つ者であるため、データが機器のライフサイクルを通して適切に運用されているか否かはデータの管理者に依存していた。データの管理者が信頼できない人物である場合、データがライフサイクルを通して安全であることは保証できない。また、データの管理者が不正をする余地も残っており、ライフサイクルを通した機器の一貫した安全性を保つ上で問題があった。

特に、組み込み機器の中には、ライフサイクルに応じて主たる利用者が変更されるものが存在し、このケースにおいて安全性を確保する上で大きな問題があった。例えば、組み込み機器の一例として車両を考えた場合、部品を製造する部品メーカー、それらの部品を組み合わせて車両を製造する自動車メーカー、車両を販売するディーラー、車両を利用する一般ユーザ、車両を廃棄するときで利用者が存在しないときが存在し、これらの各利用者を全て信頼した上で機器を利用することを前提としている設計では、不正利用防止などの安全性の点で問題があった。

そこで、本発明は、ライフサイクル状態において利用者が異なっていても、機器に格納される電子情報の安全性を確保することを目的とする。

開示の一実施例の機器は、
１または複数の制御モジュールが搭載される機器であって、
当該機器のライフサイクルにおける現在の状態に応じて、前記１または複数の制御モジュールを管理する状態管理部と、
１または複数の電子情報と、前記機器のライフサイクルにおける状態に応じて該１または複数の電子情報の各々に対して許されるアクセス内容を示すアクセス制御ポリシーとを格納する第１の記憶部と、
前記１または複数の電子情報のいずれかの電子情報へのアクセス要求に応じて、該電子情報に対して許されるアクセス内容を前記現在の状態に基づいて前記第１の記憶部に格納されるアクセス制御ポリシーから特定し、該アクセス内容にしたがってアクセス制御を実施するアクセス制御部と
を備える。

開示の実施例によれば、ライフサイクル状態において利用者が異なっていても、機器に格納される電子情報の安全性を確保することができる。

ライフサイクルの一例を示す図である。 組み込み機器の一実施例を示す図である。 ライフサイクル状態管理モジュールの一実施例を示す図である。 制御モジュールの一実施例を示す図である。 ライフサイクル状態管理モジュールの一実施例を示す機能ブロック図である。 制御モジュールの一実施例を示す機能ブロック図である。 ライフサイクル状態が変更される処理を示す図である。 状態アクセス制御ポリシーの一例を示す図である。 制御対象データへのアクセス処理を示すフローチャートである。 ライフサイクル状態の変更処理を示すフローチャートである。

次に、本発明を実施するための形態を、以下の実施例に基づき図面を参照しつつ説明する。以下で説明する実施例は一例に過ぎず、本発明が適用される実施の形態は、以下の実施例に限られない。
なお、実施例を説明するための全図において、同一機能を有するものは同一符号を用い、繰り返しの説明は省略する。

＜実施例＞
＜ライフサイクル＞
図１は、組み込み機器のライフサイクルの一例を示す。組み込み機器のライフサイクル状態には、ユーザが単にその組み込み機器を利用する過程だけでなく、工場で組み込み機器を製造する生産ステージ１、販売するためにトラックなどの輸送手段で運搬する物流ステージ２、販売店で組み込み機器を販売する販売ステージ３がある。さらに、組み込み機器のライフサイクル状態には、ユーザが利用している最中に組み込み機器が故障した場合などに修理を行うなどのサービスを提供するサービスステージ４、環境保護の観点から組み込み機器を回収し、リサイクルする回収リサイクルステージ５がある。組み込み機器によっては、回収リサイクル過程とともに、またはその代わりに組み込み機器を廃棄する廃棄ステージがあるものもある。

図１に示されるライフサイクルは、国や地域などの仕向けによって異なることがあるが、本実施例では、一例としてこれらの各ステージを通じて組み込み機器を運用することを総称してライフサイクルという。例えば、環境保護の観点から確実に回収を行いリサイクルすることや、廃棄後に悪用されないために、正規のルートで（正規のステージを通じて）ライフサイクルが運用されるように制御するとともに、運用されていることを証明する。

＜組み込み機器＞
ライフサイクル状態管理機能を搭載した機器の一例として、ライフサイクル状態管理機能を備えた車両などの組み込み機器（以下、「機器」という）について説明する。つまり、機器の一例は、組み込み機器である。

図２は、ライフサイクル状態管理機能を備えた車両の制御モジュール構成の一実施例を示す。本実施例に係る車両は、車両全体のライフサイクルの各ステージ（状態）を管理するライフサイクル状態管理モジュール１００、およびライフサイクルの各ステージに応じてアクセス制御ポリシーが定義されたデータを格納する１または複数の制御モジュールによって構成される。ライフサイクル状態管理モジュール１００、および１または複数の制御モジュールのいくつかは、バス５０によって接続されることによってＣＡＮ(Controller Area Network)、ＬＩＮ(Local Interconnect Network)、イーサネット(Ethernet)（登録商標）、ＬＡＮ(Local Area Network)などのネットワークを構成する。これらのネットワークに限らず、ライフサイクル状態管理モジュール１００、および１または複数の制御モジュールをＦｌｅｘＲａｙによって接続することもできる。図１に示される例では、ライフサイクル状態管理モジュール１００、および複数の制御モジュールのいくつかは、バス５０によって接続される。図１には、複数の制御モジュールの例として、駆動制御モジュール２００、エンジン制御モジュール３００、ナビゲーションモジュール４００、および車載カメラモジュール５００が示される。

ライフサイクル状態管理モジュール１００は、機器全体に対して、唯一つのライフサイクルの各ステージを管理するとともに、機器利用者の認証情報を管理する。ライフサイクル状態管理モジュール１００は、機器の１または複数の制御モジュールの構成を把握し、その１または複数の制御モジュールに制御指示を与える。ライフサイクルの各ステージに応じて、機器の１または複数の制御モジュールのライフサイクルの各ステージに応じて設定されるアクセス制御ポリシー（以下、「状態アクセス制御ポリシー」という）がライフサイクル状態管理モジュール１００に格納される。ライフサイクル状態管理モジュール１００は、ライフサイクルの各ステージにおいて、制御の対象となる制御モジュールの状態アクセス制御ポリシーをベースに制御指示を行ったり、各制御の対象となる制御モジュールからの要求を受け付ける。ライフサイクル状態管理モジュール１００は、各制御モジュールからの要求に従い、バス５０を介して機器のライフサイクル状態と、機器を利用するためにアクセスした者（以下、「アクセス者」という）の持つロールを通知する。ここで、ロールはアクセス者の役割を示し、アクセス者がアクセスする権限があるか否かを判断する際に利用される。ロールは人に対して設定することができるし、会社における部署、工場などの人以外のものにも設定できる。

例えば、ライフサイクルの販売ステージ３において営業がアクセス可能な制御モジュールへの制御指示およびデータと、ライフサイクルのサービスステージ４において修理が必要な場合に整備士がアクセス可能な制御モジュールへの制御指示およびデータとはその内容が異なることが想定される。ライフサイクル状態管理モジュール１００は、車両のアクセス者（営業、整備士）の認証情報を管理し、車両のアクセス者と状態アクセス制御ポリシーと関連づける。これにより、営業が修理の際に必要な情報にアクセスしてしまうことによって、整備士が修理の際にアクセスする制御モジュールの情報を壊してしまうことなどを防止できる。

駆動制御モジュール２００は、車両の駆動制御を行う。エンジン制御モジュール３００は、車両のエンジンを制御する。ナビゲーションモジュール４００は、車両を目的地まで導くナビゲーションを行う。車載カメラモジュール５００は、車両に搭載されたカメラを制御する。

駆動制御モジュール２００、エンジン制御モジュール３００、ナビゲーションモジュール４００、および車載カメラモジュール５００には、状態アクセス制御ポリシーが定義されたデータが格納される。状態アクセス制御ポリシーには、ライフサイクルの各ステージに応じてアクセス可能なロールが記載されている。つまり、ライフサイクルにおけるステージが変更されることによって、アクセス可能なロールが変更されうる。

駆動制御モジュール２００、エンジン制御モジュール３００、ナビゲーションモジュール４００、および車載カメラモジュール５００は、必要に応じて、ライフサイクル状態管理モジュール１００から、その時点でのライフサイクルにおけるステージ、およびアクセス者の持つロールを受け取り、データへのアクセス可否の判定を行う。ライフサイクルにおけるステージに基づいて車両に搭載された全制御モジュールの各々に対して一斉にアクセス可能なロールが変更されることによって、個別に変更することによる変更忘れ、変更誤りなどを防止できる。

また、ライフサイクル状態管理モジュール１００にアクセス制御ポリシーが定義されたデータが格納される場合、ライフサイクル状態管理モジュール１００のライフサイクルにおけるステージ、およびアクセス者の持つロールを受けてデータへのアクセス可否の判定を行う場合もある。

ライフサイクル状態管理モジュール１００と各制御モジュールとの間の接続は、ライフサイクル状態管理モジュール１００、駆動制御モジュール２００、ナビゲーションモジュール４００、および車載カメラモジュール５００のようにバス５０を介して直接データをやり取りできるように接続することもできる。また、駆動制御モジュール２００、およびエンジン制御モジュール３００のように、ライフサイクル状態管理モジュール１００が特定の制御モジュールを介して、間接的にデータをやりとりできるように接続することもできる。また、バス５０を介して接続することに加え、ネットワークケーブルなどの有線によって接続することもできるし、無線ネットワークによって接続することもできる。いずれにしても、特定のプロトコルに従って、各制御モジュール間で通信ができるように設定することが求められる。

上述したように、駆動制御モジュール２００、エンジン制御モジュール３００、ナビゲーションモジュール４００、および車載カメラモジュール５００は、状態アクセス制御ポリシーを持ち、データに対するアクセス権の確認を各制御モジュールが個別に行うことができる。アクセス権の確認を各制御モジュールが個別に行う方法以外に、ライフサイクル状態管理モジュール１００に各制御モジュールの持つデータの識別子、およびそのデータに対する状態アクセス制御ポリシーを紐付けることによって対応付けたものを備えることもできる。この場合、ライフサイクル状態管理モジュール１００は、各制御モジュールの持つデータに対して紐付けられた状態アクセス制御ポリシーに基づいてアクセス権の有無を判定し、各制御モジュールに判定結果を通知する。各制御モジュールはライフサイクル状態管理モジュール１００から送信される判定結果を取得し、判定結果にしたがってデータへのアクセスを許可するなどの動作をすることができる。

ライフサイクル状態管理機能を搭載する対象である機器は、共通のライフサイクルにより制御される制御モジュール群全てを指す。つまり、車両を同一のライフサイクルで管理する場合は車両がライフサイクルを持つ機器になるし、ある商材に積まれたボード上の制御モジュールを同一のライフサイクルで管理する場合は、そのボードがライフサイクルを持つ機器になる。特に、機器に搭載される制御モジュールの各々に格納されるデータの寿命と、機器の寿命とが一致する場合に有効である。

＜ライフサイクル状態管理モジュール１００のハードウェア構成＞
図３は、本実施形態に係るライフサイクル状態管理モジュール１００のハードウェア構成図である。図３に示されているように、本実施形態のライフサイクル状態管理モジュール１００は、ライフサイクル状態管理モジュール１００全体の動作を制御するＣＰＵ(Central Processing Unit)１０２、ＩＰＬ(Initial Program Loader)等のＣＰＵ１０２の駆動に用いられるプログラムを記憶したＲＯＭ(Read Only Memory)１０４、およびＣＰＵ１０１のワークエリアとして使用されるＲＡＭ(Random Access Memory)１０６を備える。

さらに、ライフサイクル状態管理モジュール１００は、バス５０との間のＩ/Ｆ(Interface)であり、ライフサイクル状態管理モジュール１００から各制御モジュールへ出力する操作信号などの制御信号や、制御の対象となる制御モジュールからのアクセスを受け付けるバスＩ/Ｆ１０８を備える。

さらに、ライフサイクル状態管理モジュール１００は、機器全体（車両に搭載される制御の対象となる制御モジュール）を制御する際に、アクセス者が許可されたユーザか否かを判断する認証部１１０および上記各構成要素を図３に示されているように電気的に接続するためのアドレスバスやデータバスなどのバスライン１５０を備える。

ＣＰＵ１０２、ＲＯＭ１０４、ＲＡＭ１０６、および認証部１１０をマイコンとして構成することもできる。また、認証部１１０は認証装置などのハードウェアによって構成することも、ソフトウェアとして構成することもできる。

ＣＰＵ１０２は、ＲＯＭ１０４、およびＲＡＭ１０６のいずれかまたは両方に展開されている、ユーザデータ、状態データ、制御対象データ、ライフサイクル状態管理モジュール用のプログラムなどを読み込み、実行することで、プログラムされた機能を提供する。ユーザデータ、状態データ、制御対象データ、およびライフサイクル状態管理モジュール用のプログラムについては後述する。

認証部１１０は、バスＩ／Ｆ１０８から入力されるアクセス者の認証情報に基づいてアクセス者を認証する。認証部１１０は、バスＩ／Ｆ１０８から入力される認証情報のアクセスＩＤ、およびパスワードと、ユーザデータに基づいて、認証情報を入力したアクセス者を認証する。

認証部１１０は、上述したパスワード認証以外にも、チャレンジレスポンス認証、ワンタイムパスワード、指紋、声紋、虹彩などの人間の生体情報を用いたバイオメトリクス認証、ＰＫＩ(Public Key Infrastructure)によって、アクセス者にアクセス権があるか否かを確認することもできる。ＰＫＩによってアクセス者にアクセス権があるか否かを確認する際には、アクセス者は、認証局に対して公開鍵を提出して証明書の発行を依頼する。認証局は、提出された申請書類などに基づき公開鍵の所有者であるアクセス者を審査し、デジタル証明書を発行する。デジタル証明書には公開鍵の所有者情報などとともに、認証局のデジタル署名が付加されている。アクセス者は、ライフサイクル状態管理モジュール１００に対し、デジタル証明書を送付する。ライフサイクル状態管理モジュール１００の認証部１１０はデジタル証明書を認証局の公開鍵で復号し、デジタル証明書中のアクセス者の情報と認証局の署名を確認すると同時にアクセス者の公開鍵を入手することができる。アクセス者の情報と認証局の署名を確認できることによって、アクセス者にアクセス権があるか否かを確認できる。

認証部１１０によってアクセス者がアクセス許可されていると認証できた場合、ＣＰＵ１０２は、ＲＯＭ１０４に格納されているデータをＲＡＭ１０６に展開し、そのデータを読み込み実行することによってＲＯＭ１０４に格納されたプログラムされた機能を提供する。認証部１１０によってアクセス者がアクセス許可されていないと判断した場合、認証部１１０からの指示に基づいて、ＣＰＵ１０２は、機器全体（車両全体）を利用できない状態に設定することができる。

バスＩ／Ｆ１０８は、機器の外部からアクセス者が機器を操作することによって入力される操作信号や、ライフサイクル状態の変更要求などの制御信号を入力する。また、バスＩ／Ｆ１０８は、バス５０に接続された他の制御モジュールからのライフサイクル状態の通知要求や、アクセス者の認証結果で得られたロールの通知要求を受け付ける。なお、バスＩ／Ｆ１０８以外にも、ネットワークＩ／Ｆを接続することもできる。バスＩ／Ｆ１０８は単独で接続されている場合もあれば、バスＩ／Ｆ１０８とネットワークＩ／Ｆのように複数存在する場合もありうる。また、バスＩ／Ｆ１０８をネットワーク装置によって構成し、スマートフォンなどの携帯端末からネットワーク装置へデータを無線送信することもできる。

なお、上記ライフサイクル状態管理モジュール用のプログラムは、インストール可能な形式または実行可能な形式のファイルで、記録メディアやＣＤ−ＲＯＭ等のコンピュータで読み取り可能な記録媒体に記録して流通させるようにしてもよい。

＜駆動制御モジュール２００のハードウェア構成＞
図４は、本実施形態に係る駆動制御モジュール２００のハードウェア構成図である。図４に示されているように、本実施形態の駆動制御モジュール２００は、駆動制御モジュール２００全体の動作を制御するＣＰＵ２０２、およびＩＰＬ等のＣＰＵ２０２の駆動に用いられるプログラムを記憶したＲＯＭ２０４を備える。さらに、駆動制御モジュール２００は、ＣＰＵ２０２のワークエリアとして使用されるＲＡＭ２０６、およびバス５０との間のＩ/Ｆであり、駆動制御モジュール２００から各制御モジュールへ出力する操作信号（制御信号）や、制御の対象となる制御モジュールからのアクセスを受け付けるバスＩ/Ｆ２０８を備える。さらに、駆動制御モジュール２００は、上記各構成要素を図４に示されているように電気的に接続するためのアドレスバスやデータバスなどのバスライン２５０を備える。駆動制御モジュール２００に、他のハードウェアブロックを含めて構成することもできる。

ＣＰＵ２０２は、ＲＯＭ２０４に格納されているデータをＲＡＭ２０６に展開するとともに、そのデータを読み込み、実行することで、ＲＯＭ２０４内に格納される駆動制御モジュール用にプログラムされた機能を提供する。このプログラムは、ＣＰＵ２０２にライフサイクル状態に基づいてアクセス制御を行わせる。

バスＩ／Ｆ２０８は、駆動制御モジュール２００の外部へ、ライフサイクルにおけるステージを通知することを要求するライフサイクル状態通知要求を出力する出力手段として使われるとともに、ライフサイクル状態通知要求に応じてライフサイクル状態管理モジュール１００から送信されるライフサイクルにおけるステージ、およびアクセス者の持つロールの通知を入力する入力手段として使われる。

また、駆動制御モジュール２００にアクセス者の認証情報の入力を受け付けるＩ／Ｆを備えるように構成することによって、バスＩ／Ｆ２０８は、その認証情報をライフサイクル状態管理モジュール１００に通知する出力手段としても用いることもできる。

なお、バスＩ／Ｆ２０８以外にも、ネットワークＩ／Ｆを接続することもできる。また、駆動制御モジュール２００にバスＩ／Ｆ２０８を単独で接続することもできるし、バスＩＦ２０８に加え、ネットワークＩ／Ｆを接続することによって、複数接続することもできる。

なお、上記駆動制御モジュール用のプログラムは、インストール可能な形式または実行可能な形式のファイルで、記録メディアやＣＤ−ＲＯＭ等のコンピュータで読み取り可能な記録媒体に記録して流通させるようにしてもよい。

＜エンジン制御モジュール３００のハードウェア構成＞
エンジン制御モジュール３００は、上述した駆動制御モジュール２００と同様のハードウェア構成を適用できる。但し、ＲＯＭ２０４には、エンジン制御モジュール３００を制御するためのエンジン制御モジュール用プログラムが記録されている。この場合も、エンジン制御モジュール用プログラムは、インストール可能な形式または実行可能な形式のファイルで、記録メディアやＣＤ−ＲＯＭ等のコンピュータで読み取り可能な記録媒体に記録して流通させるようにしてもよい。

＜ナビゲーションモジュール４００のハードウェア構成＞
ナビゲーションモジュール４００は、上述した駆動制御モジュール２００と同様のハードウェア構成を適用できる。但し、ＲＯＭ２０４には、ナビゲーションモジュール４００を制御するためのナビゲーションモジュール用プログラムが記録されている。この場合も、ナビゲーションモジュール用プログラムは、インストール可能な形式または実行可能な形式のファイルで、記録メディアやＣＤ−ＲＯＭ等のコンピュータで読み取り可能な記録媒体に記録して流通させるようにしてもよい。

＜車載カメラモジュール５００のハードウェア構成＞
車載カメラモジュール５００は、上述した駆動制御モジュール２００と同様のハードウェア構成を適用できる。但し、ＲＯＭ２０４には、車載カメラモジュール５００を制御するための車載カメラモジュール用プログラムが記録されている。この場合も、車載カメラモジュール用プログラムは、インストール可能な形式または実行可能な形式のファイルで、記録メディアやＣＤ−ＲＯＭ等のコンピュータで読み取り可能な記録媒体に記録して流通させるようにしてもよい。

なお、着脱可能な記録媒体の他の例として、ＣＤ−Ｒ(Compact Disc Recordable)、ＤＶＤ(Digital Versatile Disk)、ブルーレイディスク等のコンピュータで読み取り可能な記録媒体に記録して提供するように構成してもよい。

＜実施形態の機能構成＞
次に、本実施形態の機能構成について説明する。図５は、本実施形態の機器を構成するライフサイクル状態管理モジュール１００の機能ブロック図である。図５には、ライフサイクル状態管理モジュール１００の機能ブロック図とともに、ＲＯＭ１０４、およびＲＡＭ１０６のいずれかまたは両方に格納されるデータについても記載される。

＜ライフサイクル状態管理モジュール１００の機能構成＞
ライフサイクル状態管理モジュール１００は、利用者認証部１６０、アクセス制御部１６２、および状態管理部１６４を有している。これら各部は、図３に示されている各構成要素のいずれかが、ＲＯＭ１０４からＲＡＭ１０６上に展開されたライフサイクル状態管理モジュール用プログラムである、利用者認証プログラム、アクセス制御プログラム、および状態管理プログラムに従ったＣＰＵ１０２からの命令によって動作することで実現される機能、または機能される手段である。

つまり、利用者認証部１６０は、ＲＯＭ１０４からＲＡＭ１０６上に展開された利用者認証プログラムに従ったＣＰＵ１０２からの命令によって動作することで実現される機能、または機能される手段である。また、アクセス制御部１６２は、ＲＯＭ１０４からＲＡＭ１０６上に展開されたアクセス制御プログラムに従ったＣＰＵ１０２からの命令によって動作することで実現される機能、または機能される手段である。また、状態管理部１６４は、ＲＯＭ１０４からＲＡＭ１０６上に展開された状態管理プログラムに従ったＣＰＵ１０２からの命令によって動作することで実現される機能、または機能される手段である。なお、プログラムの依存関係は一例であり、異なる依存関係を有するプログラムでも同様にライフサイクル状態管理機能を実現できる。

（ライフサイクル状態管理モジュール１００の各機能構成）
次に、図３および図５を用いて、ライフサイクル状態管理モジュール１００の各機能構成について詳細に説明する。なお、以下では、ライフサイクル状態管理モジュール１００の各機能構成部を説明するにあたって、図３に示されている各構成要素のうち、ライフサイクル状態管理モジュール１００の各機能構成部を実現させるための主な構成要素との関係も説明する。

図５に示されているライフサイクル状態管理モジュール１００の利用者認証部１６０は、図３に示されているＣＰＵ１０２からの命令、図３に示されているバスＩ／Ｆ１０８、およびＲＯＭ１０４に格納されるユーザデータ１００１−１００Ｎ（Ｎは、Ｎ＞０の整数）によって実現される。ユーザデータ１００１−１００Ｎは、予め登録することができ、Ｎはユーザ数を表す。さらに、ＲＯＭ１０４には、ユーザデータ１００１−１００Ｎの各々について、認証データ１１０１−１１０Ｎ、およびロール１２０１−１２０Ｎがそれぞれ格納される。

利用者認証部１６０は、バスＩ／Ｆ１０８からアクセス者の認証情報が入力されることによって動作し、その認証情報と、ユーザデータ１００１−１００Ｎのいずれかの認証データに基づいて、アクセス者にアクセス権があることを確認する。利用者認証部１６０は、アクセス者の認証結果と、アクセス者にアクセス権があることを確認できた場合にはそのアクセス者のロールを出力する。具体的には、利用者認証部１６０は、バスＩ／Ｆ１０８から入力されるアクセス者の認証情報に含まれるアクセスＩＤを、ユーザデータ１００１−１００Ｎの認証データ１１０１−１１０Ｎから検索し、認証できるユーザがいるか否かを判断する。認証できるユーザがいる場合には、利用者認証部１６０は、認証情報に含まれるパスワードが、検索の結果特定されたユーザデータの認証データと一致するか否かを判断することによって、アクセス者にアクセス権があるか否かを確認することによって認証する。利用者認証部１６０は、アクセス者にアクセス権があることを確認できた場合には、アクセス制御部１６２に、アクセス者にアクセス権があることを表す情報と、アクセス者のロールを出力する。

図５に示されているライフサイクル状態管理モジュール１００のアクセス制御部１６２は、図３に示されるＣＰＵ１０２からの命令、およびＲＯＭ１０４に格納される制御対象データ１３０１−１３０Ｍ（Ｍは、Ｍ＞０の整数）よって実現される。さらに、ＲＯＭ１０４には、制御対象データ１３０１−１３０Ｍの各々について、状態アクセス制御ポリシー１４０１−１４０Ｍがそれぞれ格納される。ここで、制御対象データ１３０１−１３０Ｍは、車両に搭載される、駆動制御モジュール２００、エンジン制御モジュール３００、ナビゲーションモジュール４００、車載カメラモジュール５００などの各制御モジュールと紐付けることによって対応付けることもできる。つまり、車両に搭載される制御モジュールの各々が制御データを有する。

アクセス制御部１６２は、特定のライフサイクル状態において、アクセス者が制御対象データ１３０１−１３０Ｍにアクセス可能であるか否かを判定する。制御対象データ１３０１−１３０Ｍには、それぞれ状態アクセス制御ポリシー１４０１−１４０Ｍが含まれ、状態アクセス制御ポリシー１４０１−１４０Ｍには、特定のライフサイクル状態においてアクセス可能なユーザ情報、およびアクセス可能なロール情報が格納される。アクセス制御部１６２は、状態アクセス制御ポリシー１４０１−１４０Ｍを参照することによって、アクセス者が制御対象データにアクセス権があるか否かを判断する。状態アクセス制御ポリシー１４０１−１４０Ｍの詳細については後述する。

具体的には、アクセス制御部１６２は、状態管理部１６４を呼び出すことによってライフサイクル状態情報を取得し、利用者認証部１６０を呼び出すことによって該当するアクセス者のロールを取得する。アクセス制御部１６２は、制御対象データ１３０１−１３０Ｍの状態アクセス制御ポリシー１４０１−１４０Ｍを参照することで、各制御対象データについて、状態管理部１６４から取得したライフサイクルのステージにおけるアクセス可能なロールを特定し、その特定したロールにアクセス者のロールが含まれるか否かを判定することによってアクセス者がアクセス可能であるか否かを判定する。

図５に示されているライフサイクル状態管理モジュール１００の状態管理部１６４は、図３に示されるＣＰＵ１０２からの命令、およびＲＯＭ１０４に格納される状態データ１５０１−１５０Ｋ（Ｋは、Ｋ＞０の整数）よって実現される。ここで、状態データ１５０１−１５０Ｋは、車両に搭載される、駆動制御モジュール２００、エンジン制御モジュール３００、ナビゲーションモジュール４００、車載カメラモジュール５００などの各制御モジュールと紐付けることによって対応付けることもできる。また、状態データ１５０１−１５０Ｋは、制御対象データ１３０１−１３０Ｋと紐付けることによって対応付けることもできる。状態データ１５０１−１５０Ｋには、状態遷移の要求があった場合の処理内容を規定する。さらに、ＲＯＭ１０４には、状態データ１５０１−１５０Ｋの各々について、遷移条件１６０１−１６０Ｋ、エントリ（Ｅｎｔｒｙ）動作１７０１−１７０Ｋ、およびエグジット（Ｅｘｉｔ）動作１８０１−１８０Ｋがそれぞれ格納される。

遷移条件１６０１−１６０Ｋには、特定のデータが存在していることや、あるデータが特定の形式を満たす場合にライフサイクルにおけるステージを遷移させることなどの条件が定義される。Ｅｎｔｒｙ動作１７０１−１７０Ｋには、セキュリティ情報の初期設定などの状態遷移の後のライフサイクルを安全に使うための処理が定義される。例えば、Ｅｎｔｒｙ動作１７０１−１７０Ｋには、通信に使用する秘密鍵などを設定する処理などが定義される。Ｅｘｉｔ動作１８０１−１８０Ｋには、ライフサイクルにおける状態を変更する上で、次の状態へ移行する際に残しておくことがセキュリティ上の脆弱性につながるような情報の消去、もしくはそのようなセキュリティ上の脆弱性につながるような情報を書き換える処理が定義される。例えば、Ｅｘｉｔ動作１７０１−１７０Ｋには、前のライフサイクル状態における機器の主要な利用者の個人情報につながるログデータの削除、秘密鍵の改ざん防止のために書き込みを不可とする設定が定義される。

状態管理部１６４は、アクセス制御部１６２からのアクセス要求に応じて、ライフサイクル状態データ１６６を参照し、そのアクセス要求時点のライフサイクルにおけるステージを取得し、アクセス制御部１６２へ通知する。ここで、ライフサイクル状態データ１６６は、機器全体における、その時点でのライフサイクルにおけるステージを示すデータであり、機器全体を通して唯一つ管理されている。ライフサイクル状態データ１６６は、ライフサイクルにおけるステージが変更される状態遷移の度に変更される。例えば、ライフサイクルにおける各ステージにおいて、ステージを変更する人によって変更させるようにしてもよい。状態管理部１６４は、状態遷移が要求された場合に、状態データ１５０１−１５０Ｋに規定される処理を実行する。

＜駆動制御モジュール２００の機能構成＞
次に、本実施形態の機能構成について説明を続ける。図６は、本実施形態の機器を構成する駆動制御モジュール２００の機能ブロック図である。図６には、駆動制御モジュール２００の機能ブロック図とともに、ＲＯＭ２０４、およびＲＡＭ２０６のいずれかまたは両方に格納されるデータについても記載される。

駆動制御モジュール２００は、アクセス制御部２６２を有し、このアクセス制御部２６２は、図４に示されている各構成要素のいずれかが、ＲＯＭ２０４からＲＡＭ２０６上に展開された駆動制御モジュール用プログラムである、アクセス制御プログラムに従ったＣＰＵ２０２からの命令によって動作することで実現される機能、または機能される手段である。

つまり、アクセス制御部２６２は、ＲＯＭ２０４からＲＡＭ２０６上に展開されたアクセス制御プログラムに従ったＣＰＵ２０２からの命令によって動作することで実現される機能、または機能される手段である。

（駆動制御モジュール２００の各機能構成）
次に、図４および図６を用いて、駆動制御モジュール２００の各機能構成について詳細に説明する。なお、以下では、駆動制御モジュール２００の各機能構成部を説明するにあたって、図４に示されている各構成要素のうち、駆動制御モジュール２００の各機能構成部を実現させるための主な構成要素との関係も説明する。

図６に示されている駆動制御モジュール２００のアクセス制御部２６２は、図４に示されるＣＰＵ２０２からの命令、およびＲＯＭ２０４に格納される制御対象データ２３０１−２３０Ｌ（Ｌは、Ｌ＞０の整数）よって実現される。さらに、ＲＯＭ２０４には、制御対象データ２３０１−２３０Ｌの各々について、状態アクセス制御ポリシー２４０１−２４０Ｌがそれぞれ格納される。ここで、制御対象データ２３０１−２３０Ｌは、車両に搭載される、エンジン制御モジュール３００、ナビゲーションモジュール４００、車載カメラモジュール５００などの各制御モジュールと紐付けることによって対応付けることもできる。つまり、車両に搭載される制御モジュールの各々が制御データを有する。

アクセス制御部２６２は、特定のライフサイクル状態において、アクセス者が制御対象データ２３０１−２３０Ｌにアクセス可能であるか否かを判定する。制御対象データ２３０１−２３０Ｌには、それぞれ状態アクセス制御ポリシー２４０１−２４０Ｍが含まれ、状態アクセス制御ポリシー２４０１−２４０Ｌには、特定のライフサイクル状態においてアクセス可能なユーザ情報、およびアクセス可能なロール情報が格納される。アクセス制御部２６２は、状態アクセス制御ポリシー２４０１−２４０Ｌを参照することによって、アクセス者が制御対象データにアクセス権があるか否かを判断する。

具体的には、アクセス制御部２６２は、バスＩ／Ｆ２０８を介して、ライフサイクル状態管理モジュール１００に、ライフサイクル状態の通知と、アクセス者のロールの通知を要求する。アクセス制御部２６２は、バスＩ／Ｆ２０８から、ライフサイクル状態管理モジュール１００から送信されるライフサイクル状態と、アクセス者のロールを取得する。アクセス制御部２６２は、制御対象データ２３０１−２３０Ｍの状態アクセス制御ポリシー２４０１−２４０Ｍを参照することで、各制御対象データについて、ライフサイクル状態管理モジュール１００から取得したライフサイクルのステージにおけるアクセス可能なロールを特定し、その特定したロールにアクセス者のロールが含まれるか否かを判定することによってアクセス者がアクセス可能であるか否かを判定する。

＜ライフサイクル状態が変更される処理＞
図７は、ライフサイクル状態が変更される処理について示す。図７では、製造状態、市場運用状態、廃棄状態の順に機器のライフサイクルのステージが変更され、ライフサイクルのステージの変更にともなって、制御対象データへのアクセス権の内容と、アクセス権を設定できる対象者が変更される。製造状態、市場運用状態、廃棄状態の順にライフサイクルのステージが変更されるのは一例であり、ライフサイクルに他のステージ（状態）を含めることもできる。例えば、ライフサイクルに、リサイクルのために市場運用状態から製造状態に戻すようなライフサイクルを含めることもできる。

製造状態は、市場運用状態に移行する前の状態であり、機器に対して必要な設定が行われる。図７に示される例では、機器製造者は、機器に、機器固体を識別するための情報として「機器固有情報」、機器製造者を認証するための情報として「製造者公開情報」および「製造者秘密情報」を生成し、導入することができる。製造状態では、「機器固有情報」、「製造者公開情報」、および「製造者秘密情報」に対して、機器製造者は読み出し書き出し（生成）可能（ＲＥＡＤ、ＷＲＩＴＥ可能）に設定される。

製造状態から市場運用状態への遷移が可能になったら、状態遷移を行い、市場運用状態に移行する。図７に示される例では、製造状態から市場運用状態に移行することによって、主の利用者が機器製造者から機器利用者へ変化するため、機器利用者が設定した認証情報を用いて管理される。機器利用者は、機器に、機器利用者の個人情報として「機器利用者個人情報」、機器利用者の公開情報として「利用者公開情報」を生成し、導入することができる。市場運用状態では、「利用者個人情報」、および「利用者公開情報」に対して機器利用者は読み出し書き出し（生成）可能（ＲＥＡＤ、ＷＲＩＴＥ可能）に設定され、さらに、「利用者公開情報」については機器利用者以外の者に対しても読み出し可能（ＲＥＡＤ可能）に設定される。

市場運用状態では、機器製造者は「利用者個人情報」を読み出すことができないため、機器利用者は機器製造者を信頼しなくても、機器の安全性を確保することができる。逆に、機器利用者は、「製造者秘密情報」を読み出すことができないため、機器製造者は機器利用者を信頼しなくても、機器製造者の安全性も確保することができる。

また、市場運用状態では、「機器固有情報」については機器製造者、および機器利用者は読み出し可能（ＲＥＡＤ可能）に設定され、「製造者公開情報」については全てのアクセス者に対して読み出し可能（ＲＥＡＤ可能）に設定され、「製造者秘密情報」については機器製造者は読み出し可能（ＲＥＡＤ可能）に設定される。さらに、「製造者秘密情報」については、機器が実行できるように設定される。つまり、市場運用状態では「製造者秘密情報」を書き出す（生成する）ことができないように設定されることによって、機器製造者に対して否認防止の義務を負わせることができる。

市場運用状態から廃棄状態への遷移が可能になったら状態遷移を行い、廃棄状態に移行する。図７に示される例では、市場運用状態から廃棄状態へライフサイクル状態が変化する際のＥｎｔｒｙ処理として、全データを破棄することが設定される例が示される。これによって、機器の廃棄後に、その機器に格納されている秘密情報や、個人情報が盗まれるのを防止できる。例えば、機器の廃棄後に、その機器に格納されている秘密情報や、個人情報が盗まれるのを防止するために、機器に格納されている情報を「新しいデータ」で上書きすることによって全データを消去することによって廃棄する。

ライフサイクルの各ステージに基づいて、機器の全データを管理することができるため、機器の個々のデータについて個別に管理する場合に生じうる特定のデータを破棄し忘れるような状況が発生しない。また、ライフサイクルに関して関連するデータをまとめて状態変更するため、特定のデータのアクセス権の変更ミスなどで発生しうるアクセス権限が昇格するなどのリスクを下げることができる。

＜状態アクセス制御ポリシー＞
図８は、ライフサイクル状態管理モジュール１００の制御対象データ１３０１−１３０Ｍに格納される状態アクセス制御ポリシー１４０１−１４０Ｍの一例を示す。駆動制御モジュール２００、エンジン制御モジュール３００、ナビゲーションモジュール４００、車載カメラモジュール５００の制御対象データ２３０１−２３０Ｌに格納される状態アクセス制御ポリシー２４０１−２４０Ｌについても、図８を適用できる。

ライフサイクル状態管理モジュール１００によって管理対象とされる制御対象データ１３０１−１３０Ｍは、それぞれが状態アクセス制御ポリシー１４０１−１４０Ｍを有する。状態アクセス制御ポリシー１４０１−１４０Ｍの一例は、アクセス者のロール、および機器のライフサイクルの各ステージと紐付けられるアクセス内容から構成されるマトリクス表で表される。

ただし、アクセス者のロールの代わりに特定の利用者の識別情報（ＩＤ）を利用することもできる。これによって、利用者とアクセス内容とを紐付けることができるため、特定の利用者に、他の利用者とは異なるアクセス内容を付与することができる。具体的には、特定の利用者に、多くのアクセスを可能とするなどの強いアクセス権限を与えることができる。また、アクセス者のロールをまとめることによってアクセス者のグループを作成することもできる。アクセス者のグループを利用することで、アクセス者のグループとアクセス内容とを紐付けることができるため、特定のアクセス者のグループに多くのアクセスを可能とするなどの強いアクセス権限を与えることができる。

以下詳細に説明する。

各アクセス者のロールに対して割り当てるアクセス権限のアクセス内容の種類とその説明の一例を以下に示す。

（１）「Ｒｅａｄ」：対象の制御対象データを読み出せる
（２）「Ｗｒｉｔｅ」：対象の制御対象データを書き出せる(生成できる)
（３）「Ｅｘｅｃ」：対象の制御対象データを利用できる
（４）「Ｄｅｌｅｔｅ」：対象の制御対象データを削除できる
（５）「ＲｅＷｒｉｔｅ」：対象の制御対象データを変更できる
各制御対象データに対する状態アクセス制御ポリシーは、制御対象データ毎に作成される。

図８に示される例では、アクセス者のロールの一例として機器製造者、機器管理者、機器利用者を想定し、ライフサイクルのステージの一例として製造状態、市場運用状態、廃棄状態を想定する。さらに、制御対象データとして、各アクセス者のロールにおける秘密情報のアクセス制御ポリシー、および各アクセス者のロールにおける公開情報のアクセス制御ポリシーの設定例について示す。

図８には、（１）機器製造者の秘密情報に関する状態アクセス制御ポリシー、（２）機器管理者の秘密情報に関する状態アクセス制御ポリシー、（３）機器利用者の秘密情報に関する状態アクセス制御ポリシーが示される。さらに、図８には、（４）機器製造者の公開情報に関する状態アクセス制御ポリシー、（５）機器管理者の公開情報に関する状態アクセス制御ポリシー、（６）機器利用者の公開情報に関する状態アクセス制御ポリシーが示される。

図８の（１）、（４）に示されるように、機器製造者が所有する情報は、「製造者秘密情報」、および「製造者公開情報」である。つまり、機器製造者は、製造状態で「製造者秘密情報」、および「製造者公開情報」を生成し、機器に導入することができる。

「製造者秘密情報」について説明する。

製造状態では、機器製造者は「製造者秘密情報」の読み出し（「Ｒｅａｄ」）、書き出し（「Ｗｒｉｔｅ」）、利用（「Ｅｘｅｃ」）、および変更（「ＲｅＷｒｉｔｅ」）が可能であり、機器管理者、および機器利用者は「製造者秘密情報」の利用（「Ｅｘｅｃ」）が可能である。

製造状態から市場運用状態に移行したとき、ライフサイクル状態管理モジュール１００は、機器製造者が「製造者秘密情報」の書き出し（「Ｗｒｉｔｅ」）、および変更（「ＲｅＷｒｉｔｅ」）をできないようにアクセス制御を実施する。これによって、市場運用状態に移行した後に、機器製造者が機器内の秘密情報を無断で改竄することを防止できるため、秘密情報を用いて実行した処理の否認を防止することができる。

市場運用状態では、機器管理者、および機器利用者は、「製造者秘密情報」の利用（「Ｅｘｅｃ」）ができる。ただし、「製造者秘密情報」には、機器製造者の署名用の秘密鍵などの機器製造者自身しか利用（「Ｅｘｅｃ」）権限を持たないものも含まれる。

市場運用状態から廃棄状態への遷移が可能になったら状態遷移を行い、廃棄状態に移行する。ライフサイクル状態管理モジュール１００は、機器製造者が「製造者秘密情報」の読み出し（「Ｒｅａｄ」）、および利用（「Ｅｘｅｃ」）をできないようにアクセス制御を実施するとともに削除（「Ｄｅｌｅｔｅ」）をできるようにアクセス制御を実施する。機器製造者は、「製造者秘密情報」を削除（「Ｄｅｌｅｔｅ」）などを実施することによって廃棄できる。これによって、機器の廃棄後に、その機器に格納されている「製造者秘密情報」が盗まれることを防止できる。さらに、安全性の観点から廃棄状態においてはライフサイクル状態管理モジュール１００は、機器管理者が「製造者秘密情報」の削除（「Ｄｅｌｅｔｅ」）をできるようにアクセス制御を実施できる。

「製造者公開情報」について説明する。

製造状態では、機器製造者は「製造者公開情報」の読み出し（「Ｒｅａｄ」）、書き出し（「Ｗｒｉｔｅ」）、利用（「Ｅｘｅｃ」）、および変更（「ＲｅＷｒｉｔｅ」）が可能であり、機器管理者、および機器利用者は「製造者公開情報」の読み出し（「Ｒｅａｄ」）、および利用（「Ｅｘｅｃ」）が可能である。

製造状態から市場運用状態に移行したとき、ライフサイクル状態管理モジュール１００は、機器製造者が「製造者公開情報」の書き出し（「Ｗｒｉｔｅ」）、および変更（「ＲｅＷｒｉｔｅ」）をできないようにアクセス制御を実施する。これによって、市場運用状態に移行した後に、機器製造者が機器内の公開情報を無断で改竄することを防止できるため、公開情報を用いて実行した処理の否認を防止することができる。

市場運用状態では、機器管理者、および機器利用者は、「製造者公開情報」の読み出し（「Ｒｅａｄ」）、および利用（「Ｅｘｅｃ」）ができる。

市場運用状態から廃棄状態への遷移が可能になったら状態遷移を行い、廃棄状態に移行する。ライフサイクル状態管理モジュール１００は、機器製造者が「製造者公開情報」の読み出し（「Ｒｅａｄ」）、および利用（「Ｅｘｅｃ」）をできないようにアクセス制御を実施するとともに削除（「Ｄｅｌｅｔｅ」）をできるようにアクセス制御を実施する。機器製造者は、「製造者公開情報」を削除（「Ｄｅｌｅｔｅ」）などを実施することによって廃棄できる。これによって、機器の廃棄後に、その機器に格納されている「製造者公開情報」が盗まれることを防止できる。さらに、安全性の観点から廃棄状態においてはライフサイクル状態管理モジュール１００は、機器管理者が「製造者公開情報」の削除（「Ｄｅｌｅｔｅ」）をできるようにアクセス制御を実施できる。

図８の（２）、（５）に示されるように、機器管理者が所有する情報は、「管理者秘密情報」、および「管理者公開情報」である。つまり、機器管理者は、市場運用状態で「管理者秘密情報」、および「管理者公開情報」を生成し、機器に導入することができる。

「管理者秘密情報」について説明する。

市場運用状態では、機器管理者は「管理者秘密情報」の読み出し（「Ｒｅａｄ」）、書き出し（「Ｗｒｉｔｅ」）、および利用（「Ｅｘｅｃ」）が可能であり、機器製造者、および機器利用者は「管理者秘密情報」の利用（「Ｅｘｅｃ」）が可能である。「管理者秘密情報」には、機器管理者の署名用の秘密鍵などの機器管理者自身しか利用（「Ｅｘｅｃ」）権限を持たない情報が含まれる。これにより、「管理者秘密情報」を機器製造者などの機器管理者以外の他の利用者から保護することができるため、安全にライフサイクル状態管理モジュール１００を利用することができる。

市場運用状態から廃棄状態への遷移が可能になったら状態遷移を行い、廃棄状態に移行する。ライフサイクル状態管理モジュール１００は、機器管理者が「管理者秘密情報」の読み出し（「Ｒｅａｄ」）、書き出し（「Ｗｒｉｔｅ」）、および利用（「Ｅｘｅｃ」）をできないようにアクセス制御を実施するとともに削除（「Ｄｅｌｅｔｅ」）をできるようにアクセス制御を実施する。機器管理者は、「管理者秘密情報」を削除（「Ｄｅｌｅｔｅ」）などを実施することによって廃棄できる。これによって、機器の廃棄後に、その機器に格納されている「管理者秘密情報」が盗まれることを防止できる。さらに、安全性の観点から廃棄状態においてはライフサイクル状態管理モジュール１００は、機器製造者が「管理者秘密情報」の削除（「Ｄｅｌｅｔｅ」）をできるようにアクセス制御を実施できる。

「管理者公開情報」について説明する。

市場運用状態では、機器管理者は「管理者公開情報」の読み出し（「Ｒｅａｄ」）、書き出し（「Ｗｒｉｔｅ」）、および利用（「Ｅｘｅｃ」）が可能であり、機器製造者、および機器利用者は「管理者公開情報」の読み出し（「Ｒｅａｄ」）、および利用（「Ｅｘｅｃ」）が可能である。

市場運用状態から廃棄状態への遷移が可能になったら状態遷移を行い、廃棄状態に移行する。ライフサイクル状態管理モジュール１００は、機器利用者が「管理者公開情報」の読み出し（「Ｒｅａｄ」）、書き出し（「Ｗｒｉｔｅ」）、および利用（「Ｅｘｅｃ」）をできないようにアクセス制御を実施するとともに削除（「Ｄｅｌｅｔｅ」）をできるようにアクセス制御を実施する。機器管理者は、「管理者公開情報」を削除（「Ｄｅｌｅｔｅ」）などを実施することによって廃棄できる。これによって、機器の廃棄後に、その機器に格納されている「管理者公開情報」が盗まれることを防止できる。さらに、安全性の観点から廃棄状態においてはライフサイクル状態管理モジュール１００は、機器製造者が「管理者公開情報」の削除（「Ｄｅｌｅｔｅ」）をできるようにアクセス制御を実施できる。

図８の（３）、（６）に示されるように、機器利用者が所有する情報は、「利用者秘密情報」、および「利用者公開情報」である。つまり、機器利用者は、市場運用状態で「利用者秘密情報」、および「利用者公開情報」を生成し、機器に導入することができる。

「利用者秘密情報」について説明する。

市場運用状態では、機器利用者、および機器管理者は「利用者秘密情報」の読み出し（「Ｒｅａｄ」）、書き出し（「Ｗｒｉｔｅ」）、および利用（「Ｅｘｅｃ」）が可能であり、機器製造者は「利用者秘密情報」の利用（「Ｅｘｅｃ」）が可能である。「利用者秘密情報」には、機器利用者の署名用の秘密鍵などの機器利用者自身しか利用（「Ｅｘｅｃ」）権限を持たない情報が含まれる。これにより、「利用者秘密情報」を機器製造者などの機器管理者、および機器利用者以外の他の利用者から保護することができるため、安全にライフサイクル状態管理モジュール１００を利用することができる。

ここで、機器管理者が、「利用者秘密情報」の読み出し（「Ｒｅａｄ」）、書き出し（「Ｗｒｉｔｅ」）をできるようにするか否かは、ライフサイクル状態管理モジュール１００の運用によって設定できる。例えば、機器管理者が強いアクセス権限を有する場合には、機器管理者は「利用者秘密情報」を読み出し（「Ｒｅａｄ」）できるように設定し、そうではなく機器管理者と機器利用者のアクセス権限が近く、類似している場合には、機器管理者は「利用者秘密情報」を読み出し（「Ｒｅａｄ」）できないように設定する。

市場運用状態から廃棄状態への遷移が可能になったら状態遷移を行い、廃棄状態に移行する。ライフサイクル状態管理モジュール１００は、機器利用者、および機器管理者が「利用者秘密情報」の読み出し（「Ｒｅａｄ」）、書き出し（「Ｗｒｉｔｅ」）、および利用（「Ｅｘｅｃ」）をできないようにアクセス制御を実施するとともに削除（「Ｄｅｌｅｔｅ」）をできるようにアクセス制御を実施する。機器利用者、および機器管理者は、「利用者秘密情報」を削除（「Ｄｅｌｅｔｅ」）などを実施することによって廃棄できる。これによって、機器の廃棄後に、その機器に格納されている「利用者秘密情報」が盗まれることを防止できる。さらに、安全性の観点から廃棄状態においてはライフサイクル状態管理モジュール１００は、機器製造者が「利用者秘密情報」の削除（「Ｄｅｌｅｔｅ」）をできるようにアクセス制御を実施できる。

「利用者公開情報」について説明する。

市場運用状態では、機器利用者、および機器管理者は「利用者公開情報」の読み出し（「Ｒｅａｄ」）、書き出し（「Ｗｒｉｔｅ」）、および利用（「Ｅｘｅｃ」）が可能であり、機器製造者は「利用者公開情報」の利用（「Ｅｘｅｃ」）が可能である。

ここで、機器管理者が、「利用者公開情報」の読み出し（「Ｒｅａｄ」）、書き出し（「Ｗｒｉｔｅ」）をできるようにするか否かは、ライフサイクル状態管理モジュール１００の運用によって設定できる。例えば、機器管理者が強いアクセス権限を有する場合には、機器管理者は「利用者公開情報」を読み出し（「Ｒｅａｄ」）、書き出し（「Ｗｒｉｔｅ」）をできるように設定し、そうではなく機器管理者と機器製造者のアクセス権限が近く、類似している場合には、機器管理者は「利用者公開情報」を読み出し（「Ｒｅａｄ」）、書き出し（「Ｗｒｉｔｅ」）をできないように設定する。

市場運用状態から廃棄状態への遷移が可能になったら状態遷移を行い、廃棄状態に移行する。ライフサイクル状態管理モジュール１００は、機器利用者、および機器管理者が「利用者公開情報」の読み出し（「Ｒｅａｄ」）、書き出し（「Ｗｒｉｔｅ」）、および利用（「Ｅｘｅｃ」）をできないようにアクセス制御を実施するとともに削除（「Ｄｅｌｅｔｅ」）をできるようにアクセス制御を実施する。機器利用者、および機器管理者は、「利用者公開情報」を削除（「Ｄｅｌｅｔｅ」）などを実施することによって廃棄できる。これによって、機器の廃棄後に、その機器に格納されている「利用者公開情報」が盗まれることを防止できる。さらに、安全性の観点から廃棄状態においてはライフサイクル状態管理モジュール１００は、機器製造者が「利用者公開情報」の削除（「Ｄｅｌｅｔｅ」）をできるようにアクセス制御を実施できる。

＜制御対象データへのアクセス処理＞
図９は、制御対象データへのアクセス処理を示す。

制御対象データへのアクセスを要求された場合、ライフサイクル状態管理モジュール１００のアクセス制御部１６２は、その制御対象データへのアクセスを認可するか、却下するかの結論を出す。なお、種々のプログラムも制御対象データとしてＲＯＭ１０４に格納されるため、制御対象データへのアクセス、種々のプログラムを実行する操作によるアクセスは原則的に全て制御対象データへのアクセス処理が要求される。ただし、アクセス制御プログラム、状態管理プログラム、利用者認証プログラムなどのデータアクセスシーケンスの実行に関係するものについてはこの限りでなく、任意のアクセス者によって利用可能とすることができる。

ここでは、アクセス者が、制御対象データ１３０Ｍへのアクセスを要求した場合について説明する。

ステップＳ９０２では、制御対象データ１３０Ｍへのアクセス要求があった場合、アクセス制御部１６２は、現在のライフサイクル状態を確認するために、状態管理部１６４を呼び出す。状態管理部１６４は、アクセス制御部１６２からの呼び出しに応じて、ライフサイクル状態データ１６６からライフサイクル状態情報を取得し、アクセス制御部１６２へ送信する。アクセス制御部１６２は、状態管理部１６４からのライフサイクル状態情報を取得することによって、現在のライフサイクル状態を確認できる。

ステップＳ９０４では、アクセス制御部１６２は、制御対象データ１３０Ｍの状態アクセス制御ポリシー１４０Ｍの現在のライフサイクル状態の部分を参照する。

ステップＳ９０６では、アクセス制御部１６２は、制御対象データ１３０Ｍの状態アクセス制御ポリシー１４０Ｍの現在のライフサイクル状態の部分に、アクセス可能な権限が設定されている情報があるか否かを判断する。

ステップＳ９０８では、制御対象データ１３０Ｍの状態アクセス制御ポリシー１４０Ｍの現在のライフサイクル状態の部分に、アクセス可能な権限が設定されている情報がある場合、アクセス制御部１６２は、制御対象データ１３０Ｍに権限がなくてもアクセス可能であるか否かを判定する。

ステップＳ９１０では、ステップＳ９０８によって制御対象データ１３０Ｍには権限がないとアクセス不可能であると判定された場合、利用者認証部１６０は、アクセス者を認証する。つまり、アクセス制御部１６２によって、状態アクセス制御ポリシー１４０Ｍに制御対象データ１３０Ｍへのアクセスにロールによるアクセス制御が設定され、ロールの確認が必要であると判定された場合は、利用者認証部１６０は、アクセス者の認証を実施する。利用者認証部１６０は、アクセス者を認証する際に、アクセス者の識別情報、およびアクセス者の認証情報を要求し、アクセス者の識別情報、およびアクセス者の認証情報は、バスＩ／Ｆ１０８から入力される。例えば、バスＩ／Ｆ１０８に入力装置を接続し、ユーザＩＤ、およびパスワードを入力することによってパスワード認証を適用することができる。

ステップＳ９１２では、利用者認証部１６０は、アクセス者の認証が成功したか否かを判定する。

ステップＳ９１４では、利用者認証部１６０によってアクセス者の認証が成功したと判定した場合、利用者認証部１６０は、アクセス者のロールをアクセス制御部１６２に入力する。アクセス制御部１６２は、アクセス者のロールに基づいて、アクセス者は制御対象データ１３０Ｍにアクセスする権限を有するか否かを判定する。アクセス制御部１６２は、状態管理部１６４から取得したライフサイクルのステージにおけるアクセス可能なロールを特定し、その特定したロールにアクセス者のロールが含まれるか否かを判定することによってアクセス者がアクセス可能であるか否かを判定する。

ステップＳ９１６では、ステップＳ９１４においてアクセス者がアクセス可能であると判定した場合、またはステップＳ９０８において制御対象データ１３０Ｍに権限がない場合でもアクセス可能であると判定した場合、アクセス制御部１６２は、アクセス者にデータアクセスを認可する。

ステップＳ９１８では、ステップＳ９０６で制御対象データ１３０Ｍの状態アクセス制御ポリシー１４０Ｍにアクセス可能な権限が設定されていないと判定した場合、アクセス者の認証を行う前に、アクセス制御部１６２は、そのアクセス者がデータへアクセスすることを拒否する。一例として、製造者の公開鍵情報などの書き込みが許されていないファイルなどの製造者秘密情報が存在する場合、アクセス制御部１６２は、その製造者秘密情報に書き込むためのアクセス要求を却下する。

また、ステップＳ９１８では、ステップＳ９１２で利用者認証部１６０によってアクセス者の認証が成功したと判定されない場合、利用者認証部１６０は、認証が失敗したことを示す結果をアクセス制御部１６２に入力する。アクセス制御部１６２、利用者認証部１６０から認証が失敗したことを示す結果を取得した場合、そのアクセス者がデータへのアクセスすることを拒否する。

また、ステップＳ９１８では、ステップＳ９１４においてアクセス者がアクセス可能でないと判定した場合、アクセス制御部１６２は、そのアクセス者がデータへのアクセスすることを拒否する。

図９に示されるフローチャートに示される処理の順序は、この限りでなく適宜変更可能である。例えば、ステップＳ９１０の処理は、ステップＳ９０２の前に実施することも可能である。

また、図９に示されるフローチャートに示される処理の一部は、駆動制御モジュール２００の処理にも適用できる。つまり、ライフサイクル状態管理モジュール１００は、ステップＳ９０２の処理の後に、駆動制御モジュール２００にライフサイクル状態を通知する。

駆動制御モジュール２００のアクセス制御部２６２は、ライフサイクル状態管理モジュール１００から通知されるライフサイクル状態に基づいて、ステップＳ９０４−Ｓ９０８の処理を実施する。駆動制御モジュール２００のアクセス制御部２６２は、制御対象データが権限なしにアクセス可能である場合には制御対象データへのアクセスを許可し、制御対象データが権限なしにアクセス可能でない場合にはライフサイクル状態管理モジュール１００に通知する。

ライフサイクル状態管理モジュール１００は、制御対象データは権限なしにアクセス可能でないことが通知された場合に、ステップＳ９１０−Ｓ９１２の処理を実施する。ライフサイクル状態管理モジュール１００は、認証が失敗した場合にはアクセスを却下し、成功した場合には駆動制御モジュール２００に通知する。

駆動制御モジュール２００のアクセス制御部２６２は、認証が成功したことが通知された場合、認証者が制御対象データにアクセス権限を有する否かを判断し、ステップＳ９１６またはＳ９１８の処理を実施する。

また、図９に示されるフローチャートに示される処理の一部は、駆動制御モジュール２００と同様に、エンジン制御モジュール３００、ナビゲーションモジュール４００、および車載カメラモジュール５００の処理にも適用できる。

＜ライフサイクル状態の変更処理＞
図１０は、ライフサイクル状態の変更が行われる際の処理を示す。

ステップＳ１００２では、ライフサイクル状態管理モジュール１００のアクセス制御部１６２は、ライフサイクル状態を変更する要求（以下、「状態変更要求」という）を受け付ける。

ステップＳ１００４では、ライフサイクル状態管理モジュール１００のアクセス制御部１６２は、状態変更要求を行ったアクセス者は、アクセスが許可された者であるか否かを判断する。アクセス制御部１６２は、データへのアクセス制御の後に、状態変更要求にしたがって、ライフサイクル状態を変更する処理を行う。具体的には、アクセス制御部１６２は、状態変更要求を受け付けた際に、図９に示される制御対象データへのアクセス処理を実行する。アクセス制御部１６２は、制御対象データへのアクセスが認可された場合にはライフサイクル状態を変更する処理を行い、アクセスが認可されない場合にはライフサイクル状態を変更する処理を却下する。

ステップＳ１００６では、ステップＳ１００４で状態変更要求を行ったアクセス者がアクセスを許可された者である場合、状態管理部１６４は、遷移条件を検索する。状態変更要求を受け付けたとき、アクセス制御部１６２は、状態管理部１６４を呼び出し、状態変更要求が行われた状態における遷移条件の通知を要求する。状態管理部１６４は、アクセス制御部１６２からの遷移条件の通知の要求にしたがって、遷移条件を通知する。遷移条件は、特定のデータ存在していること、あるデータが特定の形式を満たすことなどである。ここでは、一例として、遷移条件は、ＲＯＭ１０４に格納された全データのハッシュ値を取り、データの改ざんを受けていないことを確認することである場合について説明する。

ステップＳ１００８では、アクセス制御部１６２は、状態管理部１６４から通知される遷移条件に基づいて、状態変更のための遷移条件を満たしているか否かを判断する。ここでは、ＲＯＭ１０４に格納された全データのハッシュ値を取り、データの改ざんを受けていないことを確認することが遷移条件であるため、アクセス制御部１６２は、制御対象データ１３０１−１３０ＭなどのＲＯＭ１０４に格納された全データのハッシュ値を取り、データの改ざんを受けているかいないかを判断することによって、状態変更の遷移条件を満たしているか否かを判断する。

ステップＳ１０１０では、ステップＳ１００８でデータの改ざんを受けていないと判断した場合、つまり、状態変更条件を満たしている場合、アクセス制御部１６２は、状態変更前の状態からＥｘｉｔする処理を行う。状態変更条件を満たしている場合、アクセス制御部１６２は、状態管理部１６４を呼び出し、状態管理部１６４に状態遷移前の状態データのＥｘｉｔ動作を通知するように要求する。状態管理部１６４は、アクセス制御部１６２からのＥｘｉｔ動作の通知要求にしたがって、状態遷移前の状態データのＥｘｉｔ動作を通知する。アクセス制御部１６２は、状態管理部１６４から通知されるＥｘｉｔ動作にしたがってＥｘｉｔ処理を実施する。Ｅｘｉｔ処理を実施することによって、ライフサイクル状態を変更する上で、次の状態に移行する際に残しておくことがセキュリティ上の脆弱性につながるような情報の消去、もしくは、そのような情報の書き換えを実施できる。Ｅｘｉｔ処理の一例は、前回のライフサイクル状態における機器の主要な利用者の個人情報につながるログデータの削除、秘密鍵の改ざん防止のための書き込み不可設定などである。

ステップＳ１０１２では、ステップＳ１０１０においてＥｘｉｔ処理が実施された後、アクセス制御部１６２は、状態変更を実施する。アクセス制御部１６２は、状態管理部１６４に状態の変更を通知する。状態管理部１６４は、アクセス制御部１６２から状態の変更が通知されると、現在の状態として記憶している内容を要求された状態に入れ替えることによって、管理対象の状態を遷移させる。

ステップＳ１０１４では、状態変更後の状態へのＥｎｔｒｙ処理を実施する。状態変更後、アクセス制御部１６２は、状態管理部１６４を呼び出し、Ｅｎｔｒｙ動作を要求する。状態管理部１６４は、アクセス制御部１６２からのＥｎｔｒｙ動作の通知の要求にしたがって、Ｅｎｔｒｙ動作を通知する。アクセス制御部１６２は、状態管理部１６４から通知されるＥｎｔｒｙ動作にしたがって、Ｅｎｔｒｙ動作を実施する。Ｅｎｔｒｙ動作では、状態変更後のライフサイクルを安全に使うための処理として、セキュリティ情報の初期設定などを実施する。一例として、通信のための鍵の設定が必要になる場合に、機器が鍵を自動生成するなどの処理を実施する。

ステップＳ１０１６では、ステップＳ１０１４によって、Ｅｎｔｒｙ処理が実施された後、状態変更を完了する。

ステップＳ１０１８では、ステップＳ１００４で状態変更要求を行ったアクセス者がアクセスを許可された者でない場合、またはステップＳ１００８でデータの改ざんを受けていると判断した場合、アクセス制御部１６２は、状態変更要求を却下する。

図１０に示されるフローチャートに示される処理の順序は、この限りでなく適宜変更可能である。

機器の一実施例によれば、ライフサイクルの各ステージによって表されるライフサイクル状態に基づいて、機器全体に対して、操作や、アクセス制御が実施されるため、機器の利用者が変更される場合でも、安全性を確保できる。つまり、機器の製造から廃棄までの各ステージ（プロセス）を通して、ライフサイクル状態を管理をすることによって、セキュリティ上で一貫性を持って機器の安全管理ができる。また、ライフサイクル状態の変更に伴う機器の主要な利用者の変更に応じて、変更後のライフサイクル状態でのアクセス制御により、前の利用者が不正に機器にアクセスすることを防止できる。

また、電子情報資産を格納する機器全体を通して、電子情報資産へアクセスが可能な人物をライフサイクル状態に応じて制御することができるため、ライフサイクル状態の変化と同時に電子情報資産にアクセスできる人物が変更される。さらに、ライフサイクル状態の変化をトリガーとしてＥｘｉｔ動作、Ｅｎｔｒｙ動作などの機能を呼び出すことができるため、セキュリティホールになりうる電子情報の消去や、再設定ができる。

機器の一例は車両であり、第１の記憶部、および第２の記憶部の一例はＲＯＭおよびＲＡＭのいずれかまたは両方であり、電子情報の一例は制御対象データであり、アクセス制御ポリシーの一例は状態アクセス制御ポリシーであり、認証部の一例は利用者認証部である。また、管理モジュールの一例はライフサイクル状態管理モジュールである。

本発明は特定の実施例、変形例を参照しながら説明されてきたが、各実施例、変形例は単なる例示に過ぎず、当業者は様々な変形例、修正例、代替例、置換例等を理解するであろう。説明の便宜上、本発明の実施例に従った装置は機能的なブロック図を用いて説明されたが、そのような装置はハードウェアで、ソフトウエアでまたはそれらの組み合わせで実現されてもよい。本発明は上記実施例に限定されず、本発明の精神から逸脱することなく、様々な変形例、修正例、代替例、置換例等が包含される。

５０ バス
１００ ライフサイクル状態管理モジュール
１０２ ＣＰＵ
１０４ ＲＯＭ
１０６ ＲＡＭ
１０８ バスＩ／Ｆ
１１０ 認証部
１５０ バスライン
１６０ 利用者認証部
１６２ アクセス制御部
１６４ 状態管理部
１６６ ライフサイクル状態データ
２００ 駆動制御モジュール
２０２ ＣＰＵ
２０４ ＲＯＭ
２０６ ＲＡＭ
２０８ バスＩ／Ｆ
２５０ バスライン
２６２ アクセス制御部
３００ エンジン制御モジュール
４００ ナビゲーションモジュール
５００ 車載カメラモジュール
１００１−１００Ｎ ユーザデータ
１１０１−１１０Ｎ 認証データ
１２０１−１２０Ｎ ロール
１３０１−１３０Ｍ 制御対象データ
１４０１−１４０Ｍ 状態アクセス制御ポリシー
１５０１−１５０ｋ 状態データ
１６０１−１６０ｋ 遷移条件
１７０１−１７０ｋ Ｅｎｔｒｙ動作
１８０１−１８０ｋ Ｅｘｉｔ動作
２３０１−２３０Ｌ 制御対象データ
２４０１−２４０Ｌ 状態アクセス制御ポリシー

特開２００９−７５９６８号公報

Claims (9)

1. １または複数の制御モジュールが搭載される機器であって、
   当該機器のライフサイクルにおける現在の状態に応じて、前記１または複数の制御モジュールを管理する状態管理部と、
   １または複数の電子情報と、前記機器のライフサイクルにおける状態に応じて該１または複数の電子情報の各々に対して許されるアクセス内容を示すアクセス制御ポリシーとを格納する第１の記憶部と、
   前記１または複数の電子情報のいずれかの電子情報へのアクセス要求に応じて、該電子情報に対して許されるアクセス内容を前記現在の状態に基づいて前記第１の記憶部に格納されるアクセス制御ポリシーから特定し、該アクセス内容にしたがってアクセス制御を実施するアクセス制御部と
   を備える、機器。
2. 前記１または複数の電子情報のいずれかの電子情報へアクセス要求を行った利用者を認証する認証部
   を備え、
   前記第１の記憶部に格納されるアクセス制御ポリシーには、前記機器のライフサイクルにおける状態に応じて、前記１または複数の電子情報の各々に対して許されるアクセス内容が、アクセスが許可された利用者の権限毎に規定され、
   前記アクセス制御部は、前記１または複数の電子情報のいずれかの電子情報へのアクセス要求に応じて、該電子情報に対して許されるアクセス内容を前記現在の状態、及び前記認証部によってアクセスが許可された利用者の権限に基づいて前記第１の記憶部に格納されたアクセス制御ポリシーから特定し、該アクセス内容にしたがって、アクセス制御を実施する、請求項１に記載の機器。
3. 前記ライフサイクルにおける状態遷移が要求された場合の処理内容を規定する状態データを格納する第２の記憶部
   を備え、
   前記アクセス制御部は、前記状態遷移が要求された場合に、前記第２の記憶部に格納さえる処理内容にしたがって、前記ライフサイクルにおける状態を遷移させる、請求項１または２に記載の機器。
4. 前記アクセス制御部は、前記機器が廃棄される場合に、前記第１の記憶部に格納される情報を削除する、請求項１ないし３のいずれか１項に記載の機器。
5. １または複数の制御モジュールと接続される管理モジュールであって、
   前記管理モジュールが搭載される機器のライフサイクルにおける現在の状態に応じて、前記１または複数の制御モジュールを管理する状態管理部と、
   １または複数の電子情報と、前記機器のライフサイクルにおける状態に応じて該１または複数の電子情報の各々に対して許されるアクセス内容を示すアクセス制御ポリシーとを格納する記憶部と、
   前記１または複数の電子情報のいずれかの電子情報へのアクセス要求に応じて、該電子情報に対して許されるアクセス内容を前記現在の状態に基づいて前記記憶部に格納されるアクセス制御ポリシーから特定し、該アクセス内容にしたがってアクセス制御を実施するアクセス制御部と
   を備える、管理モジュール。
6. １または複数の制御モジュールが搭載される機器の制御方法であって、
   当該機器は、
   １または複数の電子情報と、前記機器のライフサイクルにおける状態に応じて該１または複数の電子情報の各々に対して許されるアクセス内容を示すアクセス制御ポリシーとを格納する記憶部
   を有し、
   前記機器は、
   該機器のライフサイクルにおける現在の状態に応じて、前記１または複数の制御モジュールを管理し、
   前記１または複数の電子情報のいずれかの電子情報へのアクセス要求に応じて、該電子情報に対して許されるアクセス内容を前記現在の状態に基づいて前記記憶部に格納されるアクセス制御ポリシーから特定し、
   該アクセス内容にしたがってアクセス制御を実施する、機器の制御方法。
7. １または複数の制御モジュールと接続される管理モジュールの制御方法であって、
   当該管理モジュールは、
   １または複数の電子情報と、前記管理モジュールが搭載される機器のライフサイクルにおける状態に応じて該１または複数の電子情報の各々に対して許されるアクセス内容を示すアクセス制御ポリシーとを格納する記憶部
   を備え、
   前記管理モジュールは、
   前記機器のライフサイクルにおける現在の状態に応じて、前記１または複数の制御モジュールを管理し、
   前記１または複数の電子情報のいずれかの電子情報へのアクセス要求に応じて、該電子情報に対して許されるアクセス内容を前記現在の状態に基づいて前記記憶部に格納されるアクセス制御ポリシーから特定し、
   該アクセス内容にしたがってアクセス制御を実施する、管理モジュールの制御方法。
8. 機器に、請求項６に記載の制御方法を実行させるプログラム。
9. 管理モジュールに、請求項７に記載の制御方法を実行させるプログラム。

Images