JP2015187940A - 電池ユニット - Google Patents

Abstract

【課題】不適切な機器により使用されることを抑制し得る電池ユニットを提供する。【解決手段】サーバ９０と通信する機器２０ａから取得した認証用情報に基づく機器認証を行う電池ユニット１０ａは、サーバ９０に対して無効機器特定用情報の送信要求を行わせる要求送信指示情報を機器２０ａに送信する要求指示部１５と、無効機器特定用情報及び認証用情報を機器２０ａから受信する受信部１６と、受信部１６により受信された無効機器特定用情報が送信要求に応じてサーバ９０から送信されたものであることを検証し、無効機器特定用情報が送信要求に応じて送信されたものであると検証された場合、機器認証に際して無効機器特定用情報を用いて認証用情報についての検証を行う認証部１４と、認証用情報に基づく機器認証に成功した場合に機器との間で電力の授受を行わせる制御部１２とを備える。【選択図】図３

Description

本発明は、電池に関し、特に電池との間で電力の授受を行う機器を制限するための技術に関する。

近年、電動アシスト自転車等の各種車両や各種機器に利用される電池の交換や充電の技術が開発されている。特許文献１には、機器に装着される電池パックが模造品であれば使用できないようにする電池パック認証システムが示されている。

特開２００６−３３１８１５号公報

しかしながら、特許文献１の技術では、不適切な機器により電池が使用されることを抑制できない。

そこで、本発明は、不適切な機器により使用されることを抑制し得る電池ユニットを提供する。

本発明の一態様に係る電池ユニットは、サーバと通信する機器から取得した認証用情報に基づく機器認証を行う電池ユニットであって、前記サーバに対して無効機器特定用情報の送信要求を行わせる要求送信指示情報を、前記機器に送信する要求指示部と、無効機器特定用情報及び認証用情報を前記機器から受信する受信部と、前記受信部により受信された前記無効機器特定用情報が前記送信要求に応じて前記サーバから送信されたものであることを検証し、前記無効機器特定用情報が前記送信要求に応じて前記サーバから送信されたものであると検証された場合、前記機器認証に際して当該無効機器特定用情報を用いて前記認証用情報についての検証を行う認証部と、前記認証用情報に基づく機器認証に成功した場合に、前記機器との間で電力の授受を行わせる制御部とを備える電池ユニットである。

本発明の電池ユニットは、不適切な機器により使用されることを抑制し得る。

実施の形態に係る電池管理システムを示す概略図である。 機器が電池ユニットを使用する状態を示す図である。 電池管理システムを構成する装置類の機能ブロック図である。 電池情報の構成例を示す図である。 公開鍵証明書の構成を示す図である。 証明書失効リスト（ＣＲＬ）の構成を示す図である。 電池ユニットの動作を示すフローチャートである。 機器の動作を示すフローチャートである。 実施の形態１における電池ユニットとサーバとの間でのデータ送受のシーケンスを示す図である。 電池ユニットと機器との間での機器認証のシーケンスを示す図である。 実施の形態２における電池ユニットとサーバとの間でのデータ送受のシーケンスを示す図である。 実施の形態３における電池ユニットとサーバとの間でのデータ送受のシーケンスを示す図である。 実施の形態４における電池ユニットとサーバとの間でのデータ送受のシーケンスを示す図である。

不適切な機器により使用されることを抑制すべく、本発明の一態様に係る電池ユニットは、サーバと通信する機器から取得した認証用情報に基づく機器認証を行う電池ユニットであって、前記サーバに対して無効機器特定用情報の送信要求を行わせる要求送信指示情報を、前記機器に送信する要求指示部と、無効機器特定用情報及び認証用情報を前記機器から受信する受信部と、前記受信部により受信された前記無効機器特定用情報が前記送信要求に応じて前記サーバから送信されたものであることを検証し、前記無効機器特定用情報が前記送信要求に応じて前記サーバから送信されたものであると検証された場合、前記機器認証に際して当該無効機器特定用情報を用いて前記認証用情報についての検証を行う認証部と、前記認証用情報に基づく機器認証に成功した場合に、前記機器との間で電力の授受を行わせる制御部とを備える電池ユニットである。

これにより、機器認証に成功した場合に機器による使用が可能となるので、不適切な機器により使用されることが抑制される。なお、認証用情報を検証するための無効機器特定用情報がサーバから送信要求に応じて送信されたものであることを検証しているため、認証用情報の検証が適切に行われ、この結果として不適切な機器による使用の抑制が適切になされ得る。

ここで、例えば、前記機器認証は、公開鍵暗号を用いた認証であり、前記認証用情報は、公開鍵証明書を含み、前記無効機器特定用情報は、証明書失効リストであり、前記制御部は、前記機器認証に失敗した場合に前記機器との間での電力の授受を抑止することとしてもよい。

これにより、公開鍵基盤（ＰＫＩ：Public Key Infrastructure）に基づく機器認証を適切に行えるようになり、不適切な機器による使用が適切に抑制されるようになる。

また、例えば、前記要求指示部は、前記機器に前記送信要求としての所定情報を前記サーバに対して送信させるべく、当該所定情報を前記要求送信指示情報に含ませて前記機器へ送信し、前記認証部は、前記受信部により受信された前記無効機器特定用情報についての前記検証を、前記所定情報に基づいて行うこととしてもよい。

これにより、サーバが所定情報で検証可能に無効機器特定用情報を生成して送信することを前提とすれば、送信要求に応じて送信されたサーバからの無効機器特定用情報を比較的容易に検証することができるようになる。

また、前記電池ユニットは、当該電池ユニットに関する情報である電池情報を記憶する記憶部を有し、前記所定情報は、前記電池情報を含むこととしてもよい。

これにより、電池情報をサーバに伝達することで、電池情報により検証可能な無効機器特定用情報を要求することができデータ送受の効率化を図ることができる。

また、前記電池ユニットは、当該電池ユニットに関する情報である電池情報を記憶する記憶部を有し、前記要求指示部は、前記機器に前記送信要求としての前記電池情報を前記サーバに対して送信をさせるべく、当該電池情報を前記要求送信指示情報に含ませて前記機器へ送信することとしてもよい。

これにより、電池情報をサーバに伝達することで無効機器特定用情報を要求することができデータ送受の効率化を図ることができる。

また、前記電池ユニットの前記記憶部が記憶する前記電池情報は、当該電池ユニットの状態を示す情報を含み、前記電池ユニットの前記制御部は、当該電池ユニットの状態に応じて前記電池情報を更新することとしてもよい。

これにより、電池ユニットの使用により変化する状態を示す電池情報がサーバに伝送されるので、サーバにおいて電池ユニットの状態を把握及び管理し得るようになる。

また、前記電池ユニットは、前記機器との間での電力の授受に際して、当該機器から取得した前記認証用情報に基づく当該機器の識別用の情報を前記電池情報に含め、当該電力の授受において異常が生じた場合には異常を示す情報を前記電池情報に含めることとしてもよい。

これにより、機器により不適切な使用がなされた場合（異常が生じた場合）に、そのことをサーバに通知することができるようになる。なお、サーバにおいては不適切な使用をした機器を把握することができる。そして、サーバにおいて、例えば、その不適切な使用をした機器を示すように無効機器特定用情報を更新する等の対処をし得るようになる。

また、前記要求指示部は、前記機器との間での電力の授受に際して、前記要求送信指示情報を送信し、前記認証部は、前記機器との間での電力の授受に際して、前記認証用情報の前記検証を行うこととしてもよい。

これにより、機器により使用がなされる際（例えば機器が使用の準備をしている間や使用している間等）に、無効機器特定用情報により、機器が不適切な機器であるかどうかを確認することができるようになる。

また、前記要求指示部は、前記機器との間での電力の授受に際して、前回の前記要求送信指示情報の送信から所定期間経過している場合に新たに前記要求送信指示情報を送信することとしてもよい。

これにより、新たな無効機器特定用情報を取得できるようになる。

また、前記要求指示部は、前記受信部により受信された前記証明書失効リストに示された、次回の証明書失効リストの発行予定時が経過した場合に新たに前記要求送信指示情報を送信することとしてもよい。

これにより、効率的に新たな証明書失効リストを取得できるようになる。

また、前記電池ユニットは、二次電池と、前記二次電池への充電を実行する充電回路と、前記二次電池からの放電を実行する放電回路と、前記機器と着脱自在に接続する接続部とを有し、前記制御部は、前記機器から受信した認証用情報に基づく機器認証に成功した場合に、前記接続部を介して、前記放電回路又は前記充電回路により、当該機器との間で電力の授受を行わせることとしてもよい。

これにより、機器認証に成功した場合において、電池ユニットと接続した機器に対しての放電、又は電池ユニットと接続した機器からの充電が可能となる。

また、本発明の一態様に係る機器は、電池ユニットとの間で電力の授受を行う機器であって、前記電池ユニットから要求を受けた場合、サーバに証明書失効リストの送信要求を行う要求送信部と、前記サーバから前記証明書失効リストを受信する受信部と、公開鍵証明書を含む認証用情報と、前記サーバから受信した証明書失効リストとを前記電池ユニットに送信する認証送信部とを備える機器である。

この機器により、電池ユニットがサーバからの証明書失効リストを取得することができるようになる。従って、この機器が電池ユニットを使用した後に、この電池ユニットが不適切な機器で使用されようとした場合に、証明書失効リストでの検証を用いた機器認証によってその不適切な機器による使用を抑制できる可能性が高まる。

また、前記電池ユニットからの要求は、当該電池ユニットに関する情報である電池情報の伝達によりなされ、前記要求送信部は、前記電池ユニットから前記電池情報を受けると、前記証明書失効リストの送信要求として当該電池情報を前記サーバに送信することとしてもよい。

これにより、機器が電池情報をサーバに伝達することで、証明書失効リストを要求することができデータ送受の効率化を図ることができる。

なお、これらの包括的又は具体的な各種態様には、装置、システム、方法、集積回路、コンピュータプログラム、コンピュータで読み取り可能な記録媒体等の１つ又は複数の組み合わせが含まれる。

以下、実施の形態について、図面を参照しながら説明する。

ここで示す実施の形態は、いずれも本発明の好ましい一具体例を示すものである。従って、以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置及び接続形態、並びに、ステップ（工程）及びステップの順序等は、一例であって本発明を限定するものではない。以下の実施の形態における構成要素のうち、本発明の最上位概念を示す独立請求項に記載されていない構成要素については、任意に付加可能な構成要素である。また、各図は、模式図であり、必ずしも厳密に図示されたものではない。

各実施の形態では、主に、機器に利用される際に公開鍵暗号を用いて機器認証をする電池ユニットについて説明する。この電池ユニットは、二次電池であり、過充電、過放電等により電池寿命が短縮されないように適切に定められた規格等に従った一定基準を満たす機器に使用され、その基準を満たさない機器には使用されないようにするために、機器認証を行う。この電池ユニットは、機器を介してサーバから取得した証明書失効リスト（ＣＲＬ：Certificate Revocation List）により、機器認証に用いる機器の公開鍵証明書を検証する特徴を有する。ここで、電池ユニットは、電池セル、電池セルの集合体である電池モジュール、電池モジュールの集合体である電池パック等といった二次電池の単位として用いられるもの全てを表し、また、プロセッサ及びメモリを含む制御回路が付加されているものを表す。

（実施の形態１）
以下、本発明の一実施態様である実施の形態１について説明する。

（構成）
図１は、本発明の実施の形態に係る電池管理システム１００を示す概略図である。

電池管理システム１００は、各種機器に脱着され得る複数の電池ユニットそれぞれについて例えば所在位置（装着中の機器）、電池状態等をサーバが把握して適切な使用がなされるように管理するためのシステムである。図１に示すように電池管理システム１００は、電池ユニット１０ａ〜１０ｄ等と、機器２０ａ〜２０ｃ等と、各機器とネットワーク９９を介して通信可能なサーバ９０（コンピュータ）とを備える。

電池ユニット１０ａ〜１０ｄ等は、例えば同一形状で同一な平均出力電圧（同一仕様）を有する等により互いに互換性を有し、いずれも電池セル及び制御回路を含んで構成される。そして、これらの電池ユニットは、電動アシスト自転車、掃除機、芝刈り機、電動工具その他の各種機器及び充電器に使用される。なお、電池ユニットについての使用とは、電力の授受を行うことをいう。１つの電池ユニットが上述の一定基準を満たす複数の機器（複数台の電動アシスト自転車、充電器、その他の機器等）に交互に装着されて使用されてもよい。電池ユニット１０ａ〜１０ｄの制御回路は、プロセッサ及びメモリを含み、電池の温度、電圧等といった電池の状態を監視する電池コントローラ、機器との接続インタフェース回路（接続部）等を含んで構成される。電池コントローラは、電池への充電を実行するための充電回路、電池からの放電を実行するための放電回路等を含んでもよい。なお、接続部は、機器との間で信号の授受が可能なように接続するものであればよいが、例えば機器との間で着脱自在に接続するための機構を有していてもよい。

機器２０ａ〜２０ｃは、いずれも上述の一定基準を満たし電池ユニットを装着して使用し得る可能な機器であり、サーバ９０と通信するための通信回路、電源回路及び制御回路（プロセッサ、メモリ等）を有する。

図２は、機器２０ａが電池ユニット１０ａを使用する状態を示す図である。同図に例示するように機器２０ａは、充電器であり、室内の壁面に設けられた電源端子及びＬＡＮ端子を有するコンセントプレート３０に電源ケーブル３１及びＬＡＮケーブル３２により接続されている。この機器２０ａは、電池ユニット１０ａを装着し、電源ケーブル３１を介して電力系統からの電力（例えば１００Ｖの単相交流）を受けて電池ユニット１０ａを充電する。そして、ＬＡＮケーブル３２の先に接続された通信機器（ルーター等）やネットワーク９９を介してサーバ９０と通信を行い得る。電池ユニット１０ａは、直接的にネットワークにアクセスして通信を行う機能を有さないが、機器２０ａとの間でデータの送受を行い得る。即ち、電池ユニット１０ａは、機器２０ａに装着されている際には、電池の状態等を示す電池情報を、機器２０ａを介してサーバ９０に送信することができる。電池ユニット１０ａは、充電器により充電された後には例えば電動アシスト自転車等の機器に装着されて機器の駆動のために用いられる。

以下、電池管理システム１００を構成する各装置類の機能について説明する。

図３は、電池管理システム１００を構成する装置類の機能ブロック図である。同図では、電池ユニット１０ａ、機器２０ａ及びサーバ９０の機能構成を示し、その他の装置類は省略している。

電池ユニット１０ａは、機能面では図３に示すように、電池部１１、制御部１２、記憶部１３、認証部１４、要求指示部１５及び受信部１６を有する。なお、他の電池ユニットも同様の機能構成を有する。

電池部１１は、電力を蓄積するための１又は複数の電池セルである。

制御部１２は、制御回路の電池コントローラにより構成され、電池部１１である電池セルの充電回路による充電及び放電回路による放電を制御し、電池の状態を測定して測定値等を記憶部１３に記録し、電池の状態等を示す電池情報を更新する機能を有する。

記憶部１３は、例えば制御回路内の不揮発性メモリ等で実現され、電池の状態等を示す電池情報、認証に用いる情報等を記憶する機能を有する。

認証部１４は、制御回路により実現され、受信部１６に受信され、記憶部１３に記憶されている情報等を用いて、サーバから送信されたＣＲＬの検証、及び、公開鍵暗号を用いて機器認証を行う機能を有する。なお、認証部１４による機器認証の結果として、機器認証に成功した場合のみ制御部１２が機器との間での電力の授受を行わせる。

要求指示部１５は、制御回路により実現され、機器にＣＲＬの送信要求をサーバ９０に対して送信させるべく、機器に接続インタフェース回路を介して要求する機能を有する。この要求は、ＣＲＬの送信要求をサーバに対して送信させるよう指示する要求送信指示情報を機器に送信することによりなされる。

受信部１６は、制御回路により実現され、機器から接続インタフェース回路を介してＣＲＬ及び認証用情報を受信することにより取得する機能を有する。

また、機器２０ａは、機能面では図３に示すように、電力制御部２１、記憶部２２、認証部２３、要求送信部２４、受信部２５及び認証送信部２６を有する。なお、他の機器も、電池ユニットと関係しない機能においては様々であるが、電池ユニットと関係する機能（図３の機能構成で示す機能）については、電池ユニットからの電力供給を受ける機器であっても電池ユニットに電力供給する機器であっても同様である。

電力制御部２１は、電源回路であり、電池ユニット１０ａの制御部１２と接続し、電池部１１の電池セルへの電力供給を行う機能又はその電池セルからの電力供給を受ける機能を有する。機器２０ａは、充電器であるので電力制御部２１が外部の電力系統からの電力を電池部１１の電池セルへ供給する。電池ユニットの電力を受ける機器においては、電力制御部２１は、電池部１１の電池セルから供給された電力を負荷の駆動に用いる。

記憶部２２は、例えば制御回路内の不揮発性メモリ等で実現され、機器認証に用いるための情報等を記憶する機能を有する。

認証部２３は、制御回路により実現され、記憶部２２に記憶されている情報を用いて、電池ユニット１０ａとの間での認証を行う機能を有する。

要求送信部２４は、制御回路及び通信回路により実現され、電池ユニット１０ａからの要求送信指示情報を受信するとサーバ９０に対して、ＣＲＬの送信要求を行う機能を有する。

受信部２５は、制御回路及び通信回路により実現され、サーバ９０から送信されたＣＲＬを受信する機能を有する。

認証送信部２６は、制御回路により実現され、受信部２５により受信されたＣＲＬを電池ユニット１０ａに送信することで伝達する機能を有する。

また、サーバ９０は、各電池ユニットの状態を把握して適切な使用がなされるよう管理するためのコンピュータであり、メモリ、ハードディスク装置等の記憶媒体、プロセッサ、通信回路等を備える。このサーバ９０は、機能面では図３に示すように、記憶部９１及び電池管理部９２を有する。

記憶部９１は、例えば不揮発性メモリ等の記憶媒体で実現され、各電池ユニットについての電池情報、認証に用いる情報、配布用のＣＲＬ等を記憶する機能を有する。

電池管理部９２は、ネットワーク９９を介して機器２０ａ〜２０ｃの各々と通信可能であり、電池ユニットの電池情報が機器を介して送られた場合にこれを受信することにより取得して記憶部９１の電池情報を更新する機能を有する。また、電池管理部９２は、機器からＣＲＬの送信要求を受けると、記憶部９１内の最新のＣＲＬを機器に送信する機能も有する。これらの機能は、通信回路により実現され、また、サーバ９０のメモリに格納された制御プログラムをプロセッサが実行することで実現される。また、電池管理部９２は、外部の端末装置等からの電池情報の照会に対応して、電池情報の一部を送信する等のサービス機能を有していてもよい。これにより端末装置を用いて電池ユニットの情報（現在使用中の機器を示す情報）等をサーバ９０から得ることが可能になる。

以下、電池ユニット１０ａ、機器２０ａ及びサーバ９０に注目して、上述の構成を備える電池管理システム１００で取り扱うデータ及び電池管理システム１００の動作について順に説明する。

（データ構成）
電池管理システム１００で取り扱うデータ（電池情報、公開鍵証明書及びＣＲＬ）について説明する。

図４は、電池情報４０の構成例を示す図である。電池情報４０は、電池の状態等を表し、電池ユニット１０ａの制御部１２により記憶部１３に格納され、機器２０ａを介してサーバ９０に対して送信されるデータである。この電池情報４０は、図４に示すように、電池ユニット１０ａについての電池ＩＤ４１、異常フラグ４２、温度履歴４３、過放電履歴４４、機器履歴４５等を含んで構成される。

電池ＩＤ４１は、電池ユニットそれぞれの中で電池ユニット１０ａを識別する情報である。異常フラグ４２は、通常時はオフであり、電池ユニット１０ａが何らかの異常状態となった場合にオンされるフラグである。異常フラグ４２は、例えば、機器から一定レベル以上の過充電を受けたり、一定レベル以上の過放電にされたり等といった、機器との間での電力の授受において異常が生じた場合には、オンにされ、異常を示すことになる。温度履歴４３は、電池ユニット１０ａが所定温度以上（例えば摂氏６０度以上）になった期間を示す情報であり、制御部１２が計測する温度に基づいて記録される。過放電履歴４４は、電池ユニット１０ａの放電により、充電率が所定の閾値（例えば容量の１０％）を下回った回数を示す情報であり、制御部１２が計測する電圧の変化に基づいて記録される。機器履歴４５は、電池ユニット１０ａを使用した機器から取得した機器固有の識別情報（例えば機器の公開鍵等）である機器ＩＤ４５ａと、使用状態（例えば充電、放電の区別や使用日時等）である状態４５ｂとを含んで構成される。サーバ９０は、各電池ユニットについて図４に示すような電池情報４０を、各機器を介して受信することにより、各電池ユニットの状態を管理することができ、例えば外部の端末装置等からの電池情報の照会に対応することができるようになる。

図５は、公開鍵証明書５０の構成を示す図である。公開鍵証明書５０は、公開鍵暗号を用いた認証において公開鍵とその所有者の関係を証明するために利用される情報である。この公開鍵証明書５０は図５に示すように、バージョン番号（Version）５１、シリアルナンバー（Serial Number）５２、署名情報（Signature）５３、発行者名（Issuer）５４、有効期限（Validity）５５、所有者名（Subject）５６及び公開鍵（Subject Public Key Info）５７を含んで構成される（例えば国際電気通信連合の電気通信標準化部門によるＩＴＵ−Ｔ Ｘ．５０９参照）。この公開鍵証明書５０は認証局により発行され、署名情報５３は、認証局の署名であり、所有者名５６は公開鍵５７の所有者の名前である。公開鍵の所有者は、認証の相手に公開鍵証明書５０を送信することで、正当な所有者からのものとして公開鍵（公開鍵証明書５０に含まれるもの）を配送することができる。電池管理システム１００においては、サーバ９０が認証局の１つとして機能する。

図６は、ＣＲＬ６０の構成を示す図である。ＣＲＬ６０は、失効した公開鍵証明書のリストである。このＣＲＬ６０は図６に示すように、署名（Signature）６１、発行者（Issuer）６２、最終のアップデート（This Update）６３、次回のアップデート（Next Update）６４及び失効した証明書（Revoked Certificates）６５を含んで構成される。このＣＲＬ６０は認証局により発行され、署名６１は認証局の署名である。失効した証明書６５は、失効した公開鍵証明書５０のシリアルナンバー５２を含む。次回のアップデート６４は、次の定期的なアップデートの予定時を示す。公開鍵証明書の失効の申請（例えば公開鍵と対となる秘密鍵が漏洩した場合等になされる）を受けると認証局がその公開鍵証明書をＣＲＬに追加する。なお、機器による電池ユニットの使用が不適切なことにより異常フラグがオンとされた電池情報を受信したサーバ９０（認証局）は、この電池情報を公開鍵証明書の失効の申請と看做し、電池情報の機器ＩＤ４５ａが示す機器の公開鍵証明書をＣＲＬに追加する。

（動作）
以下、上述の構成を備え、上述のデータを取り扱う電池管理システム１００の各装置類の動作を説明する。

図７は、電池ユニット１０ａの動作を示すフローチャートである。

電池ユニット１０ａの要求指示部１５は、機器２０ａに装着されて使用される際にＣＲＬ要求条件が成立する（満たされる）か否かを判定する（ステップＳ１１）。ＣＲＬ要求条件は、例えば、既に取得しているＣＲＬの次回のアップデート６４に示される時が経過しており、かつ、機器に装着されている状態であるときである。これにより、ＣＲＬが定期的にアップデートされる毎にＣＲＬを取得することが可能となる。なお、ＣＲＬ中の次回のアップデート６４は定期的なアップデートには適しているが、不定期な緊急のアップデートも可能にすることを考慮すると、ＣＲＬ要求条件を、機器との間での電力の授受の際（例えば機器による使用開始時）という条件としてもよい。また、頻繁にＣＲＬ要求条件が成立するようにすると利便性が低下し得ることに鑑みて、例えば機器による使用の開始時において前回の使用開始から所定時間（例えば２４時間）以上が経過しているときにだけ満たされる条件等としてもよい。つまり、ＣＲＬ要求条件は、例えば前回のＣＲＬ要求から所定時間（例えば２４時間）が経過しているという条件であってもよい。

ＣＲＬ要求条件が満たされる場合には（ステップＳ１１）、要求指示部１５は、機器２０ａにＣＲＬの送信要求をサーバ９０に対して送信させるべく、機器２０ａに接続インタフェース回路を介して要求する（ステップＳ１２）。つまり、要求指示部１５は、機器２０ａに要求送信指示情報を送信することでＣＲＬ要求を行う。これに応じて機器２０ａがサーバ９０に対するＣＲＬの送信要求を行って返送されるＣＲＬを受信して、電池ユニット１０ａに伝達するので、受信部１６は、機器２０ａからＣＲＬを受信することにより取得し認証部１４に伝達する（ステップＳ１３）。電池ユニット１０ａの認証部１４は、ＣＲＬが伝達されると、機器２０ａについて機器認証を行う（ステップＳ１４）。この機器認証に際しては、認証部１４は伝達されたＣＲＬの検証と、機器２０ａから取得した認証用情報に基づき、機器２０ａの公開鍵証明書がＣＲＬに記載されていないかの検証及び公開鍵暗号を用いた機器２０ａの認証を行う。なお、認証に係るデータ送受の詳細については後述する。

機器認証に成功した場合には（ステップＳ１５）、制御部１２の制御下で、電池部１１と機器２０ａとの間での電力の授受が行われ（ステップＳ１６）、機器認証に失敗した場合には電力の授受が抑止される（ステップＳ１７）。そして、電池部１１と機器２０ａとの間での電力の授受が終了すれば、制御部１２は記憶部１３内の電池情報４０を更新する（ステップＳ１８）。なお、制御部１２の制御下で、ステップＳ１６において機器２０ａとの間での電力の授受が行われている間に、過充電や過放電等の異常が生じた場合には、制御部１２は、電池情報４０の異常フラグ４２をオンにする。このとき、電池情報４０の機器ＩＤ４５ａには、機器２０ａの識別情報（例えば公開鍵等）が記録される。

図８は、機器２０ａの動作を示すフローチャートである。機器２０ａは、電池ユニット１０ａを装着して使用するときに同図に示す動作を行う。

機器２０ａの要求送信部２４は、電池ユニット１０ａから要求送信指示情報を受信することによりＣＲＬ要求を受け付けた場合に（ステップＳ２１）、サーバに対してネットワーク９９を介してＣＲＬ送信を要求し、電池ユニット１０ａとサーバ９０との間のデータ伝送を中継する（ステップＳ２２）。即ち、機器２０ａは、電池ユニット１０ａからのサーバ宛のデータを受け取るとサーバ９０に送信し、サーバ９０から電池ユニット宛のデータを受信すると電池ユニット１０ａに伝達する。これにより、サーバ９０から電池ユニット１０ａにはＣＲＬが伝送されることになる。その後、機器２０ａの認証部２３は、電池ユニット１０ａに公開鍵証明書等の認証用情報を伝達することにより、電池ユニット１０ａとの間での認証を行う（ステップＳ２３）。そして、認証に成功した場合には（ステップＳ２４）、電力制御部２１により、電池ユニット１０ａとの間での電力の授受を実行し（ステップＳ２５）、認証に失敗した場合には、電池ユニット１０ａとの間での電力の授受を抑止する（ステップＳ２６）。なお、機器２０ａは、具体的には充電器であるので、ステップＳ１６及びステップＳ２５においては、機器２０ａから電池ユニット１０ａへの電力の供給が行われ、電池部１１に蓄電がなされることになる。また、充電器以外の機器の場合では、ステップＳ１６及びステップＳ２５においては、電池ユニットからその機器への電力の供給が行われることになる。

サーバ９０においては、電池ユニット１０ａのＣＲＬ要求に応じた機器２０ａからＣＲＬの送信要求の送信を受信すると、記憶部９１に格納された最新のＣＲＬを機器２０ａに送信し、電池ユニット１０ａは機器２０ａからＣＲＬを受け取る。

以下、上述の図７及び図８に示す電池ユニット１０ａ及び機器２０ａの動作の一部（ステップＳ１２〜Ｓ１４、Ｓ２１〜Ｓ２２）に関連するところの電池ユニットとサーバとの間でのＣＲＬの送受に係る具体的な処理手順を、図９を用いて説明する。

図９は、電池ユニット１０ａとサーバ９０との間でのデータ送受のシーケンスを示す図である。なお、同図では、電池ユニット１０ａとサーバ９０とのデータ送受を中継する機器２０ａについては省略している。

ＣＲＬの送受の前提として、電池ユニット１０ａは、記憶部１３に認証局の公開鍵（ＰＫ＿ＣＡ）、自己の秘密鍵（ＳＫ＿Ａ）、公開鍵証明書（Ｃｅｒｔ＿Ａ）及び以前に受領しているＣＲＬを予め記憶している。また、電池管理システム１００では楕円鍵曲線暗号を用いた認証を行うこととする。このため、電池ユニット１０ａは、楕円曲線暗号を処理するための楕円曲線暗号処理部を有する。また、電池ユニット１０ａは、電池管理システム１００におけるシステムパラメータである楕円曲線上のベースポイントを予め記憶している。また、サーバ９０は、記憶部９１に認証局の公開鍵（ＰＫ＿ＣＡ）、自己の秘密鍵（ＳＫ＿Ｃ）、公開鍵証明書（Ｃｅｒｔ＿Ｃ）及びＣＲＬを予め記憶している。そしてサーバ９０も、楕円曲線暗号処理部を有し、楕円曲線上のベースポイントを予め記憶している。以下、図９に示す処理手順（１）〜（６）を順に説明する。

（１）電池ユニット１０ａは、乱数Ｋを生成し、ＣＲＬ要求として、この乱数Ｋ及び自己の公開鍵証明書Ｃｅｒｔ＿Ａを機器２０ａに伝達し（図７のステップＳ１２）、機器２０ａはその乱数Ｋ及び公開鍵証明書Ｃｅｒｔ＿Ａを受け取る（図８のステップＳ２１）。ここでは、乱数Ｋ及び公開鍵証明書Ｃｅｒｔ＿Ａが要求送信指示情報に相当する。

（２）機器２０ａはその乱数Ｋ及び公開鍵証明書Ｃｅｒｔ＿Ａをサーバ９０に送信する（図８のステップＳ２２）。この送信は、サーバに対して、ＣＲＬの送信要求を行っている意味を有する。

（３）サーバ９０は乱数Ｋ及び公開鍵証明書Ｃｅｒｔ＿Ａを受信し、認証局の公開鍵ＰＫ＿ＣＡを用いて公開鍵証明書Ｃｅｒｔ＿Ａを検証し、保持しているＣＲＬに公開鍵証明書Ｃｅｒｔ＿Ａのシリアルナンバーが記載されていないかをチェックする。

（４）サーバ９０は、自己が保持する最新のＣＲＬと受信した乱数Ｋとを結合したデータに対して、秘密鍵ＳＫ＿Ｃを用いて署名する。この署名によりデータＳ１が生成される。

（５）サーバ９０は、電池ユニット１０ａ宛の公開鍵証明書Ｃｅｒｔ＿Ｃ、データＳ１及び最新のＣＲＬを、機器２０ａに送信する。機器２０ａは受信した公開鍵証明書Ｃｅｒｔ＿Ｃ及びデータＳ１と共に受信した最新のＣＲＬを電池ユニット１０ａに伝達する（図８のステップＳ２２）。

（６）電池ユニット１０ａは、機器２０ａからＣＲＬと共に公開鍵証明書Ｃｅｒｔ＿Ｃ及びデータＳ１を取得する（図７のステップＳ１３）。そして電池ユニット１０ａは、認証局の公開鍵ＰＫ＿ＣＡを用いて公開鍵証明書Ｃｅｒｔ＿Ｃを検証し、保持しているＣＲＬに公開鍵証明書Ｃｅｒｔ＿Ｃのシリアルナンバーが記載されていないかをチェックする。そして、取得したＣＲＬが正しいかどうかを検証する。即ち、公開鍵証明書Ｃｅｒｔ＿Ｃ中の公開鍵ＰＫ＿Ｃを用いてデータＳ１を復号した結果が取得したＣＲＬと乱数Ｋとを結合したものと一致することを確認することにより、データＳ１が取得したＣＲＬと乱数Ｋとを結合したものに対する署名であることを検証する。

なお、これらの処理手順中において検証に失敗した場合、及び、ＣＲＬにシリアルナンバーが記載されていた公開鍵証明書を用いていた場合には、電池ユニット１０ａは、機器認証の前提とも言える最新のＣＲＬの取得ができない。最新のＣＲＬの取得ができなかった電池ユニット１０ａは、機器認証（図７のステップＳ１４）に失敗したものと扱う。

以下、電池ユニット１０ａと機器２０ａとの間での機器認証（図７のステップＳ１４及び図８のステップＳ２３）に係る具体的な処理手順を、図１０を用いて説明する。

図１０は、電池ユニット１０ａと機器２０ａとの間での機器認証のシーケンスを示す図である。この機器認証は、基本的には電池ユニット１０ａが、予め定められた規格等に従った一定基準を満たす機器にだけ、自己の使用を認めるためになされるものである。

機器認証の前提として、電池ユニット１０ａは、記憶部１３に認証局の公開鍵（ＰＫ＿ＣＡ）、自己の秘密鍵（ＳＫ＿Ａ）、公開鍵証明書（Ｃｅｒｔ＿Ａ）及び一定基準を満たす機器の識別情報（例えば一定基準を満たす機器の公開鍵リスト）を予め記憶している。なお、一定基準を満たす機器にしか認証局の署名付きの公開鍵証明書が配布されないこととしてもよく、この場合においては、一定基準を満たす機器の識別情報は必要ない。また、電池ユニット１０ａは、図７のステップＳ１３においてＣＲＬを取得している。機器２０ａは、記憶部２２に認証局の公開鍵（ＰＫ＿ＣＡ）、自己の秘密鍵（ＳＫ＿Ｂ）及び公開鍵証明書（Ｃｅｒｔ＿Ｂ）を予め記憶している。そして電池ユニット１０ａ及び機器２０ａはそれぞれ、楕円曲線暗号処理部を有し、楕円曲線上のベースポイントを予め記憶している。以下、図１０に示す処理手順（１）〜（９）を順に説明する。

（１）機器２０ａは、乱数ｙを生成する。

（２）機器２０ａは、その乱数ｙと公開鍵証明書Ｃｅｒｔ＿Ｂとを含む認証用情報を電池ユニット１０ａに伝達する。

（３）電池ユニット１０ａは、認証局の公開鍵ＰＫ＿ＣＡを用いて公開鍵証明書Ｃｅｒｔ＿Ｂを検証し、取得したＣＲＬに公開鍵証明書Ｃｅｒｔ＿Ｂのシリアルナンバーが記載されていないかをチェックする。そして、乱数ｘを生成する。

（４）電池ユニット１０ａは、その乱数ｘと公開鍵証明書Ｃｅｒｔ＿Ａとを機器２０ａに伝達する。

（５）機器２０ａは、認証局の公開鍵ＰＫ＿ＣＡを用いて公開鍵証明書Ｃｅｒｔ＿Ａを検証し、取得した乱数ｘに対して秘密鍵ＳＫ＿Ｂを用いて署名する。この署名によりデータＳ１が生成される。

（６）機器２０ａは、データＳ１を電池ユニット１０ａに伝達する。

（７）電池ユニット１０ａは、既に取得した公開鍵証明書Ｃｅｒｔ＿Ｂ内の公開鍵ＰＫ＿Ｂを用いてデータＳ１を復号した結果が乱数ｘと一致することの確認により、データＳ１が乱数ｘに対する機器２０ａの署名であることを検証する。そして、乱数ｙに対して秘密鍵ＳＫ＿Ａを用いて署名する。この署名によりデータＳ０が生成される。

（８）電池ユニット１０ａは、データＳ０を機器２０ａに伝達する。

（９）機器２０ａは、既に取得した公開鍵証明書Ｃｅｒｔ＿Ａ内の公開鍵ＰＫ＿Ａを用いてデータＳ０を復号した結果が乱数ｙと一致することの確認により、データＳ０が乱数ｙに対する電池ユニット１０ａの署名であることを検証する。

なお、これらの処理手順中において検証に失敗した場合、及び、ＣＲＬにシリアルナンバーが記載されていた公開鍵証明書を用いていた場合には、電池ユニット１０ａは、機器認証（図７のステップＳ１４）に失敗したものと扱う。機器認証に失敗した場合においては、機器２０ａは電池ユニット１０ａを使用できないこととなる。また、電池ユニット１０ａは、記憶部１３に記憶している一定基準を満たす機器の識別情報（例えば一定基準を満たす機器の公開鍵リスト）に基づいて、機器２０ａの公開鍵ＰＫ＿Ｂをチェックする。これにより、機器２０ａが、一定基準を満たす機器であれば機器認証（図７のステップＳ１４）が成功となり、電池ユニット１０ａの使用が認められる。なお、一定基準を満たす機器にしか認証局の署名付きの公開鍵証明書が配布されないこととする場合においては、電池ユニット１０ａは、機器認証に失敗しなければ、一定基準を満たす機器の識別情報に基づくチェックを行わずに機器認証に成功したものと扱う。

上述の処理により、電池ユニット１０ａは、一定基準を満たす機器との間でのみ電力の授受を行うようになっている。なお、電池ユニット１０ａは、自己を使用する機器を介して電池情報を、サーバ９０に送信する。この送信は、例えば機器による使用の開始時において前回の使用開始から所定時間（例えば２４時間）以上が経過しているときに行われる等として、定期的に電池の状態をサーバに報告することとしてもよい。また、電池ユニット１０ａは、自己を使用する機器を介してサーバ９０との間でＣＲＬの送受を行う際に、電池情報の送信を行ってもよい。

（考察）
以下、上述の電池管理システム１００における電池ユニット（例えば電池ユニット１０ａ）の特徴について説明する。

電池ユニット１０ａは、一定基準を満たす機器のみに使用を認めるために、機器を介してサーバ９０（認証局）から最新のＣＲＬを取得した上で機器認証を行う特徴を有する。このように使用を認める機器を制限するのは、電池ユニット１０ａを使用しようとする機器が一定基準を満たさない機器（不適切な機器）である場合には過充電や過放電がなされて電池寿命が短縮する等の不適切な事態が生じるおそれがあるからである。

ある日時Ｔ１において一定基準を満たす機器であったものが、その後の日時Ｔ２において一定基準を満たさないように変化した場合においては、その機器の公開鍵証明書の失効の申請を認証局に行うように運用される。また、日時Ｔ１において一定基準を満たす機器の秘密鍵がその後の日時Ｔ２において漏洩して模造品が現れ得る状況となった場合においても同様に、その機器の公開鍵証明書の失効の申請を認証局に行うように運用される。これらの場合において、認証局は、その機器の公開鍵証明書を失効させるべくＣＲＬに追加して、そのＣＲＬを提供可能にする。従って、電池ユニット１０ａは、機器認証の必要がある場合に、日時Ｔ２以後に発行された最新のＣＲＬを取得して利用することにより、不適切な機器（模造品等）による使用を認めないことが可能となる。なお、日時Ｔ２以後に発行された最新のＣＲＬにはその機器（不適切な機器）の公開鍵証明書は記載されているが、日時Ｔ１までに発行されたＣＲＬにはその機器の公開鍵証明書は記載されていない。

電池ユニット１０ａは、直接的にサーバ９０と通信する構成を有しないので、電池ユニット１０ａを装着した機器であってサーバ９０と通信可能な機器にＣＲＬ要求をしてその機器を介してサーバ９０からＣＲＬを取得することになる。機器は、電池ユニット１０ａを使用するためにＣＲＬ要求に従うことになる。ところで、その機器が日時Ｔ２以後において不適切な機器である可能性がある。不適切な機器は、電池ユニット１０ａがＣＲＬ要求を行った場合に、自己の公開鍵証明書が記載されていない日時Ｔ１のＣＲＬ（保存していたもの）を電池ユニット１０ａに伝達して、電池ユニット１０ａを欺こうとするおそれがある。

しかし、電池ユニット１０ａは、機器から伝達されたＣＲＬについて、自らのＣＲＬ要求に応じてサーバ９０から送信されたＣＲＬであることを検証するので、機器が電池ユニット１０ａを欺くことはできないようになっている。即ち、電池ユニット１０ａは、図９に示すように、所定情報（自ら生成した乱数Ｋを含む）がサーバ９０に伝達されるようにし、その所定情報を反映してサーバ９０からのＣＲＬの送信がなされていることを、その所定情報に基づいて検証している。従って、電池ユニット１０ａは、サーバ９０から最新のＣＲＬを取得した上で機器認証を行うことができる。そして、最新のＣＲＬには不適切な機器の公開鍵証明書が記載されているため、不適切な機器は機器認証に失敗し、電池ユニット１０ａの不適切な機器による使用が抑止される。

（実施の形態２）
以下、本発明の一実施態様である実施の形態２について説明する。

実施の形態２に係る電池管理システムは、実施の形態１で説明した電池管理システム１００と同様の構成を有し、電池ユニットとサーバとの間でのＣＲＬの送受に係る具体的な処理手順において相違する。なお、電池管理システムの各構成要素については実施の形態１と同じ符号を用いて説明する。

以下、実施の形態２における電池ユニット１０ａとサーバ９０との間でのＣＲＬの送受に係る具体的な処理手順を、図１１を用いて説明する。この処理手順は、電池ユニット１０ａが図７のステップＳ１２〜Ｓ１４を行う際の手順となる。

図１１は、電池ユニット１０ａとサーバ９０との間でのデータ送受のシーケンスを示す図である。なお、同図では、電池ユニット１０ａとサーバ９０とのデータ送受を中継する機器２０ａについては省略している。

特にＣＲＬの送受の前提として、電池ユニット１０ａは、記憶部１３に、電池情報（ＡＨ、図４参照）、認証局の公開鍵（ＰＫ＿ＣＡ）、自己の秘密鍵（ＳＫ＿Ａ）、公開鍵証明書（Ｃｅｒｔ＿Ａ）及び以前に受領しているＣＲＬを予め記憶している。また、サーバ９０は、記憶部９１に認証局の公開鍵（ＰＫ＿ＣＡ）、自己の秘密鍵（ＳＫ＿Ｃ）、公開鍵証明書（Ｃｅｒｔ＿Ｃ）及びＣＲＬを予め記憶している。以下、図１１に示す処理手順（１）〜（６）を順に説明する。

（１）電池ユニット１０ａは、乱数Ｋを生成し、乱数Ｋと電池情報ＡＨとを結合したデータに対して、秘密鍵ＳＫ＿Ａを用いて署名する。この署名によりデータＳ０が生成される。そして、ＣＲＬ要求として、自己の公開鍵証明書Ｃｅｒｔ＿Ａ、乱数Ｋ、電池情報ＡＨ及びデータＳ０を機器２０ａに伝達する（図７のステップＳ１２）。ここでは、公開鍵証明書Ｃｅｒｔ＿Ａ、乱数Ｋ、電池情報ＡＨ及びデータＳ０が要求送信指示情報に相当する。

（２）機器２０ａは電池ユニット１０ａから伝達された公開鍵証明書Ｃｅｒｔ＿Ａ、乱数Ｋ、電池情報ＡＨ及びデータＳ０をサーバ９０に送信する。この送信は、サーバに対して、ＣＲＬの送信要求を行っている意味を有する。

（３）サーバ９０は公開鍵証明書Ｃｅｒｔ＿Ａ、乱数Ｋ、電池情報ＡＨ及びデータＳ０を受信し、認証局の公開鍵ＰＫ＿ＣＡを用いて公開鍵証明書Ｃｅｒｔ＿Ａを検証する。そして、保持しているＣＲＬに公開鍵証明書Ｃｅｒｔ＿Ａのシリアルナンバーが記載されていないかをチェックする。そして、受信したデータＳ０を検証する。即ち、公開鍵証明書Ｃｅｒｔ＿Ａ中の公開鍵ＰＫ＿Ａを用いてデータＳ０を復号した結果が受信した電池情報ＡＨと乱数Ｋとを結合したものと一致することの確認により、データＳ０が受信した電池情報ＡＨと乱数Ｋとの結合に対する署名であることを検証する。

（４）サーバ９０は、自己が保持する最新のＣＲＬと受信した乱数Ｋとを結合したデータに対して、秘密鍵ＳＫ＿Ｃを用いて署名する。この署名によりデータＳ１が生成される。

（５）サーバ９０は、電池ユニット１０ａ宛の公開鍵証明書Ｃｅｒｔ＿Ｃ、データＳ１及び最新のＣＲＬを、機器２０ａに送信する。機器２０ａは受信した公開鍵証明書Ｃｅｒｔ＿Ｃ及びデータＳ１と共に受信した最新のＣＲＬを電池ユニット１０ａに伝達する。

（６）電池ユニット１０ａは、機器２０ａからＣＲＬと共に公開鍵証明書Ｃｅｒｔ＿Ｃ及びデータＳ１を取得する（図７のステップＳ１３）。そして電池ユニット１０ａは、認証局の公開鍵ＰＫ＿ＣＡを用いて公開鍵証明書Ｃｅｒｔ＿Ｃを検証し、保持しているＣＲＬに公開鍵証明書Ｃｅｒｔ＿Ｃのシリアルナンバーが記載されていないかをチェックする。そして、取得したＣＲＬが正しいかどうかを検証する。即ち、公開鍵証明書Ｃｅｒｔ＿Ｃ中の公開鍵ＰＫ＿Ｃを用いてデータＳ１を復号した結果が取得したＣＲＬと乱数Ｋとを結合したものと一致することを確認することにより、データＳ１が取得したＣＲＬと乱数Ｋとを結合したものに対する署名であることを検証する。

なお、これらの処理手順中において検証に失敗した場合、及び、ＣＲＬにシリアルナンバーが記載されていた公開鍵証明書を用いていた場合には、電池ユニット１０ａは、機器認証（図７のステップＳ１４）に失敗したものと扱う。

これらの処理手順により、電池ユニット１０ａは、サーバ９０から最新のＣＲＬを取得することができる。なお、電池ユニット１０ａは、所定情報（乱数Ｋを含む）がサーバ９０に伝達されるようにし、その所定情報を反映してサーバ９０からのＣＲＬの送信がなされていることを、その所定情報に基づいて検証している。

また、サーバ９０は、電池ユニット１０ａから電池情報ＡＨを取得することができ、電池ユニット１０ａの状況を把握し管理することが可能となる。また、ＣＲＬの伝送と電池情報ＡＨの伝送とが連携していると、効率的な伝送が可能となる。

なお、電池情報ＡＨには、図４に示すように異常フラグが含まれており、異常フラグがオンであればサーバ９０は、この電池情報を公開鍵証明書の失効の申請と看做し、電池情報の機器ＩＤ４５ａが示す機器の公開鍵証明書をＣＲＬに追加する。電池ユニット１０ａにおいて電池情報ＡＨを反映したデータＳ０が生成され、サーバ９０においてデータＳ０が検証されるので、電池ユニット１０ａとサーバ９０の通信を中継する機器が電池情報ＡＨを改竄しても検出されるようになっている。

（実施の形態３）
以下、本発明の一実施態様である実施の形態３について説明する。

実施の形態３に係る電池管理システムも、実施の形態１で説明した電池管理システム１００と同様の構成を有し、電池ユニットとサーバとの間でのＣＲＬの送受に係る具体的な処理手順において相違する。なお、電池管理システムの各構成要素については実施の形態１と同じ符号を用いて説明する。

以下、実施の形態３における電池ユニット１０ａとサーバ９０との間でのＣＲＬの送受に係る具体的な処理手順を、図１２を用いて説明する。この処理手順は、電池ユニット１０ａが図７のステップＳ１２〜Ｓ１４を行う際の手順となる。

図１２は、電池ユニット１０ａとサーバ９０との間でのデータ送受のシーケンスを示す図である。なお、同図では、電池ユニット１０ａとサーバ９０とのデータ送受を中継する機器２０ａについては省略している。

特にＣＲＬの送受の前提として、電池ユニット１０ａは、記憶部１３に、電池情報（ＡＨ、図４参照）、認証局の公開鍵（ＰＫ＿ＣＡ）及び以前に受領しているＣＲＬを予め記憶している。また、サーバ９０は、記憶部９１に認証局の公開鍵（ＰＫ＿ＣＡ）、自己の秘密鍵（ＳＫ＿Ｃ）、公開鍵証明書（Ｃｅｒｔ＿Ｃ）及びＣＲＬを予め記憶している。以下、図１２に示す処理手順（１）〜（４）を順に説明する。

（１）電池ユニット１０ａは、ＣＲＬ要求として電池情報ＡＨを機器２０ａに伝達する（図７のステップＳ１２）。ここでは、電池情報ＡＨが要求送信指示情報に相当する。そして機器２０ａは電池ユニット１０ａから伝達された電池情報ＡＨをサーバ９０に送信する。この送信は、サーバに対して、ＣＲＬの送信要求を行っている意味を有する。

（２）サーバ９０は電池情報ＡＨを受信し、受信した電池情報ＡＨと自己が保持する最新のＣＲＬとを結合したデータに対して、秘密鍵ＳＫ＿Ｃを用いて署名する。この署名によりデータＳ１が生成される。

（３）サーバ９０は、電池ユニット１０ａ宛の公開鍵証明書Ｃｅｒｔ＿Ｃ、データＳ１及び最新のＣＲＬを、機器２０ａに送信する。機器２０ａは受信した公開鍵証明書Ｃｅｒｔ＿Ｃ及びデータＳ１と共に受信した最新のＣＲＬを電池ユニット１０ａに伝達する。

（４）電池ユニット１０ａは、機器２０ａからＣＲＬと共に公開鍵証明書Ｃｅｒｔ＿Ｃ及びデータＳ１を取得する（図７のステップＳ１３）。そして電池ユニット１０ａは、認証局の公開鍵ＰＫ＿ＣＡを用いて公開鍵証明書Ｃｅｒｔ＿Ｃを検証し、保持しているＣＲＬに公開鍵証明書Ｃｅｒｔ＿Ｃのシリアルナンバーが記載されていないかをチェックする。そして、取得したＣＲＬが正しいかどうかを検証する。即ち、公開鍵証明書Ｃｅｒｔ＿Ｃ中の公開鍵ＰＫ＿Ｃを用いてデータＳ１を復号した結果が電池情報ＡＨと取得したＣＲＬとを結合したものと一致することの確認により、データＳ１が電池情報ＡＨと取得したＣＲＬとの結合に対する署名であることを検証する。

なお、これらの処理手順中において検証に失敗した場合、及び、ＣＲＬにシリアルナンバーが記載されていた公開鍵証明書を用いていた場合には、電池ユニット１０ａは、機器認証（図７のステップＳ１４）に失敗したものと扱う。

これらの処理手順により、電池ユニット１０ａは、サーバ９０から最新のＣＲＬを取得することができる。なお、電池ユニット１０ａは、所定情報（電池情報を含む）がサーバ９０に伝達されるようにし、その所定情報を反映してサーバ９０からのＣＲＬの送信がなされていることを、その所定情報に基づいて検証している。

また、サーバ９０は、電池ユニット１０ａから電池情報ＡＨを取得することができ、電池ユニット１０ａの状況を把握し管理することが可能となる。なお、電池ユニット１０ａにおいて機器２０ａに伝達した電池情報ＡＨを用いて、サーバ９０からのデータＳ１（電池情報ＡＨを反映したもの）を検証しているため、機器が電池情報ＡＨを改竄した場合にはこの検証が失敗するようになっている。

（実施の形態４）
以下、本発明の一実施態様である実施の形態４について説明する。

実施の形態４に係る電池管理システムも、実施の形態１で説明した電池管理システム１００と同様の構成を有し、電池ユニットとサーバとの間でのＣＲＬの送受に係る具体的な処理手順において相違する。なお、電池管理システムの各構成要素については実施の形態１と同じ符号を用いて説明する。

以下、実施の形態４における電池ユニット１０ａとサーバ９０との間でのＣＲＬの送受に係る具体的な処理手順を、図１３を用いて説明する。

図１３は、電池ユニット１０ａとサーバ９０との間でのデータ送受のシーケンスを示す図である。なお、同図では、電池ユニット１０ａとサーバ９０とのデータ送受を中継する機器２０ａについては省略している。機器２０ａは、電池ユニット１０ａからサーバ９０宛のデータが伝達されるとサーバ９０に対して送信し、サーバ９０から電池ユニット１０ａ宛のデータを受信すると電池ユニット１０ａに伝達する。

特にＣＲＬの送受の前提として、電池ユニット１０ａは、記憶部１３に、電池情報（ＡＨ、図４参照）、認証局の公開鍵（ＰＫ＿ＣＡ）、自己の秘密鍵（ＳＫ＿Ａ）、公開鍵証明書（Ｃｅｒｔ＿Ａ）及び以前に受領しているＣＲＬを予め記憶している。また、サーバ９０は、記憶部９１に認証局の公開鍵（ＰＫ＿ＣＡ）、自己の秘密鍵（ＳＫ＿Ｃ）、公開鍵証明書（Ｃｅｒｔ＿Ｃ）及びＣＲＬを予め記憶している。以下、図１３に示す処理手順（１）〜（１５）を順に説明する。

（１）電池ユニット１０ａは、乱数ｘを生成する。

（２）電池ユニット１０ａは、ＣＲＬ要求として乱数ｘ及び公開鍵証明書Ｃｅｒｔ＿Ａを機器２０ａに伝達する（図７のステップＳ１２）。ここでは、乱数ｘ及び公開鍵証明書Ｃｅｒｔ＿Ａが要求送信指示情報に相当する。機器２０ａは電池ユニット１０ａから伝達された乱数ｘ及び公開鍵証明書Ｃｅｒｔ＿Ａをサーバ９０に送信する。

（３）サーバ９０は乱数ｘ及び公開鍵証明書Ｃｅｒｔ＿Ａを受信し、認証局の公開鍵ＰＫ＿ＣＡを用いて公開鍵証明書Ｃｅｒｔ＿Ａを検証し、保持しているＣＲＬに公開鍵証明書Ｃｅｒｔ＿Ａのシリアルナンバーが記載されていないかをチェックする。そして乱数ｙを生成する。

（４）サーバ９０は、電池ユニット１０ａ宛の乱数ｙ及び公開鍵証明書Ｃｅｒｔ＿Ｃを機器２０ａに送信する。機器２０ａは受信した乱数ｙ及び公開鍵証明書Ｃｅｒｔ＿Ｃを電池ユニット１０ａに伝達する。

（５）電池ユニット１０ａは、機器２０ａから乱数ｙ及び公開鍵証明書Ｃｅｒｔ＿Ｃを取得する。そして電池ユニット１０ａは、認証局の公開鍵ＰＫ＿ＣＡを用いて公開鍵証明書Ｃｅｒｔ＿Ｃを検証し、保持しているＣＲＬに公開鍵証明書Ｃｅｒｔ＿Ｃのシリアルナンバーが記載されていないかをチェックする。そして、電池ユニット１０ａは、乱数ｘ’を生成し、ベースポイントＧに乗じてなるｘ’Ｇを生成し、ｘ’Ｇと乱数ｙとを結合したデータに対して、秘密鍵ＳＫ＿Ａを用いて署名する。この署名によりデータＳ０が生成される。

（６）電池ユニット１０ａは、サーバ９０宛のｘ’Ｇ及びデータＳ０を機器２０ａに伝達する。機器２０ａは受け取ったｘ’Ｇ及びデータＳ０をサーバ９０に送信する。

（７）サーバ９０は、ｘ’Ｇ及びデータＳ０を受信し、公開鍵証明書Ｃｅｒｔ＿Ａ中の公開鍵ＰＫ＿Ａを用いてデータＳ０を復号した結果が受信したｘ’Ｇと乱数ｙとを結合したものと一致することを確認することにより、データＳ０がｘ’Ｇと乱数ｙとを結合したものに対する署名であることを検証する。そして、サーバ９０は、乱数ｙ’を生成し、ベースポイントＧに乗じてなるｙ’Ｇを生成し、ｙ’Ｇと乱数ｘとを結合したデータに対して、秘密鍵ＳＫ＿Ｃを用いて署名する。この署名によりデータＳ１が生成される。

（８）サーバ９０は、電池ユニット１０ａ宛のｙ’Ｇ及びデータＳ１を機器２０ａに送信する。機器２０ａは、ｙ’Ｇ及びデータＳ１を電池ユニット１０ａに伝達する。

（９）電池ユニット１０ａは、ｙ’Ｇ及びデータＳ１を取得し、公開鍵証明書Ｃｅｒｔ＿Ｃ中の公開鍵ＰＫ＿Ｃを用いてデータＳ１を復号した結果が受信したｙ’Ｇと乱数ｘとを結合したものと一致することを確認することにより、データＳ１がｙ’Ｇと乱数ｘとを結合したものに対する署名であることを検証する。

（９ａ）電池ユニット１０ａは、乱数ｘ’をｙ’Ｇに乗じてなるｘ’（ｙ’Ｇ）を計算し計算結果であるＫを得る。

（９ｂ）サーバ９０は、乱数ｙ’をｘ’Ｇに乗じてなるｙ’（ｘ’Ｇ）を計算し計算結果であるＫ’を得る。

この（９ａ）及び（９ｂ）の処理手順により得られたＫ及びＫ’は、等価なはずである。このＫ及びＫ’は、以後の処理手順（１０）〜（１３）において、共通鍵（秘密鍵）として、例えばＤＥＳ（Data Encryption Standard）、ＡＥＳ（Advanced Encryption Standard ）等の共通鍵暗号に用いられる。

（１０）電池ユニット１０ａは、電池情報ＡＨを共通鍵Ｋにより暗号化して、データＣ０を生成する。

（１１）電池ユニット１０ａは、サーバ９０宛のデータＣ０を機器２０ａに伝達する。そして機器２０ａは、データＣ０をサーバ９０に送信する。

（１２）サーバ９０はデータＣ０を受信し、受信したデータＣ０を共通鍵Ｋ’により復号して、電池情報ＡＨを取得する。

（１３）サーバ９０は最新のＣＲＬを共通鍵Ｋ’により暗号化して、データＣ１を生成する。

（１４）サーバ９０は、電池ユニット１０ａ宛のデータＣ１を機器２０ａに送信する。そして機器２０ａは、データＣ１を電池ユニット１０ａに伝達する。

（１５）電池ユニット１０ａは、データＣ１を取得し、取得したデータＣ１を共通鍵Ｋにより復号して、最新のＣＲＬを取得する（図７のステップＳ１３）。

なお、処理手順（１）〜（９ｂ）までは、ＣＲＬ要求のタイミングとは別個に先行して少なくとも１回行われることとしてもよい。この場合においては、図７のステップＳ１２におけるＣＲＬ要求は、処理手順（１１）でのデータＣ０の機器２０ａへの伝達により実現される。また、電池ユニット１０ａとサーバ９０との間で相互認証及び共通鍵の共有を行うための処理手順であれば、図１３に示したデータ送受のシーケンス（１）〜（９ｂ）を、他の処理手順に置き換えてもよい。

これらの処理手順により、電池ユニット１０ａは、サーバ９０から最新のＣＲＬを取得することができ、サーバ９０は、電池ユニット１０ａから電池情報ＡＨを取得することができる。なお、電池ユニット１０ａとサーバ９０との間で共通鍵が共有され、共通鍵暗号によりＣＲＬ及び電池情報ＡＨの伝送がなされるため、伝送を中継する機器によるＣＲＬ或いは電池情報ＡＨのすり替え等は防止される。

（他の実施の形態等）
以上、電池管理システムの各実施の形態について説明したが、上述した各実施の形態は一例にすぎず、各種の変更が可能であることは言うまでもない。

例えば、上述の実施の形態で示した電池情報は電池ユニットの状態を示すものであれば、その構成内容は必ずしも図４に示す通りのものでなくてもよい。電池情報は、例えば、電池の内部抵抗値、電池ユニットが現在までに充電された回数、急速充電をされた回数等を含んでもよいし、使用した機器の種別や負荷レベル等を示す情報や使用日時を示す情報等を含んでもよい。

また、電池管理システム１００においては、サーバ９０から機器を介して電池ユニットに対してＣＲＬを伝送し、電池ユニットは、機器との間での機器認証に際してそのＣＲＬを用いて機器から取得した認証用情報（公開鍵証明書等）を検証することとした。このＣＲＬは、機器が所有する公開鍵について認証局による署名が付されてなる公開鍵証明書の失効を示すものであるが、電池管理システムにおいてＣＲＬの代わりに機器が無効であることを特定するための何らかの情報（無効機器特定用情報）を用いてもよい。無効機器特定用情報は、例えば、無効な機器についての機器の識別情報（例えば機器の公開鍵）をリストアップした情報であってもよい。

また、電池管理システム１００では楕円鍵曲線暗号（公開鍵暗号）を用いた認証を行うこととしたが、機器認証に他の方法を用いてもよい。

また、サーバ９０は認証局であることとしたが、認証局ではない装置であって認証局配下で認証局から適宜最新のＣＲＬを取得する装置でもよい。

また、電池ユニット１０ａは、電池情報の異常フラグをオンにするような事態が生じた場合には、可能な限り速やかに機器を介してサーバ９０に電池情報を送信するようにしてもよい。なお、電池ユニット１０ａは、異常フラグを、一定レベル以上の過充電や過放電の場合にオンとすることとしたが、これは例示にすぎず、予め定めた基準等に基づき異常な状態が生じたと判断した場合にオンすることとしてもよい。例えば、一定レベル以上に高温となった場合に異常フラグをオンにしてもよい。

なお、上述した各装置類による各種処理（図７〜図１３に示す処理手順等）の全部又は一部は、各装置類の機構（ハードウェア）により実行されても、ソフトウェアにより実行されてもよい。なお、ソフトウェアによる処理の実行は、各装置類に含まれるプロセッサがメモリに記憶された制御プログラムを実行することにより実現されるものである。また、その制御プログラムを記録媒体に記録して頒布や流通させてもよい。例えば、頒布された制御プログラムを装置類にインストールして、装置類のプロセッサに実行させることで、装置類に各種処理（図７〜図１３に示す処理手順等）を行わせることが可能となる。

その他、上述した各実施の形態に対して当業者が当然に思いつく各種変形を施して得られる形態、又は、各実施の形態で示した構成要素及び機能を任意に組み合わせることで実現される形態も本発明の範囲に含まれる。

本発明は、機器に使用される電池に適用可能である。

１０ａ〜１０ｄ 電池ユニット
１１ 電池部
１２ 制御部
１３ 記憶部
１４ 認証部
１５ 要求指示部
１６ 受信部
２０ａ〜２０ｃ 機器
２１ 電力制御部
２２ 記憶部
２３ 認証部
２４ 要求送信部
２５ 受信部
２６ 認証送信部
３０ コンセントプレート
３１ 電源ケーブル
３２ ＬＡＮケーブル
９０ サーバ
９１ 記憶部
９２ 電池管理部
９９ ネットワーク
１００ 電池管理システム

Claims (13)

1. サーバと通信する機器から取得した認証用情報に基づく機器認証を行う電池ユニットであって、
   前記サーバに対して無効機器特定用情報の送信要求を行わせる要求送信指示情報を、前記機器に送信する要求指示部と、
   無効機器特定用情報及び認証用情報を前記機器から受信する受信部と、
   前記受信部により受信された前記無効機器特定用情報が前記送信要求に応じて前記サーバから送信されたものであることを検証し、前記無効機器特定用情報が前記送信要求に応じて前記サーバから送信されたものであると検証された場合、前記機器認証に際して当該無効機器特定用情報を用いて前記認証用情報についての検証を行う認証部と、
   前記認証用情報に基づく機器認証に成功した場合に、前記機器との間で電力の授受を行わせる制御部とを備える
   電池ユニット。
2. 前記機器認証は、公開鍵暗号を用いた認証であり、
   前記認証用情報は、公開鍵証明書を含み、
   前記無効機器特定用情報は、証明書失効リストであり、
   前記制御部は、前記機器認証に失敗した場合に前記機器との間での電力の授受を抑止する
   請求項１記載の電池ユニット。
3. 前記要求指示部は、前記機器に前記送信要求としての所定情報を前記サーバに対して送信させるべく、当該所定情報を前記要求送信指示情報に含ませて前記機器へ送信し、
   前記認証部は、前記受信部により受信された前記無効機器特定用情報についての前記検証を、前記所定情報に基づいて行う
   請求項２記載の電池ユニット。
4. 前記電池ユニットは、当該電池ユニットに関する情報である電池情報を記憶する記憶部を有し、
   前記所定情報は、前記電池情報を含む
   請求項３記載の電池ユニット。
5. 前記電池ユニットは、当該電池ユニットに関する情報である電池情報を記憶する記憶部を有し、
   前記要求指示部は、前記機器に前記送信要求としての前記電池情報を前記サーバに対して送信をさせるべく、当該電池情報を前記要求送信指示情報に含ませて前記機器へ送信する
   請求項２記載の電池ユニット。
6. 前記電池ユニットの前記記憶部が記憶する前記電池情報は、当該電池ユニットの状態を示す情報を含み、
   前記電池ユニットの前記制御部は、当該電池ユニットの状態に応じて前記電池情報を更新する
   請求項５記載の電池ユニット。
7. 前記電池ユニットは、前記機器との間での電力の授受に際して、当該機器から取得した前記認証用情報に基づく当該機器の識別用の情報を前記電池情報に含め、当該電力の授受において異常が生じた場合には異常を示す情報を前記電池情報に含める
   請求項５記載の電池ユニット。
8. 前記要求指示部は、前記機器との間での電力の授受に際して、前記要求送信指示情報を送信し、
   前記認証部は、前記機器との間での電力の授受に際して、前記認証用情報の前記検証を行う
   請求項２記載の電池ユニット。
9. 前記要求指示部は、前記機器との間での電力の授受に際して、前回の前記要求送信指示情報の送信から所定期間経過している場合に新たに前記要求送信指示情報を送信する
   請求項２記載の電池ユニット。
10. 前記要求指示部は、前記受信部により受信された前記証明書失効リストに示された、次回の証明書失効リストの発行予定時が経過した場合に新たに前記要求送信指示情報を送信する
    請求項２記載の電池ユニット。
11. 前記電池ユニットは、
    二次電池と、
    前記二次電池への充電を実行する充電回路と、
    前記二次電池からの放電を実行する放電回路と、
    前記機器と着脱自在に接続する接続部とを有し、
    前記制御部は、前記機器から受信した認証用情報に基づく機器認証に成功した場合に、前記接続部を介して、前記放電回路又は前記充電回路により、当該機器との間で電力の授受を行わせる
    請求項２記載の電池ユニット。
12. 電池ユニットとの間で電力の授受を行う機器であって、
    前記電池ユニットから要求を受けた場合、サーバに証明書失効リストの送信要求を行う要求送信部と、
    前記サーバから前記証明書失効リストを受信する受信部と、
    公開鍵証明書を含む認証用情報と、前記サーバから受信した証明書失効リストとを前記電池ユニットに送信する認証送信部とを備える
    機器。
13. 前記電池ユニットからの要求は、当該電池ユニットに関する情報である電池情報の伝達によりなされ、
    前記要求送信部は、前記電池ユニットから前記電池情報を受けると、前記証明書失効リストの送信要求として当該電池情報を前記サーバに送信する
    請求項１２記載の機器。

Images