JP3761477B2

JP3761477B2 - Mobile security system

Info

Publication number: JP3761477B2
Application number: JP2002056778A
Authority: JP
Inventors: 忠功細谷
Original assignee: エヌイーシーシステムテクノロジー株式会社
Priority date: 2002-03-04
Filing date: 2002-03-04
Publication date: 2006-03-29
Anticipated expiration: 2022-03-04
Also published as: JP2003258794A

Description

【０００１】
【発明の属する技術分野】
本発明は、移動体セキュリティシステムに関し、特に、移動体の盗難を防止する移動体セキュリティシステムに関する。
【０００２】
【従来の技術】
従来より、一般的に、車両等の移動体において利用者を特定するための認証方式は、固定された記憶情報に基づいて利用者のみの特定を行い、利用者の認証結果に応じて始動装置を制御する。
【０００３】
【発明が解決しようとする課題】
しかしながら、従来の認証方式では、利用者のなりすましによる偽造データ入力、又は認証を行う前提となる記憶データの傍受を防ぐことができない。例えば、イモビライザシステム（特開平１０−２３８４４４）、車両用盗難防止システム（特開平１０−３１５９１５）、車両用盗難防止装置（特開平０８−３１８８２０）等のセキュリティ方式は、オンボードの認証用個人識別データが保護されず、不正に解読して偽の認証結果を元にシステムを利用することが可能である。
【０００４】
また、移動体がまるごと牽引車等によって盗難され、移動体の認証装置そのものが改竄されたり、移動体を分解して構成要素を再利用するような状況には対応できない。
【０００５】
また、盗難防止、及び改竄防止機能を有する自動車乗員保護装置、及びシステム（特開２０００−１２７８９２）は、エアバッグモジュール等の機能部品の盗難再利用を防ぐ方式に関するものであるが、メモリの中の同一性識別情報の改竄、及び盗難防止機能そのものの改竄を防ぐことができないため、盗難防止抑止の方式として不十分である。
【０００６】
本発明はこのような状況に鑑みてなされたものであり、公開鍵暗号方式により、利用者の認証と同時に、移動体を構成する必須要素のＥＣＵ（ＥｌｅｃｔｒｉｃＣｏｎｔｒｏｌＵｎｉｔ）と移動体本体についても識別認証を行い、盗難されても移動体を運行不能にすることで総合的にセキュリティを高めることができるようにするものである。
【０００７】
【課題を解決するための手段】
請求項１に記載の移動体セキュリティシステムは、移動体の改造および盗難を防止する移動体セキュリティシステムであって、移動体は、情報を記憶する記憶手段と、認証処理を実行する認証手段と、移動体の作動を制御する制御手段と、移動体を始動するための始動装置との通信を制御する通信手段とを備え、移動体の認証手段に、第１の認証局の第１の公開鍵と、第２の認証局の第２の公開鍵とが登録され、移動体の記憶手段に、第１の証明書と、第１の秘密鍵と、移動体を識別するための第１の識別データが登録され、移動体の作動を制御する制御手段に、第２の証明書と、第２の秘密鍵と、第１の識別データと、移動体を利用する利用者を識別するための第２の識別データが登録され、利用者が所持する始動装置に、第３の証明書と、第３の秘密鍵と、第２の識別データが登録され、認証手段は、第１の証明書を第１の公開鍵で検証し、検証が失敗したとき、移動体の始動を不可能にし、検証が成功したとき、第１の証明書から記憶手段の第３の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、記憶手段に供給し、記憶手段は、ランダムデータと第１の識別データを結合して第１の秘密鍵でデジタル署名した署名データを認証手段に供給し、認証手段は、第３の公開鍵でデジタル署名された署名データをデコードし、得られたランダムデータと、記憶しておいたランダムデータとを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、第１の識別データを記憶し、認証手段は、第２の証明書を第１の公開鍵で検証し、検証が失敗したとき、移動体の始動を不可能にし、検証が成功したとき、第２の証明書から制御手段の第４の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、制御手段に供給し、制御手段は、ランダムデータと第１の識別データと第２の識別データを結合して第２の秘密鍵でデジタル署名した署名データを認証手段に供給し、認証手段は、第４の公開鍵でデジタル署名された署名データをデコードし、得られたランダムデータと、記憶しておいたランダムデータとを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、得られた第１の識別データと、記憶しておいた第１の識別データを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、第２の識別データを記憶し、認証手段は、第３の証明書を第２の公開鍵で検証し、検証が失敗したとき、移動体の始動を不可能にし、検証が成功したとき、第３の証明書から利用者の第５の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、始動装置に供給し、始動装置は、ランダムデータと第２の識別データを結合して第３の秘密鍵でデジタル署名した署名データを認証手段に供給し、認証手段は、第５の公開鍵でデジタル署名された署名データをデコードし、得られたランダムデータと、記憶しておいたランダムデータとを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、得られた第２の識別データと、記憶しておいた第２の識別データを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、移動体を始動可能にすることを特徴とする。
また、第１の証明書は、記憶手段の第３の公開鍵を含み、第１の認証局の第４の秘密鍵でデジタル署名されたものであり、第２の証明書は、制御手段の第４の公開鍵を含み、第１の認証局の第４の秘密鍵でデジタル署名されたものであり、第３の証明書は、利用者の第５の公開鍵を含み、第２の認証局の第５の秘密鍵でデジタル署名されたものとすることができる。
請求項３に記載の移動体セキュリティシステムは、移動体の改造および盗難を防止する移動体セキュリティシステムであって、移動体は、情報を記憶する記憶手段と、認証処理を実行する認証手段と、移動体の作動を制御する制御手段と、移動体を始動するための始動装置との通信を制御する通信手段とを備え、移動体の認証手段に、第１の認証局の第１の公開鍵と、第２の認証局の第２の公開鍵とが登録され、移動体の記憶手段に、第１の証明書と、第１の秘密鍵と、移動体を識別するための第１の識別データが登録され、移動体の作動を制御する制御手段に、第２の証明書と、第２の秘密鍵と、第１の識別データと、移動体を利用する利用者を識別するための第２の識別データが登録され、利用者が所持する始動装置に、利用者を識別するための利用者ＩＤと、第３の秘密鍵と、第２の識別データが登録され、認証手段は、第１の証明書を第１の公開鍵で検証し、検証が失敗したとき、移動体の始動を不可能にし、検証が成功したとき、第１の証明書から記憶手段の第３の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、記憶手段は、ランダムデータと第１の識別データを結合して第１の秘密鍵でデジタル署名した署名データを認証手段に供給し、認証手段は、第３の公開鍵でデジタル署名された署名データをデコードし、得られたランダムデータと、記憶しておいたランダムデータとを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、第１の識別データを記憶し、認証手段は、第２の証明書を第１の公開鍵で検証し、検証が失敗したとき、移動体の始動を不可能にし、検証が成功したとき、第２の証明書から制御手段の第４の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、制御手段に供給し、制御手段は、ランダムデータと第１の識別データと第２の識別データを結合して第２の秘密鍵でデジタル署名した署名データを認証手段に供給し、認証手段は、第４の公開鍵でデジタル署名された署名データをデコードし、得られたランダムデータと、記憶しておいたランダムデータとを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、得られた第１の識別データと、記憶しておいた第１の識別データを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、第２の識別データを記憶し、始動装置は、利用者ＩＤを通信手段を介して認証手段に供給し、認証手段は、利用者ＩＤを第２の認証局に送信し、第２の認証局は、利用者ＩＤの有効性を判定し、有効でないとき、認証装置を介して移動体を始動不可能にし、有効であるとき、第３の証明書を認証手段に送信し、認証手段は、第３の証明書を第２の公開鍵で検証し、検証が失敗したとき、移動体の始動を不可能にし、検証が成功したとき、第３の証明書から利用者の第５の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、始動装置に供給し、始動装置は、ランダムデータと第２の識別データを結合して第３の秘密鍵でデジタル署名した署名データを認証手段に供給し、認証手段は、第５の公開鍵でデジタル署名された署名データをデコードし、得られたランダムデータと、記憶しておいたランダムデータとを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、得られた第２の識別データと、記憶しておいた第２の識別データを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、移動体を始動可能にすることを特徴とする。
請求項４に記載の移動体盗難防止方法は、情報を記憶する記憶手段と、認証処理を実行する認証手段と、移動体の作動を制御する制御手段と、移動体を始動するための始動装置との通信を制御する通信手段とを備える移動体の改造および盗難を防止する移動体盗難防止方法であって、移動体の認証手段に、第１の認証局の第１の公開鍵と、第２の認証局の第２の公開鍵とが登録され、移動体の記憶手段に、第１の証明書と、第１の秘密鍵と、移動体を識別するための第１の識別データが登録され、移動体の作動を制御する制御手段に、第２の証明書と、第２の秘密鍵と、第１の識別データと、移動体を利用する利用者を識別するための第２の識別データが登録され、利用者が所持する始動装置に、第３の証明書と、第３の秘密鍵と、第２の識別データが登録され、認証手段は、第１の証明書を第１の公開鍵で検証し、検証が失敗したとき、移動体の始動を不可能にし、検証が成功したとき、第１の証明書から記憶手段の第３の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、記憶手段に供給し、記憶手段は、ランダムデータと第１の識別データを結合して第１の秘密鍵でデジタル署名した署名データを認証手段に供給し、認証手段は、第３の公開鍵でデジタル署名された署名データをデコードし、得られたランダムデータと、記憶しておいたランダムデータとを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、第１の識別データを記憶し、認証手段は、第２の証明書を第１の公開鍵で検証し、検証が失敗したとき、移動体の始動を不可能にし、検証が成功したとき、第２の証明書から制御手段の第４の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、制御手段に供給し、制御手段は、ランダムデータと第１の識別データと第２の識別データを結合して第２の秘密鍵でデジタル署名した署名データを認証手段に供給し、認証手段は、第４の公開鍵でデジタル署名された署名データをデコードし、得られたランダムデータと、記憶しておいたランダムデータとを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、得られた第１の識別データと、記憶しておいた第１の識別データを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、第２の識別データを記憶し、認証手段は、第３の証明書を第２の公開鍵で検証し、検証が失敗したとき、移動体の始動を不可能にし、検証が成功したとき、第３の証明書から利用者の第５の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、始動装置に供給し、始動装置は、ランダムデータと第２の識別データを結合して第３の秘密鍵でデジタル署名した署名データを認証手段に供給し、認証手段は、第５の公開鍵でデジタル署名された署名データをデコードし、得られたランダムデータと、記憶しておいたランダムデータとを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、得られた第２の識別データと、記憶しておいた第２の識別データを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、移動体を始動可能にすることを特徴とする。
請求項５に記載の移動体盗難防止方法は、情報を記憶する記憶手段と、認証処理を実行する認証手段と、移動体の作動を制御する制御手段と、移動体を始動するための始動装置との通信を制御する通信手段とを備える移動体の改造および盗難を防止する移動体盗難防止方法であって、移動体の認証手段に、第１の認証局の第１の公開鍵と、第２の認証局の第２の公開鍵とが登録され、移動体の記憶手段に、第１の証明書と、第１の秘密鍵と、移動体を識別するための第１の識別データが登録され、移動体の作動を制御する制御手段に、第２の証明書と、第２の秘密鍵と、第１の識別データと、移動体を利用する利用者を識別するための第２の識別データが登録され、利用者が所持する始動装置に、利用者を識別するための利用者ＩＤと、第３の秘密鍵と、第２の識別データが登録され、認証手段は、第１の証明書を第１の公開鍵で検証し、検証が失敗したとき、移動体の始動を不可能にし、検証が成功したとき、第１の証明書から記憶手段の第３の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、記憶手段は、ランダムデータと第１の識別データを結合して第１の秘密鍵でデジタル署名した署名データを認証手段に供給し、認証手段は、第３の公開鍵でデジタル署名された署名データをデコードし、得られたランダムデータと、記憶しておいたランダムデータとを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、第１の識別データを記憶し、認証手段は、第２の証明書を第１の公開鍵で検証し、検証が失敗したとき、移動体の始動を不可能にし、検証が成功したとき、第２の証明書から制御手段の第４の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、制御手段に供給し、制御手段は、ランダムデータと第１の識別データと第２の識別データを結合して第２の秘密鍵でデジタル署名した署名データを認証手段に供給し、認証手段は、第４の公開鍵でデジタル署名された署名データをデコードし、得られたランダムデータと、記憶しておいたランダムデータとを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、得られた第１の識別データと、記憶しておいた第１の識別データを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、第２の識別データを記憶し、始動装置は、利用者ＩＤを通信手段を介して認証手段に供給し、認証手段は、利用者ＩＤを第２の認証局に送信し、第２の認証局は、利用者ＩＤの有効性を判定し、有効でないとき、認証装置を介して移動体を始動不可能にし、有効であるとき、第３の証明書を認証手段に送信し、認証手段は、第３の証明書を第２の公開鍵で検証し、検証が失敗したとき、移動体の始動を不可能にし、検証が成功したとき、第３の証明書から利用者の第５の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、始動装置に供給し、始動装置は、ランダムデータと第２の識別データを結合して第３の秘密鍵でデジタル署名した署名データを認証手段に供給し、認証手段は、第５の公開鍵でデジタル署名された署名データをデコードし、得られたランダムデータと、記憶しておいたランダムデータとを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、得られた第２の識別データと、記憶しておいた第２の識別データを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、移動体を始動可能にすることを特徴とする。
請求項６に記載の移動体盗難防止プログラムは、情報を記憶する記憶手段と、認証処理を実行する認証手段と、移動体の作動を制御する制御手段と、移動体を始動するための始動装置との通信を制御する通信手段とを備える移動体の改造および盗難を防止する移動体盗難防止プログラムであって、移動体の認証手段に、第１の認証局の第１の公開鍵と、第２の認証局の第２の公開鍵とを登録し、移動体の記憶手段に、第１の証明書と、第１の秘密鍵と、移動体を識別するための第１の識別データを登録し、移動体の作動を制御する制御手段に、第２の証明書と、第２の秘密鍵と、第１の識別データと、移動体を利用する利用者を識別するための第２の識別データを登録し、利用者が所持する始動装置に、第３の証明書と、第３の秘密鍵と、第２の識別データを登録し、認証手段に、第１の証明書を第１の公開鍵で検証し、検証が失敗したとき、移動体の始動を不可能にし、検証が成功したとき、第１の証明書から記憶手段の第３の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、記憶手段に供給する処理を実行させ、記憶手段に、ランダムデータと第１の識別データを結合して第１の秘密鍵でデジタル署名した署名データを認証手段に供給する処理を実行させ、認証手段に、第３の公開鍵でデジタル署名された署名データをデコードし、得られたランダムデータと、記憶しておいたランダムデータとを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、第１の識別データを記憶する処理を実行させ、認証手段に、第２の証明書を第１の公開鍵で検証し、検証が失敗したとき、移動体の始動を不可能にし、検証が成功したとき、第２の証明書から制御手段の第４の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、制御手段に供給する処理を実行させ、制御手段に、ランダムデータと第１の識別データと第２の識別データを結合して第２の秘密鍵でデジタル署名した署名データを認証手段に供給する処理を実行させ、認証手段に、第４の公開鍵でデジタル署名された署名データをデコードし、得られたランダムデータと、記憶しておいたランダムデータとを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、得られた第１の識別データと、記憶しておいた第１の識別データを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、第２の識別データを記憶する処理を実行させ、認証手段に、第３の証明書を第２の公開鍵で検証し、検証が失敗したとき、移動体の始動を不可能にし、検証が成功したとき、第３の証明書から利用者の第５の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、始動装置に供給する処理を実行させ、始動装置に、ランダムデータと第２の識別データを結合して第３の秘密鍵でデジタル署名した署名データを認証手段に供給する処理を実行させ、認証手段に、第５の公開鍵でデジタル署名された署名データをデコードし、得られたランダムデータと、記憶しておいたランダムデータとを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、得られた第２の識別データと、記憶しておいた第２の識別データを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、移動体を始動可能にする処理を実行させることを特徴とする。
請求項７に記載の移動体盗難防止プログラムは、情報を記憶する記憶手段と、認証処理を実行する認証手段と、移動体の作動を制御する制御手段と、移動体を始動するための始動装置との通信を制御する通信手段とを備える移動体の改造および盗難を防止する移動体盗難防止プログラムであって、移動体の認証手段に、第１の認証局の第１の公開鍵と、第２の認証局の第２の公開鍵とを登録し、移動体の記憶手段に、第１の証明書と、第１の秘密鍵と、移動体を識別するための第１の識別データを登録し、移動体の作動を制御する制御手段に、第２の証明書と、第２の秘密鍵と、第１の識別データと、移動体を利用する利用者を識別するための第２の識別データを登録し、利用者が所持する始動装置に、利用者を識別するための利用者ＩＤと、第３の秘密鍵と、第２の識別データを登録し、認証手段に、第１の証明書を第１の公開鍵で検証し、検証が失敗したとき、移動体の始動を不可能にし、検証が成功したとき、第１の証明書から記憶手段の第３の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶する処理を実行させ、記憶手段に、ランダムデータと第１の識別データを結合して第１の秘密鍵でデジタル署名した署名データを認証手段に供給する処理を実行させ、認証手段に、第３の公開鍵でデジタル署名された署名データをデコードし、得られたランダムデータと、記憶しておいたランダムデータとを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、第１の識別データを記憶する処理を実行させ、認証手段に、第２の証明書を第１の公開鍵で検証し、検証が失敗したとき、移動体の始動を不可能にし、検証が成功したとき、第２の証明書から制御手段の第４の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、制御手段に供給する処理を実行させ、制御手段に、ランダムデータと第１の識別データと第２の識別データを結合して第２の秘密鍵でデジタル署名した署名データを認証手段に供給する処理を実行させ、認証手段に、第４の公開鍵でデジタル署名された署名データをデコードし、得られたランダムデータと、記憶しておいたランダムデータとを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、得られた第１の識別データと、記憶しておいた第１の識別データを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、第２の識別データを記憶する処理を実行させ、始動装置に、利用者ＩＤを通信手段を介して認証手段に供給する処理を実行させ、認証手段に、利用者ＩＤを第２の認証局に送信する処理を実行させ、第２の認証局に、利用者ＩＤの有効性を判定し、有効でないとき、認証装置を介して移動体を始動不可能にし、有効であるとき、第３の証明書を認証手段に送信する処理を実行させ、認証手段に、第３の証明書を第２の公開鍵で検証し、検証が失敗したとき、移動体の始動を不可能にし、検証が成功したとき、第３の証明書から利用者の第５の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、始動装置に供給する処理を実行させ、始動装置に、ランダムデータと第２の識別データを結合して第３の秘密鍵でデジタル署名した署名データを認証手段に供給する処理を実行させ、認証手段に、第５の公開鍵でデジタル署名された署名データをデコードし、得られたランダムデータと、記憶しておいたランダムデータとを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、得られた第２の識別データと、記憶しておいた第２の識別データを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、移動体を始動可能にする処理を実行させることを特徴とする。
【０００８】
【発明の実施の形態】
本発明は、移動体を始動する際に必要となる始動装置、移動体本体、移動体の作動を制御する電子制御ユニット（ＥｌｅｃｔｒｉｃＣｏｎｔｒｏｌＵｎｉｔ、以下では適宜、ＥＣＵと記載する）に、それぞれデジタル証明書（以下では適宜、証明書と記載する）と、秘密鍵と、識別データを登録し、認証装置にメーカー、及び販売店がそれぞれ個別に発行した公開鍵を登録し、デジタル署名（以下では適宜、署名と記載する）されたデータを公開鍵暗号方式により検証することで、利用者の厳密個人認証を行い、運行制限を設けるとともに、移動体本体の改造を防ぐことにより、移動体の盗難防止をはかるものである。
【０００９】
本発明の原理図を図１に示す。移動体１３のメーカー１１、販売店１２はそれぞれ個別にデジタル証明書を発行する認証局（ＣｅｒｔｉｆｉｃａｔｅＡｕｔｈｏｒｉｔｙ、以下では適宜、ＣＡと記載する）として機能し、メーカー（ＣＡ１）１１は、メーカー公開鍵１１１及びメーカー秘密鍵１１２と、本体公開鍵を含む本体証明書１１３及び本体秘密鍵１１４と、ＥＣＵ公開鍵を含むＥＣＵ証明書１１５及びＥＣＵ秘密鍵１１６と、本体識別データ１１７を発行し、販売店（ＣＡ２）１２は、販売店公開鍵１２１及び販売店秘密鍵１２２と、利用者公開鍵を含む利用者証明書１２３及び利用者秘密鍵１２４と、利用者識別データ１２５を発行し、移動体１３の製造、及び販売の時点で移動体１３を構成する認証装置１４、移動体本体１５、ＥＣＵ１６、始動通信装置１７にそれぞれ登録格納する。
【００１０】
即ち、メーカー公開鍵１１１と販売店公開鍵１２１は認証装置１４に登録格納され、本体公開鍵を含む本体証明書１１３、本体秘密鍵１１４、及び本体識別データ１１７は移動体本体１５に登録格納され、ＥＣＵ公開鍵を含むＥＣＵ証明書１１５、ＥＣＵ秘密鍵１１６、本体識別データ１１７、及び利用者識別データ１２５はＥＣＵ１６に登録格納され、利用者公開鍵を含む利用者証明書１２３と利用者秘密鍵１２４は始動装置１８に登録格納される。
【００１１】
移動体本体１５とＥＣＵ１６は、それぞれ登録された証明書と秘密鍵と識別データを保持し、認証装置１４から認証を受けて初めて使用可能となる。
【００１２】
認証装置１４は、移動体本体１５、及びＥＣＵ１６との間で登録された公開鍵を使用して認証処理を行い、その結果によりＥＣＵ１６を活性化、又は不活性化することで移動体１３の始動可否を制御する。
【００１３】
始動装置１８は、利用者証明書１２３と利用者秘密鍵１２４を保持し、利用者識別データ入力装置１８１を有する。
【００１４】
利用者が利用開始する時点で、認証装置１４は始動通信装置１７を介して始動装置１８との間で利用者の認証を行い、始動装置１８から送られてきた利用者識別データ１２５と、ＥＣＵ１６の保持する利用者識別データ１２５とが一致する場合、移動体１３を始動する。
【００１５】
このように、偽造できないデータを用いてメーカー１１、販売店１２、正規に組み合わされた移動体１３、及び利用者が全て認証されて初めて、移動体１３が始動可能となる。
【００１６】
図２は、本実施の形態の構成例を示すブロック図である。図２において、メーカー（ＣＡ１）２１、販売店（ＣＡ２）２２、移動体２３、認証装置２４、移動体本体２５、ＥＣＵ２６、始動通信装置２７、始動装置２８、利用者識別データ入力装置２２１、利用者識別データ入力装置２８２は、図１のメーカー１１、販売店１２、移動体１３、認証装置１４、移動体本体１５、ＥＣＵ１６、始動通信装置１７、始動装置１８、利用者識別データ入力装置１２６、利用者識別データ入力装置１８１にそれぞれ対応している。
【００１７】
メーカー２１は、移動体２３の製造、及びメーカー公開鍵１１１、メーカー秘密鍵１１２、本体証明書１１３、本体秘密鍵１１４、ＥＣＵ証明書１１５、ＥＣＵ秘密鍵１１６、本体識別データ１１７の発行登録と管理を行う。
【００１８】
販売店２２は、メーカー２１が製造した移動体２３を利用者に販売する際、メーカー２１が発行したものとは別に、販売店公開鍵１２１、販売店秘密鍵１２２、利用者証明書１２３、利用者秘密鍵１２４、及び利用者識別データ１２５の発行登録と管理を行う。
【００１９】
移動体２３は、認証装置２４、移動体本体２５、ＥＣＵ２６、始動通信装置２７により構成される。
【００２０】
認証装置２４に搭載されたＩＣチップ２４１には、メーカー２１が発行したメーカー公開鍵１１１と、販売店２２が発行した販売店公開鍵１２１がそれぞれ登録格納され、移動体本体２５に搭載されたＩＣチップ２５１には、メーカー２１が発行した本体証明書１１３と本体秘密鍵１１４と本体識別データ１１７が格納され、ＥＣＵ２６に搭載されたＩＣチップ２６１には、メーカー２１が発行したＥＣＵ証明書１１５とＥＣＵ秘密鍵１１６と本体識別データ１１７と販売店２２が発行した利用者識別データ１２５が格納される。
【００２１】
認証装置２４は、移動体本体２５のＩＣチップ２５１、及びＥＣＵ２６のＩＣチップ２６１、及び始動装置２８のＩＣチップ２８１との間で、格納された各証明書と署名データを送受信する機能を有し、始動通信装置２７を介して始動装置２８とデータを送受信する機能を有し、各証明書と各署名データを元に、各構成要素を認証する機能を有し、認証結果によりＥＣＵ２６を活性化、又は不活性化する機能を有する。
【００２２】
始動通信装置２７は、始動装置２８と認証装置２４の間で利用者に関するデータ通信を可能にする機能を有する。
【００２３】
始動装置２８は、利用者により所持管理され、移動体２３を始動する際に使用され、搭載されたＩＣチップ２８１は販売店２２が発行した利用者証明書１２３と利用者秘密鍵１２４を保持し、始動通信装置２７とデータ通信を可能にする機能を有し、利用者識別データを入力するための利用者識別データ入力装置２８２を有する。
【００２４】
移動体本体２５に搭載されたＩＣチップ２５１は、認証装置２４に本体証明書１１３を送信する機能を有する。また、認証装置２４から送信されたランダムデータと本体識別データ１１７を結合し、本体秘密鍵１１４で署名した署名データを認証装置２４に送信する機能を有する。
【００２５】
ＥＣＵ２５に搭載されたＩＣチップ２６１は、認証装置２４にＥＣＵ証明書１１５を送信する機能を有する。また、認証装置２４から送信されたランダムデータと、本体識別データ１１７と、利用者識別データ１２５とを結合し、ＥＣＵ秘密鍵１１６で署名した署名データを認証装置２４に送信する機能を有する。
【００２６】
始動装置２８に搭載されたＩＣチップ２８１は、認証装置２４に利用者証明書１２３を送信する機能を有する。また、利用者識別データ入力装置２８２から入力された利用者識別データ１２５を利用者秘密鍵１２４で署名し、始動通信装置２７を介して認証装置２４に送信する機能を有する。
【００２７】
ＩＣチップ２５１，２６１，２８１は、本体秘密鍵１１４、本体識別データ１１７、ＥＣＵ秘密鍵１１６、利用者識別データ１２５を直接読み出せない機能を有し、本体証明書１１３、本体秘密鍵１１４、ＥＣＵ証明書１１５、ＥＣＵ秘密鍵１１６、本体識別データ１１７は、移動体２３の製造時に、おのおの１個ずつ１回限り登録可能とする機能を有する。
【００２８】
利用者識別データ入力装置２８２は、利用者を一意に特定するための識別データを入力する機能を有する。販売店２２は、同じ方式でデータ入力を行う利用者識別データ入力装置２２１を有し、利用者識別データ１２５を生成する際に使用する。
【００２９】
移動体本体２５は、単一の部品で構成されるもの、或いは複数の部品で構成されるものであって良い。また、移動体本体２５が複数の部品で構成される場合、ＩＣチップがそれぞれの部品毎に搭載され、それぞれの部品がＥＣＵ２６、認証装置２４とデータを送受信する機能を有していても良い。
【００３０】
ＩＣチップ２８１は、複数の利用者を登録可能とするために、利用者識別データ１２５と利用者証明書１２３と利用者秘密鍵１２４の組み合わせを複数保持しても良く、また、再登録を可能としても良い。同様に、ＩＣチップ２６１は、利用者識別データ１２５を複数保持してもよく、再登録を可能としても良い。
【００３１】
また、各構成要素間のデータの送受信は、有線、又は無線のいずれの方式によっても良い。
【００３２】
本体識別データ１１７は、移動体１４の製造番号、動作音の声紋データなどの任意の形式、及び任意の長さで数値化されるデータを使用しても良い。
【００３３】
利用者識別データ１２５としては、パスワード方式、指紋、虹彩、声紋等の生体情報を利用する生体情報方式、動作パターン抽出方式などにより、利用者を特定するための識別情報が任意の形式、及び任意の長さで数値化されたデータを使用して良い。
【００３４】
ここで、デジタル証明書について説明しておく。一般的に、公開鍵はそれ単独で流通するのではなくデジタル証明書の形で流通する。デジタル証明書を入手すれば、このデジタル証明書から公開鍵を取り出して、対応する秘密鍵でデジタル署名された電子データの正当性を検証することができる。しかしながら、デジタル証明書自体が改竄、捏造されている可能性があるため、デジタル証明書を検証無しで無制限に信用することはできない（例えば、改竄されたデータを偽の秘密鍵で署名して、偽の公開鍵を含んだ証明書とともに送りつけられた場合など）。そこで、デジタル証明書はその正当性を保証するために、発行した認証局（ＣＡ）によってデジタル署名された署名データが含まれた形で作成される。
【００３５】
このデジタル証明書に対するデジタル署名は、ＣＡの秘密鍵によって行われるので、ＣＡの証明書を入手すれば、その証明書から取り出したＣＡ公開鍵により、誰でもデジタル証明書の検証を行うことができる。検証作業は、まず、デジタル証明書のうち、デジタル署名以外の部分（ここに公開鍵や発行者名などが含まれる）をＭＤ５やＳＨＡ−１などの一方向ハッシュ関数により、復号化不能な一定の長さのハッシュデータに変換する。次に、デジタル証明書に含まれるデジタル署名データをＣＡ公開鍵により復号化し、得られたデータを先に計算したハッシュデータと比較する。このとき、改竄されていれば、ハッシュ値は必ず変化するので、これにより証明書のいかなる部分も改竄や捏造がされていないことが確認できる。その際に使用すべきハッシュ関数や暗号／復号化方式は、デジタル証明書そのものに記述されている。
【００３６】
なお、当然、ＣＡ証明書そのものも検証しなければならないことがあるので、ＣＡ証明書をデジタル署名したルートＣＡのルートＣＡ証明書を使って検証する場合もあり得る。また、複数のルートＣＡがお互いを認証し合うこともある。このように、デジタル証明書はいくつもの中間証明機関やルート証明機関により階層的に正当性がチェックされる仕組みになっている。これらの仕組みは全て規約により標準化されている。
【００３７】
次に、図２の構成図、及び図３乃至図７のフローチャートを参照して、本実施の形態の動作について詳細に説明する。まず最初に、図３のフローチャートを参照して、メーカー２１の処理手順について説明する。メーカー２１は、まず、メーカー公開鍵１１１とメーカー秘密鍵１１２を生成する（ステップＳ３１）。次に、移動体２３を製造し（ステップＳ３２）、移動体２３に組み込んだ認証装置２４のＩＣチップ２４１に、メーカー公開鍵１１１を格納し（ステップＳ３３）、移動体２３の本体識別データ１１７を生成する（ステップＳ３４）。
【００３８】
メーカー２１は、さらに本体公開鍵と本体秘密鍵１１４を生成し（ステップＳ３５）、本体公開鍵を元に、メーカー秘密鍵１１２で署名した本体公開鍵を含む本体証明書１１３を発行し（ステップＳ３６）、本体証明書１１３と本体秘密鍵１１４を、本体識別データ１１７とともに移動体本体２５のＩＣチップ２５１に格納する（ステップＳ３７）。次に、ＥＣＵ公開鍵とＥＣＵ秘密鍵１１６を生成し（ステップＳ３８）、同様に、ＥＣＵ公開鍵を元に、メーカー秘密鍵１１２で署名したＥＣＵ公開鍵を含むＥＣＵ証明書１１５を発行し（ステップＳ３９）、ＥＣＵ証明書１１５とＥＣＵ秘密鍵１１６を、本体識別データ１１７とともにＥＣＵ２６のＩＣチップ２６１に格納する（ステップＳ３ａ）。
【００３９】
また、メーカー２１は、生成した全ての鍵ペア（メーカー公開鍵１１１とメーカー秘密鍵１１２、本体公開鍵と本体秘密鍵１１４、ＥＣＵ公開鍵とＥＣＵ秘密鍵１１６）、本体識別データ１１７、各種証明書（本体証明書１１３、ＥＣＵ証明書１１５）を保存して、保守用に備えることができる。
【００４０】
また、移動体本体２５が、複数のモジュールで構成される場合、本体証明書１１３と本体秘密鍵１１４を個別に発行しても良い。
【００４１】
次に、図４のフローチャートを参照して、販売店１２の処理手順について説明する。メーカー２１から移動体２３の供給を受けた販売店２２は、まず、販売店公開鍵１２１と販売店秘密鍵１２２を生成する（ステップＳ４１）。
【００４２】
次に、認証装置２４のＩＣチップ２４１に、販売店公開鍵１２１を格納し（ステップＳ４２）、移動体２３を運行する利用者の数（＝ｎ（ｎは任意の自然数））だけ利用者証明書１２３と利用者秘密鍵１２４を発行し、始動装置２８に格納する（ステップＳ４４乃至ステップＳ４ａ）。
【００４３】
次に、ステップＳ４４乃至ステップＳ４ａの手順について詳細に説明する。まず、ステップＳ４４において、利用者数（＝ｎ）が０より多いか否かが判定される。その結果、利用者数が０より多いと判定された場合、ステップＳ４５に進む。一方、利用者数が０であると判定された場合、処理を終了する。
【００４４】
ステップＳ４５においては、利用者識別データ入力装置２２１から利用者固有の情報を入力して利用者識別データ１２５を生成し、その利用者に対応する利用者公開鍵と利用者秘密鍵１２４を生成し（ステップＳ４６）、利用者公開鍵を含み、販売店秘密鍵１２２で署名した利用者証明書１２３を発行する（ステップＳ４７）。また、利用者識別データ１２５をＥＣＵ２６のＩＣチップ２６１に格納し（ステップＳ４８）、利用者証明書１２３と利用者秘密鍵１２４を始動装置２８のＩＣチップ２８１に格納する（ステップＳ４９）。次に、ステップＳ４ａにおいて、利用者数（＝ｎ）を１だけデクリメントし、ステップＳ４４に戻る。その後、ｎの値が０になるまで、即ち、利用者の数だけ、各利用者について、ステップＳ４４以降の処理が繰り返し実行される。
【００４５】
次に、図５のフローチャートを参照して、移動体２３を始動するまでの認証動作について説明する。図５は、移動体本体２５の認証手順を示すフローチャートである。
【００４６】
移動体２３に、運行に必要なバッテリーを接続するなどして通電した（ステップＳ５１）時点で、移動体本体２５は、認証装置２４に本体証明書１１３を送信する（ステップＳ５２）。認証装置２４は、受信した本体証明書１１３を自身の保持するメーカー公開鍵１１１で検証を行い（ステップＳ５３）、検証失敗なら移動体２３を始動不能にする（ステップＳ５４のＮＯ）。
【００４７】
一方、検証成功すると、次に、認証装置２４は、本体証明書１１３から取り出した本体公開鍵を記憶しておき（ステップＳ５５）、任意長のランダムデータを生成、記憶し（ステップＳ５６）、このランダムデータを移動体本体２５に送信する（ステップＳ５７）。
【００４８】
移動体本体２５は、受信したランダムデータと本体識別データ１１７を結合し（ステップＳ５８）、結合データを本体秘密鍵１１４で署名し（ステップＳ５９）、署名データを認証装置２４に送信する（ステップＳ５ａ）。認証装置２４は、受信した署名データをステップＳ５５において記憶しておいた本体公開鍵でデコードし（ステップＳ５ｂ）、その結果得られた結合データのうち、ランダムデータ部分とステップＳ５６で記憶しておいたランダムデータを比較する（Ｓ５ｃ）。比較の結果、両者が一致しなければ認証失敗となり（Ｓ５ｄのＮＯ）、移動体２３を始動不能にする。一方、両者が一致したら（Ｓ５ｄのＹＥＳ）、結合データのうち、本体識別データ１１７を記憶しておく（Ｓ５ｅ）。その後、処理を終了する。
【００４９】
次に、図６のフローチャートを参照して、ＥＣＵ認証手順について説明する。図６は、ＥＣＵを認証する認証手順を示すフローチャートである。移動体２３に、運行に必要なバッテリーを接続するなどして通電した時点で、ＥＣＵ２６は認証装置２４にＥＣＵ証明書１１５を送信する（ステップＳ６１）。認証装置２４は、受信したＥＣＵ証明書１１５を自身の保持するメーカー公開鍵１１１で検証を行い（ステップＳ６２）、検証失敗なら移動体を始動不能にする（ステップＳ６３のＮＯ）。
【００５０】
一方、検証成功ならば（ステップＳ６３のＹＥＳ）、次に、ＥＣＵ証明書１１５から取り出したＥＣＵ公開鍵を記憶しておき（ステップＳ６４）、任意長のランダムデータを生成、記憶し（ステップＳ６５）、ランダムデータをＥＣＵ２６に送信する（ステップＳ６６）。
【００５１】
ＥＣＵ２６は、受信したランダムデータと本体識別データ１１７と利用者識別データ１２５を結合し（ステップＳ６７）、結合データをＥＣＵ秘密鍵１１６で署名し（ステップＳ６８）、署名データを認証装置２４に送信する（ステップＳ６９）。認証装置２４は、受信した署名データをステップＳ６４で記憶しておいたＥＣＵ公開鍵でデコードし（ステップＳ６ａ）、その結果得られた結合データのうち、ランダムデータ部分とステップＳ６５で記憶しておいたランダムデータを比較する（ステップＳ６ｂ）。
【００５２】
その結果、両者が一致しなければ認証失敗となり（ステップＳ６ｃのＮＯ）、移動体２３を始動不能にする。一方、両者が一致したら（ステップＳ６ｃのＹＥＳ）、結合データのうち、本体識別データ１１７をステップＳ５ｅで記憶した本体識別データ１１７と比較する（ステップＳ６ｄ）。その結果、両者が一致しなければ、認証失敗となり（ステップＳ６ｅのＮＯ）、移動体２３を始動不能にする。一方、両者が一致したら、結合データのうち、利用者識別データ１２５を記憶しておく（ステップＳ６ｆ）。
【００５３】
図７は、利用者を認証する手順を示すフローチャートである。利用者は、始動装置２８を移動体２３の始動通信装置２７に接続すると（ステップＳ７１）、利用者識別データ入力装置２８２は、利用者識別データ１２５を読み込んで記憶し（ステップＳ７２）、始動装置２８は、利用者証明書１２３を始動通信装置２７を介して認証装置２４に送信する（ステップＳ７３）。認証装置２４は、受信した利用者証明書１２３を自身の保持する販売店公開鍵１２１で検証を行い（ステップＳ７４）、検証失敗なら（ステップＳ７５のＮＯ）、移動体２３を始動不能にする。
【００５４】
一方、検証成功すると（ステップＳ７５のＹＥＳ）、次に、認証装置２４は、利用者証明書１２３から取り出した利用者公開鍵を記憶しておき（ステップＳ７６）、任意長のランダムデータを生成、記憶し（ステップＳ７７）、ランダムデータを始動装置２８に送信する（ステップＳ７８）。
【００５５】
始動装置２８は、受信したランダムデータとステップＳ７２で読み込んだ利用者識別データ１２５を結合し（ステップＳ７９）、結合データを利用者秘密鍵１２４で署名し（ステップＳ７ａ）、署名データを認証装置２４に送信する（ステップＳ７ｂ）。
【００５６】
認証装置２４は、受信した署名データをステップＳ７６で記憶しておいた利用者公開鍵でデコードし（ステップＳ７ｃ）、その結果得られた結合データのうち、ランダムデータ部分とステップＳ７７で記憶しておいたランダムデータを比較する（ステップＳ７ｄ）。その結果、両者が一致しなければ認証失敗となり（ステップＳ７ｅのＮＯ）、移動体２３を始動不能にする。一方、両者が一致したら（ステップＳ７ｅのＹＥＳ）、結合データのうち、利用者識別データ１２５をステップＳ６ｆで記憶した利用者識別データ１２５と比較する（ステップＳ７ｆ）。
【００５７】
その結果、両者が一致しなければ認証失敗となり（ステップＳ７ｇのＮＯ）、移動体２３を始動不能にする。一方、両者が一致したら（ステップＳ７ｇのＹＥＳ）、移動体２３を始動可能状態にする（ステップＳ７ｈ）。その後、処理を終了する。
【００５８】
図５のフローチャートを参照して上述した移動体本体２５の認証と、図６のフローチャートを参照して上述したＥＣＵ２６の認証は、任意の順に実施して良い。その場合、本体識別データ１１７は、一番最初に実施された認証手順で記憶されれば良い。また、移動体本体２５、及びＥＣＵ２６の認証は、利用者が始動装置２８を接続した時点で認証を開始しても良い。
【００５９】
本実施の形態は、例えば、乗用自動車、建設機械、飛行機、電車、船舶などの移動体と、メーカーと、運行利用者の関係に適用が可能である。
【００６０】
また、移動体以外の、特定の利用者にのみ操作を許可する据え付け型の機械にも適用可能である。
【００６１】
本実施の形態により、次のような効果を得ることができる。第１の効果は、移動体２３を運行利用できる利用者を特定することにより、移動体２３の不正な使用を抑制することができることである。その理由は、証明書を用いた厳密個人認証により、始動装置２８の偽造、利用者のなりすましが不可能であり、始動装置２８の偽造も販売店２２の保持する鍵ペア無しでは不可能だからである。
【００６２】
第２の効果は、移動体２３の構成要素の盗難再利用を不能にすることができることである。その理由は、移動体本体２５、及びＥＣＵ２６を一意に特定する証明書を用いた認証により、他の移動体の構成要素と組み合わせても使用不能になるからである。
【００６３】
図８は、本発明を応用した他の実施の形態の原理図を示している。図９は本発明を応用した他の実施の形態の構成例を示している。図１０、図１１は、本発明を応用した他の実施の形態の認証手順を示すフローチャートである。以下、図８乃至図１１を参照して、本発明を応用した他の実施の形態の構成及び動作について詳細に説明する。
【００６４】
図８のメーカー８１、販売店８２、移動体８３、認証装置８４、移動体本体８５、ＥＣＵ８６、始動通信装置８７、始動装置８８、利用者識別データ入力装置８２６、利用者識別データ入力装置８８１は、図１のメーカー１１、販売店１２、移動体１３、認証装置１４、移動体本体１５、ＥＣＵ１６、始動通信装置１７、始動装置１８、利用者識別データ入力装置１２６、利用者識別データ入力装置１８１にそれぞれ対応している。
【００６５】
また、図９のメーカー９１、販売店９２、移動体９３、認証装置９４、移動体本体９５、ＥＣＵ９６、始動通信装置９７、始動装置９８、利用者識別データ入力装置９２１、利用者識別データ入力装置９８２は、図８のメーカー８１、販売店８２、移動体８３、認証装置８４、移動体本体８５、ＥＣＵ８６、始動通信装置８７、始動装置８８、利用者識別データ入力装置８２６、利用者識別データ入力装置８８１にそれぞれ対応している。
【００６６】
また、図９のメーカー公開鍵８１１、メーカー秘密鍵８１２、本体証明書８１３、本体秘密鍵８１４、ＥＣＵ証明書８１５、ＥＣＵ秘密鍵８１６、本体識別データ８１７、販売店公開鍵８２１、販売店秘密鍵８２２、利用者証明書８２３、利用者秘密鍵８２４、利用者識別データ８２５は、図１のメーカー公開鍵１１１、メーカー秘密鍵１１２、本体証明書１１３、本体秘密鍵１１４、ＥＣＵ証明書１１５、ＥＣＵ秘密鍵１１６、本体識別データ１１７、販売店公開鍵１２１、販売店秘密鍵１２２、利用者証明書１２３、利用者秘密鍵１２４、利用者識別データ１２５にそれぞれ対応している。
【００６７】
そして、図８及び図９に示した実施の形態の場合、図１に示した認証装置１４のＩＣチップ２４１に格納されるメーカー公開鍵１１１と販売店公開鍵１２１に加えて、移動体本体８５の場合と同様に、本体証明書８１３（本体証明書１１３に対応する）と本体秘密鍵８１４（本体秘密鍵１１４に対応する）と本体識別データ８１７（本体識別データ１１７に対応する）が認証装置８４のＩＣチップ９４１（図９）に格納される点が異なる。
【００６８】
また、ＩＣチップ９４１は、認証装置９４により生成され、転送されてきたランダムデータと本体識別データ８１７を結合し、本体秘密鍵８１４で署名した署名データを認証装置９４に転送する機能を有する点が異なる。また、図１において、始動装置１８に格納される利用者証明書１２３の代わりに、利用者ＩＤ８２６が始動装置８８に格納される点が異なる。さらに、図２に示された販売店２２の利用者識別データ入力装置２２１に加えて、利用者ＩＤ／証明書送受信装置９２２が販売店９２に備わる点が異なる。
【００６９】
また、新たに利用者ＩＤ／証明書送受信装置９４２が認証装置９４に備わる点が異なる。また、利用者ＩＤ／証明書送受信装置９２２、及び利用者ＩＤ／証明書送受信装置９４２は、販売店９２と認証装置９４の間で利用者ＩＤ８２６、及び対応する利用者証明書８２３を無線や有線などの任意の伝送手段を介して送受信する機能を有する。
【００７０】
次に、本実施の形態の動作について説明する。本実施の形態においては、図５のフローチャートを参照して上述した移動体本体８５の認証過程に加えて、図１０のフローチャートに示した認証手順により、認証装置８４が自身の認証を行うことで、認証装置８４の正当性を検証する処理が追加される。
【００７１】
以下、図１０のフローチャートを参照して、認証装置８５の認証手順について説明する。移動体９３に、運行に必要なバッテリーを接続するなどして通電した（ステップＳ１１１）時点で、認証装置９４に搭載されたＩＣチップ９４１内の本体証明書８１３を認証装置９４に転送する（ステップＳ１１２）。認証装置９４は、転送されてきた本体証明書８１３を自身の保持するメーカー公開鍵８１１で検証を行い（ステップＳ１１３）、検証失敗なら移動体９３を始動不能にする（ステップＳ１１４のＮＯ）。
【００７２】
一方、検証成功すると（ステップＳ１１４のＹＥＳ）、次に、認証装置９４は、本体証明書８１３から取り出した本体公開鍵を記憶しておき（ステップＳ１１５）、任意長のランダムデータを生成、記憶し（ステップＳ１１６）、このランダムデータを認証装置９４に搭載されたＩＣチップ９４１に転送する（ステップＳ１１７）。
【００７３】
認証装置９４に搭載されたＩＣチップ９４１は、転送されてきたランダムデータと本体識別データ８１７を結合し（ステップＳ１１８）、結合データを本体秘密鍵８１４で署名し（ステップＳ１１９）、署名データを認証装置９４に転送する（ステップＳ１１ａ）。認証装置９４は、転送されてきた署名データをステップＳ１１５において記憶しておいた本体公開鍵でデコードし（ステップＳ１１ｂ）、その結果得られた結合データのうち、ランダムデータ部分とステップＳ１１６で記憶しておいたランダムデータを比較する（Ｓ１１ｃ）。比較の結果、両者が一致しなければ認証失敗となり（Ｓ１１ｄのＮＯ）、移動体２３を始動不能にする。一方、両者が一致したら（Ｓ１１ｄのＹＥＳ）、結合データのうち、本体識別データ８１７を記憶しておく（Ｓ１１ｅ）。その後、処理を終了する。
【００７４】
また、利用者の認証については、図４のフローチャートを参照して上述した利用者登録手順とは異なり、販売店８２は、移動体８３を販売したときに、利用者証明書８２３を発行するとともに、対応する利用者ＩＤ８２６を発行し、利用者証明書８２３に代えて始動装置８８に格納しておく。
【００７５】
図１１は、利用者を認証する手順を示すフローチャートである。利用者は始動装置９８を移動体９３の始動通信装置９７に接続すると（ステップＳ１０１）、利用者識別データ入力装置９８２は入力された利用者識別データ８２５を読み込んで記憶し（ステップＳ１０２）、始動装置９８は、認証装置９４に利用者ＩＤ８２６を送信する（ステップＳ１０３）。認証装置９４は、受信した利用者ＩＤ８２６を利用者ＩＤ／証明書送受信装置９４２を使用して販売店９２に送信する（ステップＳ１０４）。
【００７６】
販売店９２は、利用者ＩＤ／証明書送受信装置９２２を介して受信した利用者ＩＤ８２６の有効性をチェックし、有効な利用者ＩＤと認められない場合（ステップＳ１０５のＮＯ）は、利用者ＩＤ／証明書送受信装置９２２から受信した利用者ＩＤ８２６をそのまま移動体９３の認証装置９４に送信して返す（ステップＳ１０６）。この場合、利用者の認証は失敗となり、認証装置９４は移動体９３を始動不能にする。
【００７７】
一方、販売店９２が、受信した利用者ＩＤ８２６を有効な利用者ＩＤと認めると（ステップＳ１０５のＹＥＳ）、次に、利用者ＩＤ／証明書送受信装置９２２から利用者証明書８２３を移動体９３の認証装置９４に送信して返す（ステップＳ１０７）。利用者証明書８２３を利用者ＩＤ／証明書送受信装置９４２を介して受信した認証装置９４は、自身の保持する販売店公開鍵８２１で検証を行い（ステップＳ１０８）、検証失敗なら（ステップＳ１０９のＮＯ）、移動体９３を始動不能にする。
【００７８】
一方、検証成功すると（ステップＳ１０９のＹＥＳ）、以下、説明は省略するが、図７のフローチャートのステップＳ７６に続く利用者認証処理を継続して行う。その後、処理を終了する。
【００７９】
本実施の形態は、移動体９３に加えて、認証装置９４自身の改竄を防ぐことができるという効果を有する。また、利用者証明書８２３を販売店９２から取得するようにすることにより、盗難届が販売店９２に通知された時点で、販売店９２は盗難に遭った利用者の利用者ＩＤ８２６に対応する利用者証明書８２３を移動体９３に送信しないようにして、その利用者ＩＤ８２６を無効にすることができるという効果も有する。さらに、利用者ＩＤ８２６の送受信の際に、ＧＰＳ（ＧｌｏｂａｌＰｏｓｉｔｉｏｎｉｎｇＳｙｓｔｅｍ）の位置情報を含めるようにすることも可能であり、移動体９３の地理的な利用制限を行うことができるという新たな効果も有する。
【００８０】
なお、上記実施の形態の構成及び動作は例であって、本発明の趣旨を逸脱しない範囲で適宜変更することができることは言うまでもない。
【００８１】
【発明の効果】
以上の如く、本発明に係る移動体セキュリティシステムによれば、認証手段は、第１の証明書を第１の公開鍵で検証し、検証が失敗したとき、移動体の始動を不可能にし、検証が成功したとき、第１の証明書から記憶手段の第３の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、記憶手段に供給し、記憶手段は、ランダムデータと第１の識別データを結合して第１の秘密鍵でデジタル署名した署名データを認証手段に供給し、認証手段は、第３の公開鍵でデジタル署名された署名データをデコードし、得られたランダムデータと、記憶しておいたランダムデータとを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、第１の識別データを記憶し、認証手段は、第２の証明書を第１の公開鍵で検証し、検証が失敗したとき、移動体の始動を不可能にし、検証が成功したとき、第２の証明書から制御手段の第４の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、制御手段に供給し、制御手段は、ランダムデータと第１の識別データと第２の識別データを結合して第２の秘密鍵でデジタル署名した署名データを認証手段に供給し、認証手段は、第４の公開鍵でデジタル署名された署名データをデコードし、得られたランダムデータと、記憶しておいたランダムデータとを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、得られた第１の識別データと、記憶しておいた第１の識別データを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、第２の識別データを記憶し、認証手段は、第３の証明書を第２の公開鍵で検証し、検証が失敗したとき、移動体の始動を不可能にし、検証が成功したとき、第３の証明書から利用者の第５の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、始動装置に供給し、始動装置は、ランダムデータと第２の識別データを結合して第３の秘密鍵でデジタル署名した署名データを認証手段に供給し、認証手段は、第５の公開鍵でデジタル署名された署名データをデコードし、得られたランダムデータと、記憶しておいたランダムデータとを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、得られた第２の識別データと、記憶しておいた第２の識別データを比較し、一致しないとき、移動体の始動を不可能にし、一致するとき、移動体を始動可能にするようにしたので、移動体を運行利用可能な利用者を特定することができ、移動体の不正使用を抑制することができる。また、移動体の構成要素を改竄したり、不正に再利用することを抑制することができる。
【図面の簡単な説明】
【図１】本発明が適用される実施の形態の原理図である。
【図２】本発明が適用される実施の形態の構成例を示すブロック図である。
【図３】メーカーの処理手順を説明するためのフローチャートである。
【図４】販売店の処理手順を説明するためのフローチャートである。
【図５】移動体本体を認証する手順を説明するためのフローチャートである。
【図６】ＥＣＵを認証する手順を説明するためのフローチャートである。
【図７】利用者を認証する手順を説明するためのフローチャートである。
【図８】本発明が適用される他の実施の形態の原理図である。
【図９】本発明が適用される他の実施の形態の構成例を示すブロック図である。
【図１０】図８及び図９に示した実施の形態において認証装置を認証する手順を説明するためのフローチャートである。
【図１１】図８及び図９に示した実施の形態において利用者を認証する手順を説明するためのフローチャートである。
【符号の説明】
１１，２１，８２，９２メーカー（ＣＡ１）
１２，２２，８２，９２販売店（ＣＡ２）
１３，２３，８３，９３移動体
１４，２４，８４，９４認証装置
１５，２５，８５，９５移動体本体
１６，２６，８６，９６ＥＣＵ
１７，１７，８７，９７始動通信装置
１８，２８，８８，９８始動装置
１２５，１８１，２２１，２８２８２５，８８１，９２１，９８２利用者識別データ入力装置
２４１，２５１，２６１，２８１，９４１，９５１，９６１，９８１ＩＣチップ
９２２，９４２利用者ＩＤ／証明書送受信装置
１１，８１１メーカー公開鍵
１１２，８１２メーカー秘密鍵
１１３，８１３本体証明書
１１４，８１４本体秘密鍵
１１５，８１５ＥＣＵ証明書
１１６，８１６ＥＣＵ秘密鍵
１１７，８１７本体識別データ
１２１，８２１販売店公開鍵
１２２，８２２販売店秘密鍵
１２３，８２３利用者証明書
１２４，８２４利用者秘密鍵
１２５，８２５利用者識別データ[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a mobile security system, and more particularly to a mobile security system that prevents a mobile body from being stolen.
[0002]
[Prior art]
Conventionally, an authentication method for specifying a user in a moving body such as a vehicle generally specifies only the user based on fixed storage information, and a starter according to the authentication result of the user To control.
[0003]
[Problems to be solved by the invention]
However, in the conventional authentication method, it is not possible to prevent forgery data input due to user impersonation or interception of stored data that is a precondition for authentication. For example, security methods such as an immobilizer system (Japanese Patent Laid-Open No. 10-238444), a vehicle anti-theft system (Japanese Patent Laid-Open No. 10-315915), a vehicle anti-theft device (Japanese Patent Laid-Open No. 08-318820) and the like are used for personal identification for on-board authentication. Data is not protected, and it is possible to use the system based on a false authentication result by illegally deciphering.
[0004]
In addition, it is not possible to cope with a situation where the entire mobile body is stolen by a tow vehicle or the like, the mobile body authentication device itself is tampered with, or the mobile body is disassembled and the components are reused.
[0005]
An automobile occupant protection device and system (Japanese Patent Laid-Open No. 2000-127892) having anti-theft and anti-tampering functions relates to a method for preventing the theft reuse of functional parts such as an air bag module. Since it is impossible to prevent the identity identification information from being falsified and the theft prevention function itself from being falsified, it is insufficient as a method for preventing theft.
[0006]
The present invention has been made in view of such circumstances, and by public key cryptography, simultaneously with user authentication, an essential element ECU (Electric Control Unit) constituting the mobile body and the mobile body itself are also identified. By authenticating and making the moving body inoperable even if it is stolen, it is possible to improve security comprehensively.
[0007]
[Means for Solving the Problems]
The mobile security system according to claim 1 is a mobile security system that prevents the mobile body from being modified and stolen, and the mobile body includes a storage means for storing information, an authentication means for executing an authentication process, A control means for controlling the operation of the mobile body; and a communication means for controlling communication with a starter for starting the mobile body. The authentication means of the mobile body includes a first public key of the first certificate authority. And the second public key of the second certificate authority are registered, the first certificate, the first secret key, and the first identification for identifying the mobile unit are stored in the storage unit of the mobile unit Data is registered, and control means for controlling the operation of the mobile unit includes a second certificate, a second secret key, first identification data, and a first unit for identifying a user who uses the mobile unit. The identification data of 2 is registered, and the third certificate and The third secret key and the second identification data are registered, and the authentication unit verifies the first certificate with the first public key. When the verification fails, the mobile unit cannot be started, When the verification is successful, the third public key of the storage unit is obtained from the first certificate and stored, and predetermined random data is generated and stored, and is supplied to the storage unit. Signature data combined with the first identification data and digitally signed with the first private key is supplied to the authentication means, and the authentication means obtained by decoding the signature data digitally signed with the third public key. The random data and the stored random data are compared, and if they do not match, the moving body cannot be started, and if they match, the first identification data is stored, and the authentication means The certificate is verified with the first public key and the verification fails When the mobile body cannot be started and the verification is successful, the fourth public key of the control means is obtained from the second certificate and stored, and predetermined random data is generated, stored, and supplied to the control means. The control means supplies the signature data digitally signed with the second secret key by combining the random data, the first identification data, and the second identification data to the authentication means. The signature data digitally signed with the key is decoded, and the obtained random data is compared with the stored random data. When they do not match, it is impossible to start the moving body. The first identification data and the stored first identification data are compared, and if they do not match, the moving body cannot be started, and if they match, the second identification data is stored and authentication means The third certificate to the second public key If the verification fails, the mobile unit cannot be started. If the verification succeeds, the fifth public key of the user is acquired from the third certificate and stored, and predetermined random data is stored. Is generated, stored, and supplied to the starting device, which supplies the signature data digitally signed with the third secret key by combining the random data and the second identification data to the authenticating means, The signature data digitally signed with the fifth public key is decoded, and the obtained random data is compared with the stored random data. If they do not match, the mobile unit cannot be started and matches. When the obtained second identification data is compared with the stored second identification data, the mobile body cannot be started when they do not match, and the mobile body can be started when they match. It is characterized by that.
The first certificate includes the third public key of the storage means, is digitally signed with the fourth private key of the first certificate authority, and the second certificate is the control means The fourth certificate includes a fourth public key and is digitally signed with the fourth private key of the first certificate authority. The third certificate includes the fifth public key of the user and includes a second authentication key. It can be digitally signed with the station's fifth private key.
The mobile security system according to claim 3 is a mobile security system that prevents the mobile body from being modified and stolen, and the mobile body includes storage means for storing information, authentication means for executing authentication processing, A control means for controlling the operation of the mobile body; and a communication means for controlling communication with a starter for starting the mobile body. The authentication means of the mobile body includes a first public key of the first certificate authority. And the second public key of the second certificate authority are registered, the first certificate, the first secret key, and the first identification for identifying the mobile unit are stored in the storage unit of the mobile unit Data is registered, and control means for controlling the operation of the mobile unit includes a second certificate, a second secret key, first identification data, and a first unit for identifying a user who uses the mobile unit. 2 identification data is registered, and the user is identified by the starting device possessed by the user. When the user ID, the third secret key, and the second identification data are registered, the authentication unit verifies the first certificate with the first public key, and the verification fails. When the verification is successful, the third public key of the storage means is obtained and stored from the first certificate, and predetermined random data is generated and stored. The storage means supplies the signature data digitally signed with the first secret key by combining the random data and the first identification data to the authentication means, The authentication means decodes the signature data digitally signed with the third public key, compares the obtained random data with the stored random data, and if it does not match, the mobile body cannot be started. And if the data match, the first identification data is stored, and the authentication means verifies the second certificate with the first public key, and when the verification fails, the mobile unit cannot be started and verified. Is successful, the fourth public key of the control means is obtained from the second certificate and stored, and predetermined random data is generated, stored, and supplied to the control means. The signature data digitally signed with the second secret key is supplied to the authentication means by combining the identification data 1 and the second identification data, and the authentication means decodes the signature data digitally signed with the fourth public key And the random data obtained, Comparing the stored random data, if they do not match, the moving body cannot be started, and if they match, the obtained first identification data and the stored first identification data are When the comparison does not match, it is impossible to start the moving body, and when they match, the second identification data is stored, and the starting device supplies the user ID to the authentication unit via the communication unit, and the authentication unit Transmits the user ID to the second certificate authority, and the second certificate authority determines the validity of the user ID, and when it is not valid, makes the mobile unit unstartable via the authentication device and validates it. The third certificate is transmitted to the authenticating means, and the authenticating means verifies the third certificate with the second public key, and when the verification fails, the mobile unit cannot be started, When the verification is successful, the fifth public key of the user is obtained from the third certificate and stored, Constant random data is generated, stored, and supplied to the starter. The starter combines the random data and the second identification data, and supplies the signature data digitally signed with the third secret key to the authentication unit. The authentication means decodes the signature data digitally signed with the fifth public key, compares the obtained random data with the stored random data, and if it does not match, the mobile body cannot be started. When they match, the obtained second identification data is compared with the stored second identification data. When they do not match, the moving body cannot be started. It can be started.
The mobile theft prevention method according to claim 4 is a storage means for storing information, an authentication means for executing an authentication process, a control means for controlling the operation of the mobile body, and a starting device for starting the mobile body. A mobile theft prevention method for preventing remodeling and theft of a mobile body comprising a communication means for controlling communication with the first public key of the first certificate authority, The second public key of the second certificate authority is registered, and the first certificate, the first secret key, and the first identification data for identifying the mobile object are registered in the storage means of the mobile object. The control means for controlling the operation of the mobile unit includes the second certificate, the second secret key, the first identification data, and the second identification for identifying the user who uses the mobile unit. The data is registered and the starting device owned by the user has the third certificate, the third private key, and the second identification information. The data is registered, and the authentication unit verifies the first certificate with the first public key. When the verification fails, the mobile unit cannot be started. When the verification is successful, the first certificate A third public key of the storage means is obtained and stored, and predetermined random data is generated and stored, supplied to the storage means, and the storage means combines the random data and the first identification data to The signature data digitally signed with the private key is supplied to the authentication means, and the authentication means decodes the signature data digitally signed with the third public key, and the obtained random data and the stored random data And, if they do not match, disable the starting of the mobile, and if they match, store the first identification data, and the authenticating means verifies the second certificate with the first public key, When verification fails, the mobile body cannot be started. When the verification is successful, the fourth public key of the control means is obtained from the second certificate and stored, and predetermined random data is generated and stored, and supplied to the control means. The first identification data and the second identification data are combined and the signature data digitally signed with the second secret key is supplied to the authentication means. The authentication means receives the signature data digitally signed with the fourth public key. The random data obtained after decoding is compared with the stored random data. When they do not match, the starting of the moving body is disabled, and when they match, the first identification data obtained is stored. The first identification data that has been stored are compared, and when the two do not match, the moving body cannot be started, and when they match, the second identification data is stored, and the authentication means stores the third certificate When verifying with the public key of 2 and the verification fails When the mobile body cannot be started and the verification is successful, the fifth public key of the user is acquired from the third certificate and stored, and predetermined random data is generated and stored. And the starting device supplies the signature data digitally signed with the third secret key by combining the random data and the second identification data to the authentication means, and the authentication means uses the fifth public key to sign the digital signature The obtained signature data is decoded, and the obtained random data is compared with the stored random data. When they do not coincide with each other, the starting of the moving body is impossible, and when they coincide with each other, the obtained second data is obtained. The identification data and the stored second identification data are compared. When they do not match, it is impossible to start the moving body, and when they match, the moving body can be started.
The mobile theft prevention method according to claim 5 is a storage means for storing information, an authentication means for executing an authentication process, a control means for controlling the operation of the mobile body, and a starting device for starting the mobile body. A mobile theft prevention method for preventing remodeling and theft of a mobile body comprising a communication means for controlling communication with the first public key of the first certificate authority, The second public key of the second certificate authority is registered, and the first certificate, the first secret key, and the first identification data for identifying the mobile object are registered in the storage means of the mobile object. The control means for controlling the operation of the mobile unit includes the second certificate, the second secret key, the first identification data, and the second identification for identifying the user who uses the mobile unit. A user ID for identifying the user is registered in the starting device registered with the data and possessed by the user; The private key and the second identification data are registered, and the authentication unit verifies the first certificate with the first public key. When the verification fails, the mobile unit cannot be started and the verification succeeds. The third public key of the storage means is obtained from the first certificate and stored, and predetermined random data is generated and stored, The storage means supplies the signature data digitally signed with the first secret key by combining the random data and the first identification data to the authentication means, The authentication means decodes the signature data digitally signed with the third public key, compares the obtained random data with the stored random data, and if it does not match, the mobile body cannot be started. And if the data match, the first identification data is stored, and the authentication means verifies the second certificate with the first public key, and when the verification fails, the mobile unit cannot be started and verified. Is successful, the fourth public key of the control means is obtained from the second certificate and stored, and predetermined random data is generated, stored, and supplied to the control means. The signature data digitally signed with the second secret key is supplied to the authentication means by combining the identification data 1 and the second identification data, and the authentication means decodes the signature data digitally signed with the fourth public key And the random data obtained, Comparing the stored random data, if they do not match, the moving body cannot be started, and if they match, the obtained first identification data and the stored first identification data are When the comparison does not match, it is impossible to start the moving body, and when they match, the second identification data is stored, and the starting device supplies the user ID to the authentication unit via the communication unit, and the authentication unit Transmits the user ID to the second certificate authority, and the second certificate authority determines the validity of the user ID, and when it is not valid, makes the mobile unit unstartable via the authentication device and validates it. The third certificate is transmitted to the authenticating means, and the authenticating means verifies the third certificate with the second public key, and when the verification fails, the mobile unit cannot be started, When the verification is successful, the fifth public key of the user is obtained from the third certificate and stored, Constant random data is generated, stored, and supplied to the starter. The starter combines the random data and the second identification data, and supplies the signature data digitally signed with the third secret key to the authentication unit. The authentication means decodes the signature data digitally signed with the fifth public key, compares the obtained random data with the stored random data, and if it does not match, the mobile body cannot be started. When they match, the obtained second identification data is compared with the stored second identification data. When they do not match, the moving body cannot be started. It can be started.
The mobile theft prevention program according to claim 6 is a storage means for storing information, an authentication means for executing an authentication process, a control means for controlling the operation of the mobile body, and a starting device for starting the mobile body. A mobile anti-theft program for preventing remodeling and theft of a mobile body comprising a communication means for controlling communication with the first public key of the first certificate authority, the first public key of the first certificate authority, The second public key of the second certificate authority is registered, and the first certificate, the first secret key, and the first identification data for identifying the mobile object are registered in the storage means of the mobile object. Then, the control means for controlling the operation of the mobile unit includes the second certificate, the second secret key, the first identification data, and the second identification for identifying the user who uses the mobile unit. The data is registered and the starting device owned by the user has a third certificate, a third secret key, and a second The identification data is registered, the first certificate is verified with the first public key in the authentication means, and when the verification fails, the mobile unit cannot be started, and when the verification is successful, the first certificate Obtaining and storing the third public key of the storage means from the certificate, generating and storing predetermined random data, supplying the storage means, and causing the storage means to execute the random data and the first identification data Are combined to execute the process of supplying the signature data digitally signed with the first private key to the authentication means, and the authentication means decodes the signature data digitally signed with the third public key, and the random number obtained The data is compared with the stored random data. When they do not match, the moving body cannot be started, and when they match, the first identification data is stored, and the authentication means 2 certificates with the first public key If the verification fails, the mobile unit cannot be started. If the verification is successful, the fourth public key of the control means is obtained from the second certificate and stored, and predetermined random data is generated. , Storing and supplying processing to the control means, and authenticating the signature data digitally signed with the second secret key by combining the random data, the first identification data, and the second identification data with the control means When the authentication means decodes the signature data digitally signed with the fourth public key, compares the obtained random data with the stored random data, and does not match When the mobile body cannot be started and matched, the obtained first identification data is compared with the stored first identification data, and when they do not match, the mobile body cannot be started. When they match, the second When the process of storing the identification data is executed, the authentication unit verifies the third certificate with the second public key, and when the verification fails, the starting of the mobile body is impossible, and when the verification is successful, The user's fifth public key is obtained from the third certificate and stored, and predetermined random data is generated, stored, and supplied to the starting device. The starting device is caused to execute the random data and the second data. The signature data digitally signed with the third secret key and the signature data digitally signed with the third private key are supplied to the authentication means, and the authentication means decodes the signature data digitally signed with the fifth public key, The random data stored is compared with the stored random data. When they do not match, the starting of the moving body is impossible. When they match, the obtained second identification data is stored. Compare second identification data and match No case, impossible to start the mobile, when a matching, characterized in that to execute a process that allows starting the moving body.
The mobile theft prevention program according to claim 7 is a storage means for storing information, an authentication means for executing an authentication process, a control means for controlling the operation of the mobile body, and a starting device for starting the mobile body. A mobile anti-theft program for preventing remodeling and theft of a mobile body comprising a communication means for controlling communication with the first public key of the first certificate authority, the first public key of the first certificate authority, The second public key of the second certificate authority is registered, and the first certificate, the first secret key, and the first identification data for identifying the mobile object are registered in the storage means of the mobile object. Then, the control means for controlling the operation of the mobile unit includes the second certificate, the second secret key, the first identification data, and the second identification for identifying the user who uses the mobile unit. A user ID for registering data and identifying the user on the starting device owned by the user Registering the third secret key and the second identification data, verifying the first certificate with the first public key in the authentication means, and when the verification fails, making the mobile unit impossible to start, When the verification is successful, the third public key of the storage means is acquired from the first certificate and stored, and processing for generating and storing predetermined random data is executed. Causing the storage means to execute a process of combining the random data and the first identification data and supplying signature data digitally signed with the first secret key to the authentication means; The authentication means decodes the signature data digitally signed with the third public key, and compares the obtained random data with the stored random data. If they match, the process for storing the first identification data is executed, and the authentication unit verifies the second certificate with the first public key. And when verification is successful, obtain and store the fourth public key of the control means from the second certificate, generate and store predetermined random data, and execute processing to supply to the control means, The control unit executes processing for combining the random data, the first identification data, and the second identification data and supplying the signature data digitally signed with the second secret key to the authentication unit. Digitally signed with your public key The data is decoded, and the obtained random data is compared with the stored random data. When they do not match, the starting of the moving body is disabled, and when they match, the first identification data obtained The first identification data stored is compared, and when the two do not match, the starting of the moving body is made impossible, and when the two match, the process for storing the second identification data is executed and used by the starter A process of supplying the user ID to the authentication means via the communication means, causing the authentication means to execute a process of transmitting the user ID to the second certificate authority, and causing the second certificate authority to The validity is determined, and when it is not valid, the moving body cannot be started via the authentication device. When the mobile body is valid, a process of transmitting the third certificate to the authentication unit is executed, and the authentication unit performs the third process. Verify the certificate with the second public key and the verification is lost When the mobile body cannot be started and the verification is successful, the fifth public key of the user is obtained and stored from the third certificate, and predetermined random data is generated, stored, and started. Causing the starter to execute processing to combine the random data and the second identification data and supply the signature data digitally signed with the third secret key to the authenticating means, Decode the signature data digitally signed with the fifth public key, compare the obtained random data with the stored random data, and if it does not match, make the moving body impossible to start and match The second identification data obtained is compared with the stored second identification data. When they do not match, the starting of the moving body is disabled, and when they match, the moving body can be started. To perform processing It is characterized by.
[0008]
DETAILED DESCRIPTION OF THE INVENTION
The present invention provides a digital proof to each of a starting device, a moving body, and an electronic control unit (Electric Control Unit, hereinafter referred to as an ECU as appropriate) required to start the moving body. Certificate (hereinafter referred to as “certificate” as appropriate), private key, identification data, public key issued separately by the manufacturer and dealer in the authentication device, and digital signature (hereinafter referred to as appropriate) By verifying the signed data with a public key cryptosystem, strict personal authentication of the user is performed, operation is restricted, and the mobile body is not modified to prevent theft of the mobile body. It measures.
[0009]
A principle diagram of the present invention is shown in FIG. The manufacturer 11 and the dealer 12 of the mobile body 13 each function as a certificate authority (Certificate Authority, hereinafter referred to as CA as appropriate) that individually issues a digital certificate, and the manufacturer (CA1) 11 has a manufacturer public key 111. And a manufacturer secret key 112, a body certificate 113 and body secret key 114 including a body public key, an ECU certificate 115 and ECU secret key 116 including an ECU public key, and body identification data 117, and a store ( CA2) 12 issues a store public key 121 and a store secret key 122, a user certificate 123 including a user public key, a user secret key 124, and user identification data 125. Authentication device 14, mobile body 15, ECU 16, start communication device 17 constituting mobile body 13 at the time of manufacture and sale Each is registered and stored.
[0010]
That is, the manufacturer public key 111 and the store public key 121 are registered and stored in the authentication device 14, and the main body certificate 113 including the main body public key, the main body secret key 114, and the main body identification data 117 are registered and stored in the mobile body 15. The ECU certificate 115 including the ECU public key, the ECU private key 116, the main body identification data 117, and the user identification data 125 are registered and stored in the ECU 16, and the user certificate 123 including the user public key and the user private key are registered. 124 is registered and stored in the starter 18.
[0011]
The mobile body 15 and the ECU 16 hold the registered certificate, secret key, and identification data, respectively, and can only be used after receiving authentication from the authentication device 14.
[0012]
The authentication device 14 performs an authentication process using a public key registered between the mobile body 15 and the ECU 16 and activates or deactivates the ECU 16 according to the result, thereby starting the mobile body 13. Control availability.
[0013]
The starting device 18 holds a user certificate 123 and a user secret key 124, and has a user identification data input device 181.
[0014]
When the user starts using the authentication device 14, the authentication device 14 authenticates the user with the starter device 18 via the starter communication device 17, and the user identification data 125 sent from the starter device 18 and the ECU 16. When the user identification data 125 held by the user ID matches, the mobile unit 13 is started.
[0015]
In this way, the mobile body 13 can be started only after the manufacturer 11, the dealer 12, the mobile body 13 that is properly combined, and the user are authenticated using data that cannot be forged.
[0016]
FIG. 2 is a block diagram illustrating a configuration example of the present embodiment. In FIG. 2, manufacturer (CA1) 21, dealer (CA2) 22, mobile body 23, authentication device 24, mobile body 25, ECU 26, start communication device 27, start device 28, user identification data input device 221, use The person identification data input device 282 includes the manufacturer 11, the dealer 12, the mobile body 13, the authentication device 14, the mobile body body 15, the ECU 16, the start communication device 17, the start device 18, the user identification data input device 126 of FIG. Each corresponds to the user identification data input device 181.
[0017]
The manufacturer 21 manufactures the mobile body 23, and issues and registers and manages the manufacturer public key 111, the manufacturer secret key 112, the body certificate 113, the body secret key 114, the ECU certificate 115, the ECU secret key 116, and the body identification data 117. I do.
[0018]
When the dealer 22 sells the mobile unit 23 produced by the manufacturer 21 to the user, the dealer public key 121, the dealer private key 122, the user certificate 123, and the usage are separately used from those issued by the manufacturer 21. Issuance registration and management of the user secret key 124 and the user identification data 125.
[0019]
The moving body 23 includes an authentication device 24, a moving body main body 25, an ECU 26, and a start communication device 27.
[0020]
In the IC chip 241 mounted on the authentication device 24, the manufacturer public key 111 issued by the manufacturer 21 and the store public key 121 issued by the store 22 are registered and stored, and the IC mounted on the mobile body 25 is stored. The chip 251 stores the main body certificate 113 issued by the manufacturer 21, the main body secret key 114, and the main body identification data 117. The IC chip 261 mounted on the ECU 26 stores the ECU certificate 115 issued by the manufacturer 21 and the ECU. A secret key 116, main body identification data 117, and user identification data 125 issued by the store 22 are stored.
[0021]
The authentication device 24 has a function of transmitting and receiving each stored certificate and signature data to and from the IC chip 251 of the mobile body 25, the IC chip 261 of the ECU 26, and the IC chip 281 of the starting device 28. , Has a function of transmitting and receiving data to and from the starter 28 via the starter communication device 27, has a function of authenticating each component based on each certificate and each signature data, and activates the ECU 26 based on the authentication result Or has a function of inactivating.
[0022]
The start communication device 27 has a function of enabling data communication regarding the user between the start device 28 and the authentication device 24.
[0023]
The starting device 28 is possessed and managed by the user and used when starting the mobile unit 23. The mounted IC chip 281 holds the user certificate 123 and the user secret key 124 issued by the store 22. And a function for enabling data communication with the start communication device 27, and a user identification data input device 282 for inputting user identification data.
[0024]
The IC chip 251 mounted on the mobile body 25 has a function of transmitting the body certificate 113 to the authentication device 24. Further, it has a function of combining the random data transmitted from the authentication device 24 and the main body identification data 117 and transmitting the signature data signed with the main body secret key 114 to the authentication device 24.
[0025]
The IC chip 261 mounted on the ECU 25 has a function of transmitting the ECU certificate 115 to the authentication device 24. The random data transmitted from the authentication device 24, the main body identification data 117, and the user identification data 125 are combined, and the signature data signed with the ECU private key 116 is transmitted to the authentication device 24.
[0026]
The IC chip 281 mounted on the starting device 28 has a function of transmitting the user certificate 123 to the authentication device 24. In addition, the user identification data 125 input from the user identification data input device 282 is signed with the user secret key 124 and transmitted to the authentication device 24 via the start communication device 27.
[0027]
The IC chips 251, 261, 281 have a function that cannot directly read the main body secret key 114, the main body identification data 117, the ECU secret key 116, and the user identification data 125, and the main body certificate 113, the main body secret key 114, the ECU. The certificate 115, the ECU private key 116, and the main body identification data 117 have a function of enabling registration once for each one at the time of manufacturing the moving body 23.
[0028]
The user identification data input device 282 has a function of inputting identification data for uniquely identifying a user. The store 22 has a user identification data input device 221 that inputs data in the same manner, and is used when generating the user identification data 125.
[0029]
The mobile body 25 may be composed of a single component or a plurality of components. Further, when the mobile body 25 is composed of a plurality of components, an IC chip may be mounted for each component, and each component may have a function of transmitting / receiving data to / from the ECU 26 and the authentication device 24.
[0030]
The IC chip 281 may hold a plurality of combinations of the user identification data 125, the user certificate 123, and the user private key 124 so that a plurality of users can be registered, and can be re-registered. It is also good. Similarly, the IC chip 261 may hold a plurality of pieces of user identification data 125 and may allow re-registration.
[0031]
In addition, data transmission / reception between the components may be performed by either wired or wireless methods.
[0032]
As the main body identification data 117, data that is digitized in an arbitrary format such as a manufacturing number of the moving body 14, voice print data of an operation sound, and an arbitrary length may be used.
[0033]
As the user identification data 125, the identification information for identifying the user is in an arbitrary format and an arbitrary format by using a password method, a biological information method using biological information such as a fingerprint, an iris, and a voiceprint, an operation pattern extraction method, etc. It is possible to use data digitized by the length of.
[0034]
Here, the digital certificate will be described. Generally, a public key is distributed in the form of a digital certificate, not distributed alone. If a digital certificate is obtained, the public key can be extracted from the digital certificate, and the validity of the electronic data digitally signed with the corresponding private key can be verified. However, since the digital certificate itself may be falsified and forged, the digital certificate cannot be trusted without verification (for example, by signing the falsified data with a fake private key, Sent with a certificate containing a fake public key). Therefore, the digital certificate is created in a form including signature data digitally signed by the issued certificate authority (CA) in order to guarantee its validity.
[0035]
Since the digital signature for the digital certificate is performed using the CA private key, anyone can verify the digital certificate using the CA public key extracted from the certificate if the CA certificate is obtained. . In the verification work, first, a part of the digital certificate other than the digital signature (including the public key and the issuer name) cannot be decrypted by a one-way hash function such as MD5 or SHA-1. Convert to hash data of length. Next, the digital signature data included in the digital certificate is decrypted with the CA public key, and the obtained data is compared with the previously calculated hash data. At this time, if it has been tampered with, the hash value will always change, so that it can be confirmed that no part of the certificate has been tampered with or forged. The hash function and encryption / decryption method to be used at that time are described in the digital certificate itself.
[0036]
Of course, since the CA certificate itself may need to be verified, it may be verified using the root CA certificate of the root CA that digitally signed the CA certificate. A plurality of root CAs may authenticate each other. In this way, digital certificates are hierarchically checked for validity by a number of intermediate certification authorities and root certification authorities. All of these mechanisms are standardized by convention.
[0037]
Next, the operation of the present embodiment will be described in detail with reference to the configuration diagram of FIG. 2 and the flowcharts of FIGS. 3 to 7. First, the processing procedure of the manufacturer 21 will be described with reference to the flowchart of FIG. The manufacturer 21 first generates a manufacturer public key 111 and a manufacturer secret key 112 (step S31). Next, the mobile body 23 is manufactured (step S32), the manufacturer public key 111 is stored in the IC chip 241 of the authentication device 24 incorporated in the mobile body 23 (step S33), and the main body identification data 117 of the mobile body 23 is stored. Generate (step S34).
[0038]
The manufacturer 21 further generates a main body public key and a main body private key 114 (step S35), and issues a main body certificate 113 including the main body public key signed with the manufacturer private key 112 based on the main body public key (step S36). The main body certificate 113 and the main body secret key 114 are stored in the IC chip 251 of the mobile body 25 together with the main body identification data 117 (step S37). Next, an ECU public key and an ECU private key 116 are generated (step S38). Similarly, an ECU certificate 115 including an ECU public key signed with the manufacturer private key 112 is issued based on the ECU public key (step S38). S39), the ECU certificate 115 and the ECU secret key 116 are stored in the IC chip 261 of the ECU 26 together with the main body identification data 117 (step S3a).
[0039]
In addition, the manufacturer 21 generates all the generated key pairs (manufacturer public key 111 and manufacturer secret key 112, main body public key and main body secret key 114, ECU public key and ECU secret key 116), main body identification data 117, various certificates. (Main body certificate 113, ECU certificate 115) can be saved and prepared for maintenance.
[0040]
When the mobile body 25 is composed of a plurality of modules, the body certificate 113 and the body secret key 114 may be issued separately.
[0041]
Next, the processing procedure of the store 12 will be described with reference to the flowchart of FIG. The dealer 22 that receives the supply of the mobile body 23 from the manufacturer 21 first generates a dealer public key 121 and a dealer secret key 122 (step S41).
[0042]
Next, the store public key 121 is stored in the IC chip 241 of the authentication device 24 (step S42), and the number of users who operate the mobile body 23 (= n (n is an arbitrary natural number)) is the user certification. Certificate 123 and user secret key 124 are issued and stored in the starting device 28 (steps S44 to S4a).
[0043]
Next, the procedure from step S44 to step S4a will be described in detail. First, in step S44, it is determined whether or not the number of users (= n) is greater than zero. As a result, if it is determined that the number of users is greater than 0, the process proceeds to step S45. On the other hand, if it is determined that the number of users is 0, the process is terminated.
[0044]
In step S45, user-specific information is input from the user identification data input device 221 to generate user identification data 125, and a user public key and a user secret key 124 corresponding to the user are generated. (Step S46) The user certificate 123 including the user public key and signed with the store private key 122 is issued (Step S47). Further, the user identification data 125 is stored in the IC chip 261 of the ECU 26 (step S48), and the user certificate 123 and the user secret key 124 are stored in the IC chip 281 of the starting device 28 (step S49). Next, in step S4a, the number of users (= n) is decremented by 1, and the process returns to step S44. Thereafter, the processes in and after step S44 are repeatedly executed for each user until the value of n becomes 0, that is, the number of users.
[0045]
Next, the authentication operation until the moving body 23 is started will be described with reference to the flowchart of FIG. FIG. 5 is a flowchart showing an authentication procedure of the mobile body 25.
[0046]
When the mobile unit 23 is energized by connecting a battery required for operation (step S51), the mobile unit body 25 transmits the main body certificate 113 to the authentication device 24 (step S52). The authentication device 24 verifies the received main body certificate 113 with the manufacturer public key 111 held by itself (step S53). If the verification fails, the mobile device 23 is disabled (NO in step S54).
[0047]
On the other hand, if the verification is successful, the authentication device 24 stores the main body public key extracted from the main body certificate 113 (step S55), generates and stores random data of arbitrary length (step S56), Random data is transmitted to the mobile body 25 (step S57).
[0048]
The mobile body 25 combines the received random data with the body identification data 117 (step S58), signs the combined data with the body secret key 114 (step S59), and transmits the signature data to the authentication device 24 (step S5a). ). The authentication device 24 decodes the received signature data with the main body public key stored in step S55 (step S5b), and stores the random data portion and the combined data obtained as a result in step S56. The random data received is compared (S5c). As a result of the comparison, if the two do not match, authentication fails (NO in S5d), and the moving body 23 is disabled from starting. On the other hand, if they match (YES in S5d), the main body identification data 117 is stored in the combined data (S5e). Thereafter, the process ends.
[0049]
Next, the ECU authentication procedure will be described with reference to the flowchart of FIG. FIG. 6 is a flowchart showing an authentication procedure for authenticating the ECU. When the mobile unit 23 is energized, for example, by connecting a battery necessary for operation, the ECU 26 transmits the ECU certificate 115 to the authentication device 24 (step S61). The authentication device 24 verifies the received ECU certificate 115 with the manufacturer public key 111 held by itself (step S62). If the verification fails, the authentication unit 24 disables the moving body (NO in step S63).
[0050]
On the other hand, if the verification is successful (YES in step S63), the ECU public key extracted from the ECU certificate 115 is stored (step S64), and random data of an arbitrary length is generated and stored (step S65). The random data is transmitted to the ECU 26 (step S66).
[0051]
The ECU 26 combines the received random data, the main body identification data 117, and the user identification data 125 (step S67), signs the combined data with the ECU secret key 116 (step S68), and transmits the signature data to the authentication device 24. (Step S69). The authentication device 24 decodes the received signature data with the ECU public key stored in step S64 (step S6a), and stores the random data portion and the combined data obtained as a result in step S65. The random data received are compared (step S6b).
[0052]
As a result, if the two do not match, authentication fails (NO in step S6c), and the moving body 23 cannot be started. On the other hand, if they match (YES in step S6c), the main body identification data 117 in the combined data is compared with the main body identification data 117 stored in step S5e (step S6d). As a result, if the two do not match, authentication fails (NO in step S6e), and the moving body 23 cannot be started. On the other hand, if the two match, the user identification data 125 of the combined data is stored (step S6f).
[0053]
FIG. 7 is a flowchart showing a procedure for authenticating a user. When the user connects the starting device 28 to the starting communication device 27 of the moving body 23 (step S71), the user identification data input device 282 reads and stores the user identification data 125 (step S72), and the starting device. 28 transmits the user certificate 123 to the authentication device 24 via the startup communication device 27 (step S73). The authentication device 24 verifies the received user certificate 123 with the store public key 121 held by itself (step S74). If the verification fails (NO in step S75), the authentication unit 24 disables the moving body 23 from starting.
[0054]
On the other hand, if the verification is successful (YES in step S75), the authentication device 24 stores the user public key extracted from the user certificate 123 (step S76), and generates random data of arbitrary length. Store (step S77) and send random data to the starting device 28 (step S78).
[0055]
The starting device 28 combines the received random data with the user identification data 125 read in step S72 (step S79), signs the combined data with the user secret key 124 (step S7a), and authenticates the signature data to the authentication device 24. (Step S7b).
[0056]
The authentication device 24 decodes the received signature data with the user public key stored in step S76 (step S7c), and stores the random data portion and the combined data obtained as a result in step S77. The placed random data is compared (step S7d). As a result, if the two do not match, the authentication fails (NO in step S7e), and the moving body 23 cannot be started. On the other hand, if the two match (YES in step S7e), the user identification data 125 in the combined data is compared with the user identification data 125 stored in step S6f (step S7f).
[0057]
As a result, if they do not match, authentication fails (NO in step S7g), and the moving body 23 cannot be started. On the other hand, if both match (YES in step S7g), the moving body 23 is brought into a startable state (step S7h). Thereafter, the process ends.
[0058]
The authentication of the mobile body 25 described above with reference to the flowchart of FIG. 5 and the authentication of the ECU 26 described above with reference to the flowchart of FIG. 6 may be performed in any order. In that case, the main body identification data 117 may be stored by the authentication procedure performed first. Further, the authentication of the mobile body 25 and the ECU 26 may be started when the user connects the starting device 28.
[0059]
The present embodiment can be applied to a relationship between a moving body such as a passenger car, a construction machine, an airplane, a train, and a ship, a manufacturer, and an operation user.
[0060]
Further, the present invention can also be applied to a stationary machine other than a moving body that permits operation only to a specific user.
[0061]
According to the present embodiment, the following effects can be obtained. A 1st effect is that the unauthorized use of the moving body 23 can be suppressed by specifying the user who can use the moving body 23 for operation. The reason is that the strict personal authentication using the certificate makes it impossible to forge the starter 28 and impersonate the user, and the forgery of the starter 28 is impossible without the key pair held by the store 22. is there.
[0062]
The second effect is that the theft reuse of the components of the moving body 23 can be disabled. The reason is that the authentication using the certificate that uniquely identifies the mobile body 25 and the ECU 26 makes it unusable even when combined with other components of the mobile body.
[0063]
FIG. 8 shows a principle diagram of another embodiment to which the present invention is applied. FIG. 9 shows a configuration example of another embodiment to which the present invention is applied. 10 and 11 are flowcharts showing an authentication procedure according to another embodiment to which the present invention is applied. Hereinafter, the configuration and operation of another embodiment to which the present invention is applied will be described in detail with reference to FIGS.
[0064]
8 includes a manufacturer 81, a store 82, a moving body 83, an authentication device 84, a moving body 85, an ECU 86, a start communication device 87, a start device 88, a user identification data input device 826, and a user identification data input device 881. 1, manufacturer 12, dealer 12, mobile body 13, authentication device 14, mobile body 15, ECU 16, start communication device 17, start device 18, user identification data input device 126, user identification data input device 181. It corresponds to each.
[0065]
Further, the manufacturer 91, the dealer 92, the moving body 93, the authentication device 94, the moving body main body 95, the ECU 96, the starting communication device 97, the starting device 98, the user identification data input device 921, and the user identification data input device shown in FIG. 982 is the manufacturer 81, the store 82, the moving body 83, the authentication device 84, the moving body 85, the ECU 86, the starting communication device 87, the starting device 88, the user identification data input device 826, and the user identification data input shown in FIG. Each corresponds to the device 881.
[0066]
Further, the manufacturer public key 811, the manufacturer secret key 812, the main body certificate 813, the main body secret key 814, the ECU certificate 815, the ECU secret key 816, the main body identification data 817, the store public key 821, and the store secret key shown in FIG. 822, user certificate 823, user secret key 824, and user identification data 825 are the manufacturer public key 111, manufacturer secret key 112, body certificate 113, body secret key 114, ECU certificate 115, ECU in FIG. The secret key 116, the main body identification data 117, the store public key 121, the store secret key 122, the user certificate 123, the user secret key 124, and the user identification data 125 are respectively corresponded.
[0067]
8 and 9, in addition to the manufacturer public key 111 and the store public key 121 stored in the IC chip 241 of the authentication device 14 shown in FIG. In the same manner as in FIG. 5, the main body certificate 813 (corresponding to the main body certificate 113), the main body secret key 814 (corresponding to the main body secret key 114), and the main body identification data 817 (corresponding to the main body identification data 117) are the authentication device. The difference is that it is stored in 84 IC chips 941 (FIG. 9).
[0068]
The IC chip 941 has a function of combining the random data generated and transferred by the authentication device 94 with the main body identification data 817 and transferring the signature data signed with the main body secret key 814 to the authentication device 94. Different. Further, FIG. 1 is different in that a user ID 826 is stored in the starter 88 instead of the user certificate 123 stored in the starter 18. Furthermore, in addition to the user identification data input device 221 of the store 22 shown in FIG. 2, the store 92 is provided with a user ID / certificate transmission / reception device 922.
[0069]
Another difference is that a user ID / certificate transmission / reception device 942 is newly provided in the authentication device 94. Further, the user ID / certificate transmission / reception device 922 and the user ID / certificate transmission / reception device 942 transmit the user ID 826 and the corresponding user certificate 823 between the store 92 and the authentication device 94 wirelessly or wired. It has the function to transmit / receive via arbitrary transmission means.
[0070]
Next, the operation of the present embodiment will be described. In the present embodiment, in addition to the authentication process of the mobile body 85 described above with reference to the flowchart of FIG. 5, the authentication apparatus 84 authenticates itself by the authentication procedure shown in the flowchart of FIG. A process for verifying the authenticity of the authentication device 84 is added.
[0071]
Hereinafter, the authentication procedure of the authentication device 85 will be described with reference to the flowchart of FIG. When the mobile unit 93 is energized by connecting a battery necessary for operation (step S111), the main body certificate 813 in the IC chip 941 mounted on the authentication device 94 is transferred to the authentication device 94 (step S111). S112). The authentication device 94 verifies the transferred main body certificate 813 with the manufacturer public key 811 held by the authentication device 94 (step S113). If the verification fails, the mobile device 93 is disabled (NO in step S114).
[0072]
On the other hand, if the verification is successful (YES in step S114), the authentication device 94 stores the main body public key extracted from the main body certificate 813 (step S115), and generates and stores random data of arbitrary length. (Step S116), the random data is transferred to the IC chip 941 mounted on the authentication device 94 (Step S117).
[0073]
The IC chip 941 mounted on the authentication device 94 combines the transferred random data and the main body identification data 817 (step S118), signs the combined data with the main body secret key 814 (step S119), and authenticates the signature data. The data is transferred to the device 94 (step S11a). The authentication device 94 decodes the transferred signature data with the main body public key stored in step S115 (step S11b), and stores the random data portion and the combined data obtained as a result in step S116. The stored random data is compared (S11c). As a result of the comparison, if the two do not match, authentication fails (NO in S11d), and the moving body 23 is disabled from starting. On the other hand, if they match (YES in S11d), the main body identification data 817 is stored in the combined data (S11e). Thereafter, the process ends.
[0074]
Regarding user authentication, unlike the user registration procedure described above with reference to the flowchart of FIG. 4, the dealer 82 issues a user certificate 823 when the mobile unit 83 is sold. The corresponding user ID 826 is issued and stored in the starter 88 instead of the user certificate 823.
[0075]
FIG. 11 is a flowchart showing a procedure for authenticating a user. When the user connects the starting device 98 to the starting communication device 97 of the moving body 93 (step S101), the user identification data input device 982 reads and stores the input user identification data 825 (step S102). The device 98 transmits the user ID 826 to the authentication device 94 (step S103). The authentication device 94 transmits the received user ID 826 to the store 92 using the user ID / certificate transmission / reception device 942 (step S104).
[0076]
The dealer 92 checks the validity of the user ID 826 received via the user ID / certificate transmission / reception device 922, and if it is not recognized as a valid user ID (NO in step S105), the user ID / The user ID 826 received from the certificate transmission / reception device 922 is transmitted as it is to the authentication device 94 of the moving body 93 and returned (step S106). In this case, the user authentication fails, and the authentication device 94 disables the moving body 93 from starting.
[0077]
On the other hand, when the store 92 recognizes the received user ID 826 as a valid user ID (YES in step S105), the user certificate 823 is next transferred from the user ID / certificate transmission / reception device 922 to the moving body 93. Is sent back to the authentication device 94 (step S107). The authentication device 94 that has received the user certificate 823 via the user ID / certificate transmission / reception device 942 performs verification using the store public key 821 held by the authentication device 94 (step S108), and if verification fails (step S109). NO), making the moving body 93 unstartable.
[0078]
On the other hand, if the verification is successful (YES in step S109), the user authentication process following step S76 in the flowchart of FIG. Thereafter, the process ends.
[0079]
The present embodiment has an effect that the authentication device 94 itself can be prevented from being falsified in addition to the moving body 93. Further, by acquiring the user certificate 823 from the store 92, the store 92 corresponds to the user ID 826 of the user who has been stolen when the store 92 is notified of the theft report. There is also an effect that the user ID 826 can be invalidated by not transmitting the user certificate 823 to the mobile body 93. Furthermore, when transmitting / receiving the user ID 826, it is possible to include GPS (Global Positioning System) position information, and it is possible to limit the geographical use of the moving body 93. Have.
[0080]
It should be noted that the configuration and operation of the above-described embodiment are examples, and it goes without saying that they can be changed as appropriate without departing from the spirit of the present invention.
[0081]
【The invention's effect】
As described above, according to the mobile security system of the present invention, the authentication unit verifies the first certificate with the first public key, and when the verification fails, the mobile unit cannot be started. When the verification is successful, the third public key of the storage unit is obtained from the first certificate and stored, and predetermined random data is generated and stored, and is supplied to the storage unit. Signature data combined with the first identification data and digitally signed with the first private key is supplied to the authentication means, and the authentication means obtained by decoding the signature data digitally signed with the third public key. The random data and the stored random data are compared, and if they do not match, the moving body cannot be started, and if they match, the first identification data is stored, and the authentication means Verifies the certificate with the first public key When it fails, the mobile body cannot be started, and when the verification is successful, the fourth public key of the control means is acquired and stored from the second certificate, and predetermined random data is generated and stored. The control means supplies the signature data digitally signed with the second secret key by combining the random data, the first identification data, and the second identification data to the authentication means. The signature data digitally signed with the fourth public key is decoded, and the obtained random data is compared with the stored random data. If they do not match, the mobile unit cannot be started and matches. When the obtained first identification data is compared with the stored first identification data, if they do not match, the start of the moving body is disabled, and if they match, the second identification data is stored. And the authentication means is the third proof Is verified with the second public key, and if the verification fails, the mobile unit cannot be started. If the verification is successful, the fifth public key of the user is obtained from the third certificate and stored. Then, the predetermined random data is generated, stored, and supplied to the starting device. The starting device combines the random data and the second identification data, and supplies the signature data digitally signed with the third secret key to the authentication means. Then, the authenticating means decodes the signature data digitally signed with the fifth public key, compares the obtained random data with the stored random data, and if they do not match, starts the moving body. When it is impossible and coincides, the obtained second identification data is compared with the stored second identification data. When they do not coincide, the moving body cannot be started. I made my body startable. The user who can use the moving object can be specified, and unauthorized use of the moving object can be suppressed. In addition, it is possible to suppress tampering or unauthorized reuse of the components of the moving object.
[Brief description of the drawings]
FIG. 1 is a principle diagram of an embodiment to which the present invention is applied.
FIG. 2 is a block diagram showing a configuration example of an embodiment to which the present invention is applied.
FIG. 3 is a flowchart for explaining a manufacturer's processing procedure;
FIG. 4 is a flowchart for explaining a processing procedure of a store.
FIG. 5 is a flowchart for explaining a procedure for authenticating a mobile body.
FIG. 6 is a flowchart for explaining a procedure for authenticating an ECU;
FIG. 7 is a flowchart for explaining a procedure for authenticating a user;
FIG. 8 is a principle diagram of another embodiment to which the present invention is applied.
FIG. 9 is a block diagram showing a configuration example of another embodiment to which the present invention is applied.
10 is a flowchart for explaining a procedure for authenticating an authentication apparatus in the embodiment shown in FIGS. 8 and 9. FIG.
11 is a flowchart for explaining a procedure for authenticating a user in the embodiment shown in FIGS. 8 and 9. FIG.
[Explanation of symbols]
11, 21, 82, 92 Manufacturer (CA1)
12, 22, 82, 92 Dealer (CA2)
13, 23, 83, 93 Mobile
14, 24, 84, 94 Authentication device
15, 25, 85, 95 Mobile body
16, 26, 86, 96 ECU
17, 17, 87, 97 Start communication device
18, 28, 88, 98 Starter
125,181,221,282 825,881,921,982 User identification data input device
241,251,261,281,941,951,961,981 IC chip
922, 942 User ID / certificate transmission / reception device
11,811 Manufacturer public key
112,812 Manufacturer secret key
113,813 body certificate
114,814 body secret key
115,815 ECU certificate
116,816 ECU private key
117,817 Body identification data
121,821 Dealer public key
122,822 Dealer private key
123,823 user certificate
124,824 User private key
125,825 User identification data

Claims

移動体の改造および盗難を防止する移動体セキュリティシステムであって、
前記移動体は、
情報を記憶する記憶手段と、
認証処理を実行する認証手段と、
前記移動体の作動を制御する制御手段と、
前記移動体を始動するための始動装置との通信を制御する通信手段と
を備え、
前記移動体の認証手段に、第１の認証局の第１の公開鍵と、第２の認証局の第２の公開鍵とが登録され、
前記移動体の前記記憶手段に、第１の証明書と、第１の秘密鍵と、前記移動体を識別するための第１の識別データが登録され、
前記移動体の作動を制御する前記制御手段に、第２の証明書と、第２の秘密鍵と、前記第１の識別データと、前記移動体を利用する利用者を識別するための第２の識別データが登録され、
前記利用者が所持する前記始動装置に、第３の証明書と、第３の秘密鍵と、前記第２の識別データが登録され、
前記認証手段は、前記第１の証明書を前記第１の公開鍵で検証し、検証が失敗したとき、前記移動体の始動を不可能にし、検証が成功したとき、前記第１の証明書から前記記憶手段の第３の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、前記記憶手段に供給し、
前記記憶手段は、前記ランダムデータと前記第１の識別データを結合して前記第１の秘密鍵でデジタル署名した署名データを前記認証手段に供給し、
前記認証手段は、前記第３の公開鍵で前記デジタル署名された前記署名データをデコードし、得られたランダムデータと、記憶しておいた前記ランダムデータとを比較し、一致しないとき、前記移動体の始動を不可能にし、一致するとき、前記第１の識別データを記憶し、
前記認証手段は、前記第２の証明書を前記第１の公開鍵で検証し、検証が失敗したとき、前記移動体の始動を不可能にし、検証が成功したとき、前記第２の証明書から前記制御手段の第４の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、前記制御手段に供給し、
前記制御手段は、前記ランダムデータと前記第１の識別データと前記第２の識別データを結合して前記第２の秘密鍵でデジタル署名した署名データを前記認証手段に供給し、
前記認証手段は、前記第４の公開鍵で前記デジタル署名された前記署名データをデコードし、得られたランダムデータと、記憶しておいた前記ランダムデータとを比較し、一致しないとき、前記移動体の始動を不可能にし、一致するとき、得られた前記第１の識別データと、記憶しておいた前記第１の識別データを比較し、一致しないとき、前記移動体の始動を不可能にし、一致するとき、前記第２の識別データを記憶し、
前記認証手段は、前記第３の証明書を前記第２の公開鍵で検証し、検証が失敗したとき、前記移動体の始動を不可能にし、検証が成功したとき、前記第３の証明書から前記利用者の第５の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、前記始動装置に供給し、
前記始動装置は、前記ランダムデータと前記第２の識別データを結合して前記第３の秘密鍵でデジタル署名した署名データを前記認証手段に供給し、
前記認証手段は、前記第５の公開鍵で前記デジタル署名された前記署名データをデコードし、得られたランダムデータと、記憶しておいた前記ランダムデータとを比較し、一致しないとき、前記移動体の始動を不可能にし、一致するとき、得られた前記第２の識別データと、記憶しておいた前記第２の識別データを比較し、一致しないとき、前記移動体の始動を不可能にし、一致するとき、前記移動体を始動可能にする
ことを特徴とする移動体セキュリティシステム。A mobile security system for preventing modification and theft of a mobile,
The moving body is
Storage means for storing information;
An authentication means for executing an authentication process;
Control means for controlling the operation of the moving body;
Communication means for controlling communication with a starting device for starting the moving body,
A first public key of a first certificate authority and a second public key of a second certificate authority are registered in the mobile unit authentication means,
A first certificate, a first secret key, and first identification data for identifying the mobile object are registered in the storage unit of the mobile object,
The control means for controlling the operation of the mobile body includes a second certificate, a second secret key, the first identification data, and a second for identifying a user who uses the mobile body. Is registered,
A third certificate, a third secret key, and the second identification data are registered in the starting device possessed by the user,
The authentication means verifies the first certificate with the first public key, and when the verification fails, the mobile unit cannot be started, and when the verification is successful, the first certificate Acquiring and storing the third public key of the storage means from the storage means, generating and storing predetermined random data, supplying the storage means,
The storage means combines the random data and the first identification data, and supplies signature data digitally signed with the first secret key to the authentication means,
The authentication means decodes the signature data digitally signed with the third public key, compares the obtained random data with the stored random data, and if the data does not match, the movement Storing the first identification data when disabling and matching the body,
The authentication means verifies the second certificate with the first public key, and when the verification fails, makes the mobile unit impossible to start, and when the verification succeeds, the second certificate Obtaining and storing a fourth public key of the control means, generating and storing predetermined random data, supplying to the control means,
The control means supplies the signature data digitally signed with the second secret key by combining the random data, the first identification data, and the second identification data to the authentication means,
The authenticating means decodes the signature data digitally signed with the fourth public key, compares the obtained random data with the stored random data, and if they do not match, the move When the body is not able to start and matches, the obtained first identification data is compared with the stored first identification data, and when they do not match, the moving body cannot be started. And store the second identification data when they match,
The authentication means verifies the third certificate with the second public key, and when the verification fails, makes the mobile unit impossible to start, and when the verification succeeds, the third certificate The fifth public key of the user is acquired from and stored, and predetermined random data is generated and stored, and supplied to the starting device,
The starter unit supplies signature data digitally signed with the third secret key by combining the random data and the second identification data to the authentication unit;
The authentication means decodes the signature data digitally signed with the fifth public key, compares the obtained random data with the stored random data, and if the data does not match, the movement When the body is not allowed to start and matches, the obtained second identification data is compared with the stored second identification data, and when they do not match, the moving body cannot be started. The mobile body security system is characterized in that the mobile body can be started when they match.

前記第１の証明書は、前記記憶手段の前記第３の公開鍵を含み、第１の認証局の第４の秘密鍵でデジタル署名されたものであり、前記第２の証明書は、前記制御手段の前記第４の公開鍵を含み、前記第１の認証局の前記第４の秘密鍵でデジタル署名されたものであり、前記第３の証明書は、前記利用者の第５の公開鍵を含み、第２の認証局の第５の秘密鍵でデジタル署名されたものである
ことを特徴とする請求項１に記載の移動体セキュリティシステム。The first certificate includes the third public key of the storage means, is digitally signed with a fourth private key of a first certificate authority, and the second certificate is Including the fourth public key of the control means, digitally signed with the fourth private key of the first certificate authority, and the third certificate is a fifth public of the user The mobile security system according to claim 1, wherein the mobile security system includes a key and is digitally signed with a fifth secret key of a second certificate authority.

移動体の改造および盗難を防止する移動体セキュリティシステムであって、
前記移動体は、
情報を記憶する記憶手段と、
認証処理を実行する認証手段と、
前記移動体の作動を制御する制御手段と、
前記移動体を始動するための始動装置との通信を制御する通信手段と
を備え、
前記移動体の認証手段に、第１の認証局の第１の公開鍵と、第２の認証局の第２の公開鍵とが登録され、
前記移動体の前記記憶手段に、第１の証明書と、第１の秘密鍵と、前記移動体を識別するための第１の識別データが登録され、
前記移動体の作動を制御する前記制御手段に、第２の証明書と、第２の秘密鍵と、前記第１の識別データと、前記移動体を利用する利用者を識別するための第２の識別データが登録され、
前記利用者が所持する前記始動装置に、利用者を識別するための利用者ＩＤと、第３の秘密鍵と、前記第２の識別データが登録され、
前記認証手段は、前記第１の証明書を前記第１の公開鍵で検証し、検証が失敗したとき、前記移動体の始動を不可能にし、検証が成功したとき、前記第１の証明書から前記記憶手段の第３の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、
前記記憶手段は、前記ランダムデータと前記第１の識別データを結合して前記第１の秘密鍵でデジタル署名した署名データを前記認証手段に供給し、
前記認証手段は、前記第３の公開鍵で前記デジタル署名された前記署名データをデコードし、得られたランダムデータと、記憶しておいた前記ランダムデータとを比較し、一致しないとき、前記移動体の始動を不可能にし、一致するとき、
前記第１の識別データを記憶し、
前記認証手段は、前記第２の証明書を前記第１の公開鍵で検証し、検証が失敗したとき、前記移動体の始動を不可能にし、検証が成功したとき、前記第２の証明書から前記制御手段の第４の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、前記制御手段に供給し、
前記制御手段は、前記ランダムデータと前記第１の識別データと前記第２の識別データを結合して前記第２の秘密鍵でデジタル署名した署名データを前記認証手段に供給し、
前記認証手段は、前記第４の公開鍵で前記デジタル署名された前記署名データをデコードし、得られたランダムデータと、記憶しておいた前記ランダムデータとを比較し、一致しないとき、前記移動体の始動を不可能にし、一致するとき、得られた前記第１の識別データと、記憶しておいた前記第１の識別データを比較し、一致しないとき、前記移動体の始動を不可能にし、一致するとき、前記第２の識別データを記憶し、
前記始動装置は、前記利用者ＩＤを前記通信手段を介して前記認証手段に供給し、
前記認証手段は、前記利用者ＩＤを前記第２の認証局に送信し、
前記第２の認証局は、前記利用者ＩＤの有効性を判定し、有効でないとき、前記認証装置を介して前記移動体を始動不可能にし、有効であるとき、第３の証明書を前記認証手段に送信し、
前記認証手段は、前記第３の証明書を前記第２の公開鍵で検証し、検証が失敗したとき、前記移動体の始動を不可能にし、検証が成功したとき、前記第３の証明書から前記利用者の第５の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、前記始動装置に供給し、
前記始動装置は、前記ランダムデータと前記第２の識別データを結合して前記第３の秘密鍵でデジタル署名した署名データを前記認証手段に供給し、
前記認証手段は、前記第５の公開鍵で前記デジタル署名された前記署名データをデコードし、得られたランダムデータと、記憶しておいた前記ランダムデータとを比較し、一致しないとき、前記移動体の始動を不可能にし、一致するとき、得られた前記第２の識別データと、記憶しておいた前記第２の識別データを比較し、一致しないとき、前記移動体の始動を不可能にし、一致するとき、前記移動体を始動可能にする
ことを特徴とする移動体セキュリティシステム。A mobile security system for preventing modification and theft of a mobile,
The moving body is
Storage means for storing information;
An authentication means for executing an authentication process;
Control means for controlling the operation of the moving body;
Communication means for controlling communication with a starting device for starting the moving body,
A first public key of a first certificate authority and a second public key of a second certificate authority are registered in the mobile unit authentication means,
A first certificate, a first secret key, and first identification data for identifying the mobile object are registered in the storage unit of the mobile object,
The control means for controlling the operation of the mobile body includes a second certificate, a second secret key, the first identification data, and a second for identifying a user who uses the mobile body. Is registered,
A user ID for identifying a user, a third secret key, and the second identification data are registered in the starting device possessed by the user,
The authentication means verifies the first certificate with the first public key, and when the verification fails, the mobile unit cannot be started, and when the verification is successful, the first certificate To obtain and store a third public key of the storage means, generate and store predetermined random data,
The storage means combines the random data and the first identification data to supply signature data digitally signed with the first secret key to the authentication means,
The authentication means decodes the signature data digitally signed with the third public key, compares the obtained random data with the stored random data, and if the data does not match, the movement When the body is impossible to start and matches,
Storing the first identification data;
The authentication means verifies the second certificate with the first public key, and when the verification fails, makes the mobile unit impossible to start, and when the verification succeeds, the second certificate Obtaining and storing a fourth public key of the control means, generating and storing predetermined random data, supplying to the control means,
The control means supplies the signature data digitally signed with the second secret key by combining the random data, the first identification data, and the second identification data to the authentication means,
The authenticating means decodes the signature data digitally signed with the fourth public key, compares the obtained random data with the stored random data, and if they do not match, the move When the body is not able to start and matches, the obtained first identification data is compared with the stored first identification data, and when they do not match, the moving body cannot be started. And store the second identification data when they match,
The starter supplies the user ID to the authentication unit via the communication unit,
The authentication means transmits the user ID to the second certificate authority,
The second certificate authority determines the validity of the user ID. If the user ID is not valid, the second certificate authority makes the mobile unit unstartable via the authentication device. Sent to the authentication means,
The authentication means verifies the third certificate with the second public key, and when the verification fails, makes the mobile unit impossible to start, and when the verification succeeds, the third certificate The fifth public key of the user is acquired from and stored, and predetermined random data is generated and stored, and supplied to the starting device,
The starter unit supplies signature data digitally signed with the third secret key by combining the random data and the second identification data to the authentication unit;
The authentication means decodes the signature data digitally signed with the fifth public key, compares the obtained random data with the stored random data, and if the data does not match, the movement When the body is not allowed to start and matches, the obtained second identification data is compared with the stored second identification data, and when they do not match, the moving body cannot be started. The mobile body security system is characterized in that the mobile body can be started when they match.

情報を記憶する記憶手段と、認証処理を実行する認証手段と、前記移動体の作動を制御する制御手段と、前記移動体を始動するための始動装置との通信を制御する通信手段とを備える移動体の改造および盗難を防止する移動体盗難防止方法であって、
前記移動体の認証手段に、第１の認証局の第１の公開鍵と、第２の認証局の第２の公開鍵とが登録され、
前記移動体の前記記憶手段に、第１の証明書と、第１の秘密鍵と、前記移動体を識別するための第１の識別データが登録され、
前記移動体の作動を制御する前記制御手段に、第２の証明書と、第２の秘密鍵と、前記第１の識別データと、前記移動体を利用する利用者を識別するための第２の識別データが登録され、
前記利用者が所持する前記始動装置に、第３の証明書と、第３の秘密鍵と、前記第２の識別データが登録され、
前記認証手段は、前記第１の証明書を前記第１の公開鍵で検証し、検証が失敗したとき、前記移動体の始動を不可能にし、検証が成功したとき、前記第１の証明書から前記記憶手段の第３の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、前記記憶手段に供給し、
前記記憶手段は、前記ランダムデータと前記第１の識別データを結合して前記第１の秘密鍵でデジタル署名した署名データを前記認証手段に供給し、
前記認証手段は、前記第３の公開鍵で前記デジタル署名された前記署名データをデコードし、得られたランダムデータと、記憶しておいた前記ランダムデータとを比較し、一致しないとき、前記移動体の始動を不可能にし、一致するとき、前記第１の識別データを記憶し、
前記認証手段は、前記第２の証明書を前記第１の公開鍵で検証し、検証が失敗したとき、前記移動体の始動を不可能にし、検証が成功したとき、前記第２の証明書から前記制御手段の第４の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、前記制御手段に供給し、
前記制御手段は、前記ランダムデータと前記第１の識別データと前記第２の識別データを結合して前記第２の秘密鍵でデジタル署名した署名データを前記認証手段に供給し、
前記認証手段は、前記第４の公開鍵で前記デジタル署名された前記署名データをデコードし、得られたランダムデータと、記憶しておいた前記ランダムデータとを比較し、一致しないとき、前記移動体の始動を不可能にし、一致するとき、得られた前記第１の識別データと、記憶しておいた前記第１の識別データを比較し、一致しないとき、前記移動体の始動を不可能にし、一致するとき、前記第２の識別データを記憶し、
前記認証手段は、前記第３の証明書を前記第２の公開鍵で検証し、検証が失敗したとき、前記移動体の始動を不可能にし、検証が成功したとき、前記第３の証明書から前記利用者の第５の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、前記始動装置に供給し、
前記始動装置は、前記ランダムデータと前記第２の識別データを結合して前記第３の秘密鍵でデジタル署名した署名データを前記認証手段に供給し、
前記認証手段は、前記第５の公開鍵で前記デジタル署名された前記署名データをデコードし、得られたランダムデータと、記憶しておいた前記ランダムデータとを比較し、一致しないとき、前記移動体の始動を不可能にし、一致するとき、得られた前記第２の識別データと、記憶しておいた前記第２の識別データを比較し、一致しないとき、前記移動体の始動を不可能にし、一致するとき、前記移動体を始動可能にする
ことを特徴とする移動体盗難防止方法。Storage means for storing information, authentication means for executing authentication processing, control means for controlling the operation of the moving body, and communication means for controlling communication with a starting device for starting the moving body A mobile theft prevention method for preventing modification and theft of a mobile body,
A first public key of a first certificate authority and a second public key of a second certificate authority are registered in the mobile unit authentication means,
A first certificate, a first secret key, and first identification data for identifying the mobile object are registered in the storage unit of the mobile object,
The control means for controlling the operation of the mobile body includes a second certificate, a second secret key, the first identification data, and a second for identifying a user who uses the mobile body. Is registered,
A third certificate, a third secret key, and the second identification data are registered in the starting device possessed by the user,
The authentication means verifies the first certificate with the first public key, and when the verification fails, the mobile unit cannot be started, and when the verification is successful, the first certificate Acquiring and storing the third public key of the storage means from the storage means, generating and storing predetermined random data, supplying the storage means,
The storage means combines the random data and the first identification data, and supplies signature data digitally signed with the first secret key to the authentication means,
The authentication means decodes the signature data digitally signed with the third public key, compares the obtained random data with the stored random data, and if the data does not match, the movement Storing the first identification data when disabling and matching the body,
The authentication means verifies the second certificate with the first public key, and when the verification fails, makes the mobile unit impossible to start, and when the verification succeeds, the second certificate Obtaining and storing a fourth public key of the control means, generating and storing predetermined random data, supplying to the control means,
The control means supplies the signature data digitally signed with the second secret key by combining the random data, the first identification data, and the second identification data to the authentication means,
The authenticating means decodes the signature data digitally signed with the fourth public key, compares the obtained random data with the stored random data, and if they do not match, the move When the body is not able to start and matches, the obtained first identification data is compared with the stored first identification data, and when they do not match, the moving body cannot be started. And store the second identification data when they match,
The authentication means verifies the third certificate with the second public key, and when the verification fails, makes the mobile unit impossible to start, and when the verification succeeds, the third certificate The fifth public key of the user is acquired from and stored, and predetermined random data is generated and stored, and supplied to the starting device,
The starter unit supplies signature data digitally signed with the third secret key by combining the random data and the second identification data to the authentication unit;
The authentication means decodes the signature data digitally signed with the fifth public key, compares the obtained random data with the stored random data, and if the data does not match, the movement When the body is not allowed to start and matches, the obtained second identification data is compared with the stored second identification data, and when they do not match, the moving body cannot be started. If the two match, the mobile object can be started.

情報を記憶する記憶手段と、認証処理を実行する認証手段と、前記移動体の作動を制御する制御手段と、前記移動体を始動するための始動装置との通信を制御する通信手段とを備える移動体の改造および盗難を防止する移動体盗難防止方法であって、
前記移動体の認証手段に、第１の認証局の第１の公開鍵と、第２の認証局の第２の公開鍵とが登録され、
前記移動体の前記記憶手段に、第１の証明書と、第１の秘密鍵と、前記移動体を識別するための第１の識別データが登録され、
前記移動体の作動を制御する前記制御手段に、第２の証明書と、第２の秘密鍵と、前記第１の識別データと、前記移動体を利用する利用者を識別するための第２の識別データが登録され、
前記利用者が所持する前記始動装置に、利用者を識別するための利用者ＩＤと、第３の秘密鍵と、前記第２の識別データが登録され、
前記認証手段は、前記第１の証明書を前記第１の公開鍵で検証し、検証が失敗したとき、前記移動体の始動を不可能にし、検証が成功したとき、前記第１の証明書から前記記憶手段の第３の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、
前記記憶手段は、前記ランダムデータと前記第１の識別データを結合して前記第１の秘密鍵でデジタル署名した署名データを前記認証手段に供給し、
前記認証手段は、前記第３の公開鍵で前記デジタル署名された前記署名データをデコードし、得られたランダムデータと、記憶しておいた前記ランダムデータとを比較し、一致しないとき、前記移動体の始動を不可能にし、一致するとき、前記第１の識別データを記憶し、
前記認証手段は、前記第２の証明書を前記第１の公開鍵で検証し、検証が失敗したとき、前記移動体の始動を不可能にし、検証が成功したとき、前記第２の証明書から前記制御手段の第４の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、前記制御手段に供給し、
前記制御手段は、前記ランダムデータと前記第１の識別データと前記第２の識別データを結合して前記第２の秘密鍵でデジタル署名した署名データを前記認証手段に供給し、
前記認証手段は、前記第４の公開鍵で前記デジタル署名された前記署名データをデコードし、得られたランダムデータと、記憶しておいた前記ランダムデータとを比較し、一致しないとき、前記移動体の始動を不可能にし、一致するとき、得られた前記第１の識別データと、記憶しておいた前記第１の識別データを比較し、一致しないとき、前記移動体の始動を不可能にし、一致するとき、前記第２の識別データを記憶し、
前記始動装置は、前記利用者ＩＤを前記通信手段を介して前記認証手段に供給し、
前記認証手段は、前記利用者ＩＤを前記第２の認証局に送信し、
前記第２の認証局は、前記利用者ＩＤの有効性を判定し、有効でないとき、前記認証装置を介して前記移動体を始動不可能にし、有効であるとき、第３の証明書を前記認証手段に送信し、
前記認証手段は、前記第３の証明書を前記第２の公開鍵で検証し、検証が失敗したとき、前記移動体の始動を不可能にし、検証が成功したとき、前記第３の証明書から前記利用者の第５の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、前記始動装置に供給し、
前記始動装置は、前記ランダムデータと前記第２の識別データを結合して前記第３の秘密鍵でデジタル署名した署名データを前記認証手段に供給し、
前記認証手段は、前記第５の公開鍵で前記デジタル署名された前記署名データをデコードし、得られたランダムデータと、記憶しておいた前記ランダムデータとを比較し、一致しないとき、前記移動体の始動を不可能にし、一致するとき、得られた前記第２の識別データと、記憶しておいた前記第２の識別データを比較し、一致しないとき、前記移動体の始動を不可能にし、一致するとき、前記移動体を始動可能にする
ことを特徴とする移動体盗難防止方法。Storage means for storing information, authentication means for executing authentication processing, control means for controlling the operation of the moving body, and communication means for controlling communication with a starting device for starting the moving body A mobile theft prevention method for preventing modification and theft of a mobile body,
A first public key of a first certificate authority and a second public key of a second certificate authority are registered in the mobile unit authentication means,
A first certificate, a first secret key, and first identification data for identifying the mobile object are registered in the storage unit of the mobile object,
The control means for controlling the operation of the mobile body includes a second certificate, a second secret key, the first identification data, and a second for identifying a user who uses the mobile body. Is registered,
A user ID for identifying a user, a third secret key, and the second identification data are registered in the starting device possessed by the user,
The authentication means verifies the first certificate with the first public key, and when the verification fails, the mobile unit cannot be started, and when the verification is successful, the first certificate To obtain and store a third public key of the storage means, generate and store predetermined random data,
The storage means combines the random data and the first identification data to supply signature data digitally signed with the first secret key to the authentication means,
The authentication means decodes the signature data digitally signed with the third public key, compares the obtained random data with the stored random data, and if the data does not match, the movement Storing the first identification data when disabling and matching the body,
The authentication means verifies the second certificate with the first public key, and when the verification fails, makes the mobile unit impossible to start, and when the verification succeeds, the second certificate Obtaining and storing a fourth public key of the control means, generating and storing predetermined random data, supplying to the control means,
The control means supplies the signature data digitally signed with the second secret key by combining the random data, the first identification data, and the second identification data to the authentication means,
The authenticating means decodes the signature data digitally signed with the fourth public key, compares the obtained random data with the stored random data, and if they do not match, the move When the body is not able to start and matches, the obtained first identification data is compared with the stored first identification data, and when they do not match, the moving body cannot be started. And store the second identification data when they match,
The starter supplies the user ID to the authentication unit via the communication unit,
The authentication means transmits the user ID to the second certificate authority,
The second certificate authority determines the validity of the user ID. If the user ID is not valid, the second certificate authority makes the mobile unit unstartable via the authentication device. Sent to the authentication means,
The authentication means verifies the third certificate with the second public key, and when the verification fails, makes the mobile unit impossible to start, and when the verification succeeds, the third certificate The fifth public key of the user is acquired from and stored, and predetermined random data is generated and stored, and supplied to the starting device,
The starter unit supplies signature data digitally signed with the third secret key by combining the random data and the second identification data to the authentication unit;
The authentication means decodes the signature data digitally signed with the fifth public key, compares the obtained random data with the stored random data, and if the data does not match, the movement When the body is not allowed to start and matches, the obtained second identification data is compared with the stored second identification data, and when they do not match, the moving body cannot be started. If the two match, the mobile object can be started.

情報を記憶する記憶手段と、認証処理を実行する認証手段と、前記移動体の作動を制御する制御手段と、前記移動体を始動するための始動装置との通信を制御する通信手段とを備える移動体の改造および盗難を防止する移動体盗難防止プログラムであって、
前記移動体の認証手段に、第１の認証局の第１の公開鍵と、第２の認証局の第２の公開鍵とを登録し、
前記移動体の前記記憶手段に、第１の証明書と、第１の秘密鍵と、前記移動体を識別するための第１の識別データを登録し、
前記移動体の作動を制御する前記制御手段に、第２の証明書と、第２の秘密鍵と、前記第１の識別データと、前記移動体を利用する利用者を識別するための第２の識別データを登録し、
前記利用者が所持する前記始動装置に、第３の証明書と、第３の秘密鍵と、前記第２の識別データを登録し、
前記認証手段に、前記第１の証明書を前記第１の公開鍵で検証し、検証が失敗したとき、前記移動体の始動を不可能にし、検証が成功したとき、前記第１の証明書から前記記憶手段の第３の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、前記記憶手段に供給する処理を実行させ、
前記記憶手段に、前記ランダムデータと前記第１の識別データを結合して前記第１の秘密鍵でデジタル署名した署名データを前記認証手段に供給する処理を実行させ、
前記認証手段に、前記第３の公開鍵で前記デジタル署名された前記署名データをデコードし、得られたランダムデータと、記憶しておいた前記ランダムデータとを比較し、一致しないとき、前記移動体の始動を不可能にし、一致するとき、前記第１の識別データを記憶する処理を実行させ、
前記認証手段に、前記第２の証明書を前記第１の公開鍵で検証し、検証が失敗したとき、前記移動体の始動を不可能にし、検証が成功したとき、前記第２の証明書から前記制御手段の第４の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、前記制御手段に供給する処理を実行させ、
前記制御手段に、前記ランダムデータと前記第１の識別データと前記第２の識別データを結合して前記第２の秘密鍵でデジタル署名した署名データを前記認証手段に供給する処理を実行させ、
前記認証手段に、前記第４の公開鍵で前記デジタル署名された前記署名データをデコードし、得られたランダムデータと、記憶しておいた前記ランダムデータとを比較し、一致しないとき、前記移動体の始動を不可能にし、一致するとき、得られた前記第１の識別データと、記憶しておいた前記第１の識別データを比較し、一致しないとき、前記移動体の始動を不可能にし、一致するとき、前記第２の識別データを記憶する処理を実行させ、
前記認証手段に、前記第３の証明書を前記第２の公開鍵で検証し、検証が失敗したとき、前記移動体の始動を不可能にし、検証が成功したとき、前記第３の証明書から前記利用者の第５の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、前記始動装置に供給する処理を実行させ、
前記始動装置に、前記ランダムデータと前記第２の識別データを結合して前記第３の秘密鍵でデジタル署名した署名データを前記認証手段に供給する処理を実行させ、
前記認証手段に、前記第５の公開鍵で前記デジタル署名された前記署名データをデコードし、得られたランダムデータと、記憶しておいた前記ランダムデータとを比較し、一致しないとき、前記移動体の始動を不可能にし、一致するとき、得られた前記第２の識別データと、記憶しておいた前記第２の識別データを比較し、一致しないとき、前記移動体の始動を不可能にし、一致するとき、前記移動体を始動可能にする処理を実行させる
ことを特徴とする移動体盗難防止プログラム。Storage means for storing information, authentication means for executing authentication processing, control means for controlling the operation of the moving body, and communication means for controlling communication with a starting device for starting the moving body A mobile anti-theft program for preventing mobile object modification and theft,
Registering the first public key of the first certificate authority and the second public key of the second certificate authority in the authentication means of the mobile unit;
Registering a first certificate, a first secret key, and first identification data for identifying the mobile in the storage means of the mobile;
The control means for controlling the operation of the mobile body includes a second certificate, a second secret key, the first identification data, and a second for identifying a user who uses the mobile body. Register the identification data of
A third certificate, a third secret key, and the second identification data are registered in the starting device possessed by the user;
The authentication means verifies the first certificate with the first public key. When the verification fails, the mobile unit cannot be started, and when the verification is successful, the first certificate The third public key of the storage means is acquired and stored from, the predetermined random data is generated and stored, and the process of supplying to the storage means is executed,
Causing the storage means to execute a process of combining the random data and the first identification data and supplying signature data digitally signed with the first secret key to the authentication means;
The authentication means decodes the signature data digitally signed with the third public key, and compares the obtained random data with the stored random data. Making the body impossible to start, and when matching, causing the first identification data to be stored;
The authentication means verifies the second certificate with the first public key. When the verification fails, the mobile unit cannot be started, and when the verification succeeds, the second certificate Acquiring and storing the fourth public key of the control means, generating and storing predetermined random data, and causing the control means to execute processing,
Causing the control means to execute processing for combining the random data, the first identification data, and the second identification data and supplying signature data digitally signed with the second secret key to the authentication means;
The authenticating means decodes the signature data digitally signed with the fourth public key, compares the obtained random data with the stored random data, and if they do not match, the movement When the body is not able to start and matches, the obtained first identification data is compared with the stored first identification data, and when they do not match, the moving body cannot be started. And when they match, execute a process of storing the second identification data,
The authentication means verifies the third certificate with the second public key. When the verification fails, the mobile unit cannot be started, and when the verification is successful, the third certificate The fifth public key of the user is acquired from and stored, predetermined random data is generated and stored, and the process of supplying to the starter is executed.
Causing the starter to execute a process of combining the random data and the second identification data and supplying signature data digitally signed with the third secret key to the authentication unit;
The authentication means decodes the signature data digitally signed with the fifth public key, and compares the obtained random data with the stored random data. When the body is not allowed to start and matches, the obtained second identification data is compared with the stored second identification data, and when they do not match, the moving body cannot be started. And a process for making the moving body startable when the two coincide with each other.

情報を記憶する記憶手段と、認証処理を実行する認証手段と、前記移動体の作動を制御する制御手段と、前記移動体を始動するための始動装置との通信を制御する通信手段とを備える移動体の改造および盗難を防止する移動体盗難防止プログラムであって、
前記移動体の認証手段に、第１の認証局の第１の公開鍵と、第２の認証局の第２の公開鍵とを登録し、
前記移動体の前記記憶手段に、第１の証明書と、第１の秘密鍵と、前記移動体を識別するための第１の識別データを登録し、
前記移動体の作動を制御する前記制御手段に、第２の証明書と、第２の秘密鍵と、前記第１の識別データと、前記移動体を利用する利用者を識別するための第２の識別データを登録し、
前記利用者が所持する前記始動装置に、利用者を識別するための利用者ＩＤと、第３の秘密鍵と、前記第２の識別データを登録し、
前記認証手段に、前記第１の証明書を前記第１の公開鍵で検証し、検証が失敗したとき、前記移動体の始動を不可能にし、検証が成功したとき、前記第１の証明書から前記記憶手段の第３の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶する処理を実行させ、
前記記憶手段に、前記ランダムデータと前記第１の識別データを結合して前記第１の秘密鍵でデジタル署名した署名データを前記認証手段に供給する処理を実行させ、
前記認証手段に、前記第３の公開鍵で前記デジタル署名された前記署名データをデコードし、得られたランダムデータと、記憶しておいた前記ランダムデータとを比較し、一致しないとき、前記移動体の始動を不可能にし、一致するとき、前記第１の識別データを記憶する処理を実行させ、
前記認証手段に、前記第２の証明書を前記第１の公開鍵で検証し、検証が失敗したとき、前記移動体の始動を不可能にし、検証が成功したとき、前記第２の証明書から前記制御手段の第４の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、前記制御手段に供給する処理を実行させ、
前記制御手段に、前記ランダムデータと前記第１の識別データと前記第２の識別データを結合して前記第２の秘密鍵でデジタル署名した署名データを前記認証手段に供給する処理を実行させ、
前記認証手段に、前記第４の公開鍵で前記デジタル署名された前記署名データをデコードし、得られたランダムデータと、記憶しておいた前記ランダムデータとを比較し、一致しないとき、前記移動体の始動を不可能にし、一致するとき、得られた前記第１の識別データと、記憶しておいた前記第１の識別データを比較し、一致しないとき、前記移動体の始動を不可能にし、一致するとき、前記第２の識別データを記憶する処理を実行させ、
前記始動装置に、前記利用者ＩＤを前記通信手段を介して前記認証手段に供給する処理を実行させ、
前記認証手段に、前記利用者ＩＤを前記第２の認証局に送信する処理を実行させ、
前記第２の認証局に、前記利用者ＩＤの有効性を判定し、有効でないとき、前記認証装置を介して前記移動体を始動不可能にし、有効であるとき、第３の証明書を前記認証手段に送信する処理を実行させ、
前記認証手段に、前記第３の証明書を前記第２の公開鍵で検証し、検証が失敗したとき、前記移動体の始動を不可能にし、検証が成功したとき、前記第３の証明書から前記利用者の第５の公開鍵を取得して記憶し、所定のランダムデータを生成、記憶し、前記始動装置に供給する処理を実行させ、
前記始動装置に、前記ランダムデータと前記第２の識別データを結合して前記第３の秘密鍵でデジタル署名した署名データを前記認証手段に供給する処理を実行させ、
前記認証手段に、前記第５の公開鍵で前記デジタル署名された前記署名データをデコードし、得られたランダムデータと、記憶しておいた前記ランダムデータとを比較し、一致しないとき、前記移動体の始動を不可能にし、一致するとき、得られた前記第２の識別データと、記憶しておいた前記第２の識別データを比較し、一致しないとき、前記移動体の始動を不可能にし、一致するとき、前記移動体を始動可能にする処理を実行させる
ことを特徴とする移動体盗難防止プログラム。Storage means for storing information, authentication means for executing authentication processing, control means for controlling the operation of the moving body, and communication means for controlling communication with a starting device for starting the moving body A mobile anti-theft program for preventing mobile object modification and theft,
Registering the first public key of the first certificate authority and the second public key of the second certificate authority in the authentication means of the mobile unit;
Registering a first certificate, a first secret key, and first identification data for identifying the mobile in the storage means of the mobile;
The control means for controlling the operation of the mobile body includes a second certificate, a second secret key, the first identification data, and a second for identifying a user who uses the mobile body. Register the identification data of
A user ID for identifying the user, a third secret key, and the second identification data are registered in the starting device possessed by the user;
The authentication means verifies the first certificate with the first public key. When the verification fails, the mobile unit cannot be started. When the verification is successful, the first certificate To obtain and store the third public key of the storage means, to generate and store predetermined random data,
Causing the storage means to execute processing for combining the random data and the first identification data and supplying signature data digitally signed with the first secret key to the authentication means;
The authentication means decodes the signature data digitally signed with the third public key, and compares the obtained random data with the stored random data. Making the body impossible to start, and when matching, causing the first identification data to be stored;
The authentication means verifies the second certificate with the first public key. When the verification fails, the mobile unit cannot be started, and when the verification succeeds, the second certificate Acquiring and storing the fourth public key of the control means, generating and storing predetermined random data, and causing the control means to execute processing,
Causing the control means to execute processing for combining the random data, the first identification data, and the second identification data and supplying signature data digitally signed with the second secret key to the authentication means;
The authenticating means decodes the signature data digitally signed with the fourth public key, compares the obtained random data with the stored random data, and if they do not match, the movement When the body is not able to start and matches, the obtained first identification data is compared with the stored first identification data, and when they do not match, the moving body cannot be started. And when they match, execute a process of storing the second identification data,
Causing the starter to execute a process of supplying the user ID to the authentication unit via the communication unit;
Causing the authentication means to execute a process of transmitting the user ID to the second certificate authority;
The second certification authority determines the validity of the user ID, and if it is not valid, makes the mobile unit unstartable via the authentication device, and if valid, gives a third certificate to the second certificate authority. Execute the process to send to the authentication means,
The authentication means verifies the third certificate with the second public key. When the verification fails, the mobile unit cannot be started, and when the verification is successful, the third certificate The fifth public key of the user is acquired from and stored, predetermined random data is generated and stored, and the process of supplying to the starter is executed.
Causing the starter to execute a process of combining the random data and the second identification data and supplying signature data digitally signed with the third secret key to the authentication unit;
The authentication means decodes the signature data digitally signed with the fifth public key, and compares the obtained random data with the stored random data. When the body is not allowed to start and matches, the obtained second identification data is compared with the stored second identification data, and when they do not match, the moving body cannot be started. to, when a matching, mobile anti-theft program characterized by executing a process that allows starting the mobile body.