JP6603970B2 - 電子キー管理装置、電子キー管理システム、電子キー管理方法、およびプログラム - Google Patents

Description

本発明は、電子キー管理装置、電子キー管理システム、電子キー管理方法、およびプログラムに関する。

近年、車両の鍵として、電子キーが普及している。電子キーと車両とは、車両に搭載されているイモビライザによって事前に対応付けられている。車両と電子キーとの対応付けは、例えば、車両が納車されるときや、電子キーが紛失されたときに、ディーラー店において行われる。ディーラー店には、イモビライザと有線で接続される診断機が用意されており、診断機から必要な情報が入力された場合、イモビライザの動作モードが、車両と電子キーとの対応付けを実行可能な登録モードに切り替えられる。登録モードを実行中であるイモビライザが、電子キーから固有の鍵情報を受信することにより、車両と電子キーとが対応付けられる。

これに関連して、登録モードに切り替えるために必要な情報をセンターで管理しており、診断機が、センターと所定の処理を実行した後、センターから登録モードに切り替えるために必要な情報を受信する技術が知られている（例えば、特許文献１参照）。

特許第５２５７８１４号公報

しかしながら、従来の技術では、悪意ある第三者により無断で車両に診断機が接続され、診断機を用いてセンターと所定の処理が実行され、不正に登録モードに切り替えられる場合があった。例えば、本来の正規所有者の鍵情報を無効化するとともに、別の新しい鍵情報を登録する手口（いわゆる、イモビカッター）が問題となっている。このような手口により、この第三者により用意された電子キーが車両と対応付けられてしまい、車両のセキュリティ性が低下するという問題があった。

本発明は、このような事情を考慮してなされたものであり、車両のセキュリティ性を向上させる電子キー管理装置、電子キー管理システム、電子キー管理方法、およびプログラムを提供することを目的の一つとする。

（１）：所定のリクエストに応じて、車両の電子キーを車載認証装置に登録させる登録モード、或いは前記車載認証装置に登録されている前記電子キーを無効化する無効化モードに遷移する許可を得るための第１実行キーと第２実行キーを少なくとも生成する生成部と、前記生成部により生成された前記第１実行キーを第１端末装置に送信し、前記生成部により生成された前記第２実行キーを前記第１端末装置と異なる端末装置であって、正規所有者の端末装置として予め登録されている第２端末装置に送信する通信制御部と、を備える電子キー管理装置。

（２）：（１）において、前記生成部は、前記第１実行キーおよび前記第２実行キーと関連する実行キーを生成し、前記通信制御部は、前記実行キーを前記車載認証装置に送信する。

（３）：（２）において、前記生成部は、前記実行キーを生成し、前記実行キーを分割して前記第１実行キーと前記第２実行キーを生成する。

（４）：（２）または（３）において、前記通信制御部は、前記生成部により生成された前記実行キーを、前記登録モードあるいは前記無効化モードの実行リクエストを送信した前記車載認証装置に送信する。

（５）：（１）から（４）のいずれかにおいて、前記通信制御部は、前記第１端末装置あるいは前記第２端末装置のうち少なくとも一方に対して、前記第１実行キーと前記第２実行キーとを連結するときの順序を示す情報を送信する。

（６）：（１）から（５）のいずれかの電子キー管理装置と、前記第１実行キーおよび前記第２実行キーが入力された場合、前記第１実行キーおよび前記第２実行キーに基づく認証を行い、認証が成功した場合、前記登録モードあるいは前記無効化モードを実行する前記車載認証装置と、を備える電子キー管理システム。

（７）：（２）から（４）のいずれかの電子キー管理装置と、前記実行キー、前記第１実行キー、および前記第２実行キーが入力された場合、前記第１実行キーおよび前記第２実行キーに基づく情報と、前記実行キーとが合致するか否かを判定し、両者が合致する場合に認証が成功したと判定する前記車載認証装置と、を備える電子キー管理システム。

（８）：コンピュータが、所定のリクエストに応じて、車両の電子キーを車載認証装置に登録させる登録モード、或いは前記車載認証装置に登録されている前記電子キーを無効化する無効化モードに遷移する許可を得るための第１実行キーと第２実行キーを少なくとも生成し、生成された前記第１実行キーを第１端末装置に送信し、生成された前記第２実行キーを前記第１端末装置と異なる端末装置であって、正規所有者の端末装置として予め登録されている第２端末装置に送信する、電子キー管理方法。

（９）：コンピュータに、所定のリクエストに応じて、車両の電子キーを車載認証装置に登録させる登録モード、或いは前記車載認証装置に登録されている前記電子キーを無効化する無効化モードに遷移する許可を得るための第１実行キーと第２実行キーを少なくとも生成させ、生成された前記第１実行キーを第１端末装置に送信させ、生成された前記第２実行キーを前記第１端末装置と異なる端末装置であって、正規所有者の端末装置として予め登録されている第２端末装置に送信させる、プログラム。

（１）〜（９）によれば、車両のセキュリティ性を向上させる。

実施形態に係る電子キー管理システム１の構成図である。 診断機３０の構成図である。 管理サーバ１００の構成図である。 アドレス管理情報１３１の内容の一例を示す図である。 イモビライザ６０の構成図である。 電子キー管理システム１による処理の流れを示すシーケンス図である。 実行キー入力画面の一例を示す図である。 実行キー入力画面の一例を示す図である。

以下、図面を参照し、本発明の電子キー管理装置、電子キー管理システム、電子キー管理方法、およびプログラムの実施形態について説明する。

［全体構成］
図１は、実施形態に係る電子キー管理システム１の構成図である。電子キー管理システム１は、例えば、電子キー１０と、ユーザ端末２０と、診断機３０と、ディーラー端末４０と、通信ユニット５０と、イモビライザ６０と、管理サーバ１００とを備える。ユーザ端末２０と、ディーラー端末４０と、通信ユニット５０と、管理サーバ１００とは、ネットワークＮＷを用いて互いに通信する。ネットワークＮＷは、例えば、ＷＡＮ（Wide Area Network）、ＬＡＮ（Local Area Network）、インターネット、プロバイダ装置、無線基地局、専用回線などのうちの一部または全部を含む。

通信ユニット５０およびイモビライザ６０は、車両７０に搭載されている。イモビライザ６０は、認証処理を行う車載装置（すなわち、車載認証装置）の一例である。車載認証装置は、認証処理を行う車載装置であればよく、イモビライザ以外の装置であっても構わない。

車両７０は、例えば、正規所有者Ａにより購入された車両である。以下に説明する電子キー１０の登録作業および無効化作業は、例えば、ディーラー店において、納車時、追加登録時、登録抹消時のいずれかにおいて行われる。追加登録時とは、電子キーを紛失したときに新しい電子キーを登録するときや、２つ目以降の新しい電子キーを登録するとき等である。登録抹消時とは、紛失した電子キーを登録から抹消するとき等である。以下ではこれらを区別せずに説明する。また以下では、登録作業や無効化作業はディーラー店の販売員Ｂにより行われる例について説明する。

電子キー１０は、車両７０に登録するために用意された電子キーである。電子キー１０には、自身が備える記憶部に鍵情報が格納されている。鍵情報は、例えば、電子キー１０を識別するための識別情報である。電子キー１０には、所定のスイッチが設けられており、このスイッチが操作されることにより、電子キー１０の記憶部に記憶されている鍵情報が送信される。

ユーザ端末２０は、正規所有者Ａの使用する端末装置である。ユーザ端末２０は、例えば、タブレット端末、スマートフォン、ＰＤＡ（Personal Digital Assistant）、ノートパソコン等である。

診断機３０は、例えば、専用の有線ケーブルを用いてイモビライザ６０と接続された状態で、車両の故障等を診断する。なお、診断機３０は、イモビライザ６０と接続される際に、他のＥＣＵを介して間接又は直接的に接続されてもよい。実施形態では、イモビライザ６０に対して、所定モードを実行させるためのツールとして用いられる。

ディーラー端末４０は、ディーラー店の販売員Ｂの使用する端末装置である。ディーラー端末４０は、例えば、ディーラー店に設置されるデスクトップパソコンやノートパソコンであって、タブレット端末、スマートフォン、ＰＤＡ等であってもよい。

通信ユニット５０は、例えば、セルラー網やＷｉ−Ｆｉ網を介してネットワークＮＷに接続するための無線通信モジュールである。通信ユニット５０は、イモビライザ６０と接続されており、管理サーバ１００等の外部装置から受信した情報をイモビライザ６０に出力する。

イモビライザ６０は、電子キー１０の登録処理により登録された電子キーの鍵情報を記憶部（後述）に保持しており、電子キー１０との間で鍵情報の照合を行う。具体的にいうと、イモビライザ６０は、登録されている鍵情報と、電子キー１０から受信した鍵情報とを照合し、合致するか否かを判定する。この判定処理により電子キー１０から受信した鍵情報が、記憶部に保持している鍵情報と合致すると判定された場合（電子キー１０が正規なものであることが認証された場合すなわち認証が成功した場合）、イモビライザ６０は、車両７０のドアの施錠あるいは解除や、車両７０のエンジンの始動等の所定動作を許可する。一方、登録されていない電子キー１０から受信した鍵情報では認証が成功しない。この場合、イモビライザ６０は、所定動作を許可しない。

管理サーバ１００は、以下に説明する電子キー１０の登録処理あるいは無効化処理において、販売員Ｂが診断機３０に入力する実行キーを発行する。実行キーとは、登録モードあるいは無効化モードに遷移する許可を得るための情報である。登録モードとは、車両７０に専用の電子キーとして電子キー１０をイモビライザ６０に登録するモードである。無効化モードとは、イモビライザ６０に車両７０に専用の電子キーとして登録されている電子キーを無効化するモードである。ディーラー店の販売員Ｂは、この実行キーに基づく情報（詳しくは、後述）を用いて、イモビライザ６０を登録モードに切り替えた後、電子キー１０と車両７０との対応付けを行う。また、ディーラーの販売員Ｂは、実行キーに基づく情報を用いて、イモビライザ６０を無効化モードに切り替えた後、電子キー１０と車両７０との対応付けをキャンセルする。

［診断機３０］
図２は、診断機３０の構成図である。図２に示す通り、診断機３０は、接続部３１と、入力部３２と、表示部３３と、記憶部３４と、制御部３５と、通信部３６とを備える。接続部３１は、有線ケーブルが接続されるコネクタである。接続部３１は、有線ケーブルを介して、イモビライザ６０と接続される。入力部３２は、各種キー、ボタン等である。表示部３３は、ＬＣＤ（Liquid Crystal Display）等である。記憶部３４は、ＲＡＭ（Random Access Memory）やＲＯＭ（Read Only Memory）、フラッシュメモリなどにより実現される。制御部３５は、例えば販売員Ｂにより入力部３２を用いて入力された情報に基づいて、イモビライザ６０と通信し、イモビライザ６０から受信した情報に基づいて、所定の処理を実行する。通信部３６は、例えば、セルラー網やＷｉ−Ｆｉ網を介してネットワークＮＷに接続するための無線通信モジュール（通信機）である。

［管理サーバ１００］
イモビライザ６０に先立って、管理サーバ１００の説明を先にする。図３は、管理サーバ１００の構成図である。図３に示す通り、管理サーバ１００は、通信部１１０と、記憶部１３０と、制御部１５０とを備える。通信部１１０は、例えば、ＮＩＣ（Network Interface Card）などの通信インターフェースを含む。記憶部１３０は、ＲＡＭやＲＯＭ、ＳＳＤ（Solid State Drive）などのフラッシュメモリ、ＨＤＤ（Hard Disk Drive）などである。記憶部１３０は、例えば、アドレス管理情報１３１、実行キー生成情報１３２などの情報が格納される。実行キー生成情報１３２は、実行キーを生成するために必要な情報である。例えば、実行キー生成情報１３２は、入力情報に基づいて実行キーを導出する演算式やプログラム等を含む。

図４は、アドレス管理情報１３１の内容の一例を示す図である。図４に示す通り、アドレス管理情報１３１は、例えば、車体ナンバーに対して、ディーラーメールアドレスと、ユーザメールアドレスと、実行キーとを対応付けた情報である。車体ナンバーは、各車両７０を識別する識別情報であって、例えば車両７０に取り付けられている（あるいは取り付けらえる予定の）ナンバープレートに表示されている番号である。ディーラーメールアドレスは、ディーラー端末４０によりメールを受信可能なメールアドレスである。ユーザメールアドレスは、ユーザ端末２０によりメールを受信可能なメールアドレスである。実行キーは、例えば、対応する車体ナンバー等に基づいて管理サーバ１００により生成された実行キーである。なお、ディーラーメールアドレスやユーザメールアドレスは、ディーラー端末４０やユーザ端末２０へ情報を送信する際のアドレスの一例であって、実行キーが送受信可能なものであれば特にメールアドレスに限らない。

制御部１５０は、例えば、登録部１５１と、実行キー生成部１５２と、分割部１５３と、通信制御部１５４とを備える。これらの構成は、例えば、ＣＰＵ（Central Processing Unit）などのハードウェアプロセッサがプログラム（ソフトウェア）を実行することにより実現される。実行キー生成部１５２と分割部１５３とを合わせたものが、「生成部」の一例である。

登録部１５１は、ディーラー端末４０から受信する車体ナンバーに、ディーラー端末４０から受信するディーラーメールアドレスと、ユーザ端末２０から受信するユーザメールアドレスとを対応付けた情報を、アドレス管理情報１３１の一部として、記憶部１３０に格納する。

実行キー生成部１５２は、例えば、イモビライザ６０から実行リクエストに応じて、実行キー生成情報１３２を用いて、実行キーＫを生成する。例えば、実行キー生成情報１３２は、アドレス管理情報１３１に登録されている車体ナンバーなどの静的情報や、登録日の日時情報等の動的情報に基づいて、実行キーＫを生成する。実行キー生成部１５２は、生成した実行キーＫを、対応する車体ナンバーに対応付けて、記憶部１３０のアドレス管理情報１３１に格納する。

分割部１５３は、実行キー生成部１５２により生成された実行キーＫに基づいて、第１実行キーＫ１と第２実行キーＫ２を生成する。分割部１５３は、例えば、実行キーＫの数字列（文字を含むものであってもよい）を前半と後半の二つに分割し、前半の数字列を第１実行キーＫ１とし、後半の数字列を第２実行キーＫ２とする。実行キーＫは、例えば、８桁数字のピンコードである。この場合、分割部１５３は、実行キーＫを４桁数字に分割し、前半の４桁を第１実行キーＫ１、後半の４桁を第２実行キーＫ２とする。なお、第１実行キーＫ１と第２実行キーＫ２は、実行キーＫと関連するものであればよく、分割された情報に限られない。例えば、第１実行キーＫ１と第２実行キーＫ２には、実行キーＫの数字列と、実行キーＫを合成する方法を示す情報とが含まれていてもよい。

通信制御部１５４は、実行キー生成部１５２により生成された実行キーＫを、登録モードあるいは無効化モードの実行リクエストを送信したイモビライザ６０に送信する。以下、イモビライザ６０に送信される実行キーＫを、実行キーＫｉと記す。実行キーＫｉは、実行キーＫと同一の情報である。

また、通信制御部１５４は、分割部１５３により生成された第１実行キーＫ１と第２実行キーＫ２を、それぞれ、ディーラー端末４０とユーザ端末２０に送信する。以下、通信制御部１５４により、第１実行キーＫ１がディーラー端末４０に送信され、第２実行キーＫ２がユーザ端末２０に送信される例について説明するが、各情報の送信先は逆であってもよい。例えば、通信制御部１５４は、実行キー生成部１５２により生成された実行キーＫに対応付けられているディーラーメールアドレスをアドレス管理情報１３１から読み出し、読み出したディーラーメールアドレスに第１実行キーＫ１を含むメールを送信する。また、通信制御部１５４は、実行キー生成部１５２により生成された実行キーＫに対応付けられているユーザメールアドレスをアドレス管理情報１３１から読み出し、読み出したユーザメールアドレスに第２実行キーＫ２を含むメールを送信する。ディーラー端末４０あるいはユーザ端末２０は、受信した第１実行キーＫ１あるいは第２実行キーＫ２を自身の表示部に表示させる。この表示部が操作者により参照され、操作者により入力部３２に対して入力された実行キーであって、診断機３０からイモビライザ６０に入力する実行キーを、以下、実行キーＫｔ（ｍ）と記す。実行キーＫｔ（ｍ）は、例えば、第１実行キーＫ１の後に続けて第２実行キーＫ２を並べた情報である。

［イモビライザ６０］
図５は、イモビライザ６０の構成図である。図５に示す通り、イモビライザ６０は、接続部６１と、記憶部６３と、制御部６５とを備える。接続部６１は、有線ケーブルが接続されるコネクタである。接続部６１は、有線ケーブルを介して、診断機３０および通信ユニット５０と接続される。記憶部６３は、ＲＡＭやＲＯＭ、フラッシュメモリなどにより実現される。

記憶部６３には、例えば、実行キー情報６３Ａ、鍵情報６３Ｂなどの情報が格納される。実行キー情報６３Ａは、管理サーバ１００から受信した実行キーＫｉを示す情報である。鍵情報６３Ｂは、登録モードにおいて車両７０（つまり、イモビライザ６０）に専用の電子キーとして登録された電子キー１０に割り当てられている識別情報である。鍵情報６３Ｂに含まれる鍵情報は、複数であってもよい。

制御部６５は、例えば、実行キー登録部６５Ａと、実行キー照合部６５Ｂと、電子キー登録部６５Ｃと、電子キー照合部６５Ｄと、電子キー削除部６５Ｅとを備える。これらの構成は、例えば、ＣＰＵなどのハードウェアプロセッサがプログラム（ソフトウェア）を実行することにより実現される。

実行キー登録部６５Ａは、登録モードの実行リクエストが診断機３０から入力された場合、あるいは、無効化モードの実行リクエストが診断機３０から入力された場合、入力された情報を管理サーバ１００に送信する。実行キー登録部６５Ａは、管理サーバ１００から実行キーを受信した場合、実行キー情報６３Ａとして、記憶部６３に格納する。

実行キー照合部６５Ｂは、診断機３０から入力した実行キーＫｔ（ｍ）と、記憶部６３の実行キー情報６３Ａから読み出した実行キーＫｉとを照合する。実行キー照合部６５Ｂは、実行キーＫｔ（ｍ）と実行キーＫｉとが合致するか否かを判定し、両者が合致する場合、診断機３０から入力した実行キーＫｔ（ｍ）を正規なものとして認証する（つまり、認証が成功したと判定する）。一方、照合により両者が合致しないと判定した場合、実行キー照合部６５Ｂは、診断機３０から入力した実行キーＫｔ（ｍ）を正規なものとして認証しない（つまり、認証が成功しないと判定する）。キー同士が合致するとは、キーの示す情報が一致または部分一致することの他、一方のキーを用いて暗号化した情報を他方のキーを用いて復号した場合に正しい情報が得られることなど、種々の意味を含んでよい。以下同様である。

電子キー登録部６５Ｃは、登録モードに遷移して登録処理を実行する実行部である。電子キー登録部６５Ｃは、診断機３０から入力した実行キーＫｔ（ｍ）が実行キー照合部６５Ｂにより正規なものとして認証された場合、診断機３０からの登録モードの実行リクエストに応じて登録モードを実行する。なお、登録モードの実行リクエストは、認証の前に行われてもよいし、後に行われてもよい。電子キー登録部６５Ｃは、登録モードを実行中において電子キー１０から鍵情報を受信した場合、受信した鍵情報を、鍵情報６３Ｂとして、記憶部６３に格納し、登録モードを終了する。

電子キー照合部６５Ｄは、車両キー１０から鍵情報を受信した場合、受信した鍵情報と、記憶部６３の鍵情報６３Ｂとを照合する。電子キー照合部６５Ｄは、照合により両者が合致するか否かを判定し、合致する場合、車両キー１０から受信した鍵情報を正規なものとして認証する。車両キー１０から受信した鍵情報を正規なものとして認証した場合、電子キー照合部６５Ｄは、車両７０のドアの施錠あるいは解除や、車両７０のエンジンの始動等の所定動作を許可する。一方、照合により両者が合致しない場合、電子キー照合部６５Ｄは、車両キー１０から受信した鍵情報を正規なものとして認証しないため、所定動作を許可しない。

電子キー削除部６５Ｅは、無効化モードに遷移して無効化処理を実行する実行部である。電子キー削除部６５Ｅは、実行キー照合部６５Ｂにより診断機３０から入力した実行キーが正規なものとして認証された場合、診断機３０からの登録モードの無効化リクエストに応じて無効化モードを実行する。なお、無効化モードの実行リクエストは、認証の前に行われてもよいし、後に行われてもよい。電子キー削除部６５Ｅは、無効化モードの実行中において電子キー１０から鍵情報を受信した場合、受信した鍵情報が、鍵情報６３Ｂとして、記憶部６３に記憶されているか否かを判定する。電子キー１０から受信した鍵情報が、鍵情報６３Ｂとして記憶部６３に記憶されている場合、電子キー削除部６５Ｅは、電子キー１０から受信した鍵情報を、記憶部６３から削除し、無効化モードを終了する。

［シーケンス図］
図６は、電子キー管理システム１による処理の流れを示すシーケンス図である。以下、登録モードを実行する場合について説明する。まず、販売員Ｂは、ディーラー端末４０を操作して、ディーラーメールアドレスを管理サーバ１００に登録する作業を行う（ステップＳ１１）。これにより、ディーラー端末４０は、入力されたディーラーメールアドレスを、管理サーバ１００に送信する（ステップＳ１２）。管理サーバ１００は、受信したディーラーメールアドレスを、記憶部１３０に格納する（ステップＳ１３）。

また、正規所有者Ａは、ユーザ端末２０を操作して、ユーザメールアドレスを管理サーバ１００に登録する作業を行う（ステップＳ１４）。これにより、ユーザ端末２０は、入力されたユーザメールアドレスを、管理サーバ１００に送信する（ステップＳ１５）。管理サーバ１００は、受信したユーザメールアドレスを、記憶部１３０に格納する（ステップＳ１６）。

次いで、販売員Ｂは、診断機３０を操作して、登録モードの実行開始を指示する（ステップＳ２１）。ここで、販売員Ｂは、車体ナンバーを入力する。診断機３０は、登録モードの実行開始の指示を受け付けると、車体ナンバーとともに、登録モードの実行リクエストを、イモビライザ６０に出力する（ステップＳ２２）。イモビライザ６０は、登録モードの実行リクエストが入力された場合、通信ユニット５０を介して車体ナンバーと共に実行リクエストを管理サーバ１００に送信する（ステップＳ２３）。管理サーバ１００は、登録モードの実行リクエストを受信した場合、車体ナンバーや日時情報等に基づいて、実行キーＫを生成する（ステップＳ２４）。次いで、管理サーバ１００は、生成した実行キーＫを分割して、第１実行キーＫ１と第２実行キーＫ２とを生成する（ステップＳ２５）。

管理サーバ１００は、ステップＳ２４において生成した実行キーＫｉを、通信ユニット５０を介して、イモビライザ６０に送信する（ステップＳ２６）。イモビライザ６０は、受信した実行キーＫｉを、実行キー情報６３Ａとして記憶部６３に格納する（ステップＳ２７）。

管理サーバ１００は、ステップＳ２５において生成した第１実行キーＫ１を、ディーラー端末４０に送信する（ステップＳ２８）。ディーラー端末４０は、受信した第１実行キーＫ１を、自身の表示部に表示させる（ステップＳ２９）。また、管理サーバ１００は、ステップＳ２５において生成した第２実行キーＫ２を、ユーザ端末２０に送信する（ステップＳ３０）。ユーザ端末２０は、受信した第２実行キーＫ２を、自身の表示部に表示させる（ステップＳ３１）。

次いで、診断機３０は、実行キーの入力を受け付ける入力画面（以下、実行キー入力画面と記す）を表示部３３に表示させる（ステップＳ４１）。なお、実行キー入力画面には、実行キー以外の情報であって認証に必要な情報の入力欄が設けられていてもよい。図７は、実行キー入力画面の一例を示す図である。図７に示す通り、実行キー入力画面３７は、第１実行キーの入力欄３７Ａと、第２実行キーの入力欄３７Ｂと、照合アイコン３７Ｃとを含む。第１実行キーの入力欄３７Ａおよび第２実行キーの入力欄３７Ｂは、数字や文字の入力を受け付ける入力欄である。例えば、販売員Ｂが、診断機３０の入力部３２を操作して、ディーラー端末４０に表示されている第１実行キーを入力欄３７Ａに入力し、ユーザ端末２０に表示されている第２実行キーを入力欄３７Ｂに入力し、照合アイコン３７Ｃをクリックする。照合アイコン３７Ｃが操作された場合、診断機３０が、第１実行キーの入力欄３７Ａに入力された情報と、第２実行キーの入力欄３７Ｂに入力された情報とをまとめて、イモビライザ６０に出力する（ステップＳ４２）。

図６に戻って、イモビライザ６０は、診断機３０から入力した実行キーＫｔ（ｍ）と、ステップＳ２７において記憶部６３に格納された実行キーＫｉとを照合し、両者が合致するか否かを判定する（ステップＳ４３）。両者が合致しない場合、イモビライザ６０は、認証が失敗したことを示す情報を、診断機３０に出力し（ステップＳ４４）、診断機３０は、入力された情報に基づいて、認証が失敗したことを示す画面を表示部３３に表示させる（ステップＳ４５）。

一方、ステップＳ４３において両者が合致した場合、イモビライザ６０は、登録モードを実行し（ステップＳ４６）、登録モードを実行中であること（あるいは、実行キーの認証が成功したこと）を示す情報を診断機３０に出力する（ステップＳ４７）。診断機３０は、受信した情報に基づいて、登録モードを実行中であること（あるいは、実行キーの認証が成功したこと）を示す画面を表示部３３に表示させる（ステップＳ４８）。

ステップＳ４８において表示された画面を確認した場合、販売員Ｂは、車両キー１０のスイッチを操作する（ステップＳ４９）。販売員Ｂの操作を受けて、車両キー１０は、自身が保持する鍵情報を送信する（ステップＳ５０）。イモビライザ６０は、車両キー１０から鍵情報を受信すると、受信した鍵情報を、鍵情報６３Ｂとして、記憶部６３に格納し（ステップＳ５１）、登録モードを終了する（ステップＳ５２）。次いで、イモビライザ６０は、鍵情報を登録したことを示す情報を、診断機３０に送信し（ステップＳ５３）、診断機３０は、受信した情報を表示部３３に表示させる（ステップＳ５４）。

なお、無効化モードを実行する場合も、上述の処理と同様の処理が実行される。例えば、ステップＳ２１において、販売員Ｂにより、無効化モードの実行開始が指示されることにより、無効化モードを実行するための実行キーが生成され、登録モードを実行する場合と同様の処理が実行される。イモビライザ６０は、無効化モードの実行中において、車両キー１０から受信した鍵情報を記憶部６３から削除することにより、専用電子キーの登録から車両キー１０の鍵情報を削除することができる。

以上説明した本実施形態の電子キー管理装置によれば、登録モードあるいは無効化モードに遷移する許可を得るための実行キーを生成する実行キー生成部１５２と、実行キー生成部１５２により生成された実行キーに基づいて、第１実行キーと第２実行キーを生成する分割部１５３と、分割部１５３により生成された第１実行キーをディーラー端末４０に送信し、分割部１５３により生成された第２実行キーをユーザ端末２０に送信する通信制御部１５４と、を備えることにより、イモビライザ６０は、正規所有者Ａに配信される第２実行キーＫ２なしに、登録モードあるいは無効化モードを実行することができない。これにより、正規所有者の許可なしに電子キー１０の鍵情報がイモビライザ６０に登録され、登録された電子キー１０を用いて不正に車両７０が使用されることを防止することができる。その結果、車両のセキュリティ性を向上させることができる。

上記実施形態は、以下のように表現することができる。
記憶装置と、
前記記憶装置に格納されたプログラムを実行するハードウェアプロセッサと、を備え、
前記ハードウェアプロセッサは、前記プログラムを実行することにより、
所定のリクエストに応じて、車両の電子キーを車載認証装置に登録させる登録モード、或いは前記車載認証装置に登録されている前記電子キーを無効化する無効化モードに遷移する許可を得るための第１実行キーと第２実行キーを少なくとも生成し、
生成された前記第１実行キーを第１端末装置に送信し、
生成された前記第２実行キーを前記第１端末装置と異なる端末装置であって、正規所有者の端末装置として予め登録されている第２端末装置に送信する、
ように構成されている電子キー管理装置。

以上、本発明を実施するための形態について実施形態を用いて説明したが、本発明はこうした実施形態に何等限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々の変形及び置換を加えることができる。

例えば、実行キー入力画面３７は、図７に示す例に限られず、図８に示すような画面であってもよい。図８は、実行キー入力画面の他の例を示す図である。図８に示す通り、実行キー入力画面３８は、実行キー入力欄３８Ａと、照合アイコン３８Ｃとを含む。実行キー入力画面３８には、第１実行キーと第２実行キーの入力方法が記載されていてもよい。例えば、「第１実行キーを入力した後、その後ろに、続けて第２実行キーを入力してください」と記載されている。このような実行キー入力画面３８を用いることにより、従来の入力画面をそのまま利用することができる。この実行キー入力画面３８を表示した場合も同様に、診断機３０は、実行キー入力欄３８Ａに入力された情報を、イモビライザ６０に出力する。

図８に示すように、実行キー入力画面が一つの入力欄に第１実行キーと第２実行キーとを入力する仕様である場合、通信制御部１５４は、ディーラー端末４０あるいはユーザ端末２０のうち少なくとも一方に対して、第１実行キーと第２実行キーとを連結するときの順序を示す情報を送信してもよい。これにより、販売員Ｂが、実行キー入力画面３８に表示されている第１実行キーと第２実行キーの入力方法に気が付かない場合であっても、第１実行キーと第２実行キーとを正しく入力することができる。

無効化モードを実行する場合も、図７，８に示すような実行キー入力画面と同様の入力画面を用いることができる。

また、実行キー照合部６５Ｂは、分割部１５３による分割方法を取得し、取得した分割方法に従い、診断機３０から入力した情報に基づく実行キーＫｔ（ｍ）を生成してもよい。

分割部１５３は、実行キーの数字列を先頭から順序に、交互に第１実行キーと第２実行キーに割り振ることにより、実行キーを分割してもよい。例えば、実行キーが「１２３４５６７８」である場合、分割部１５３は、第１実行キー「１３５７」と第２実行キー「２４６８」に分割してもよい。これに伴い、実行キー照合部６５Ｂは、第１実行キーと第２実行キーの数字の先頭から一つずつ交互に組み合わせることにより、実行キーを生成する。この例では、一文字ずつ交互に割り振ることで分割したが、分割部１５３は、二文字以上を交互に割り振ることで分割してもよく、一回前で割り振った数と異なる数で割り振ることで分割してもよい。前者の場合、例えば、第１実行キー「１２５６」と第２実行キー「３４７８」に割り振り、後者の場合、例えば、第１実行キー「１３４７」と第２実行キー「２５６８」に割り振る。実行キー照合部６５Ｂは、管理サーバ１００から、分割部１５３による生成方法（実行キーに基づいて、第１実行キーと第２実行キーとを生成する方法）を示す情報を受信しておき、受信した情報に基づいて、第１実行キーと第２実行キーとを連結する。

通信制御部１５４は、実行キーを送信する前に、正規所有者Ａと販売員Ｂによる本人確認を行うようにしてもよい。例えば、通信制御部１５４は、車両７０について電子キー１０の登録処理あるいは無効化処理の実行を許可するかどうかを確認する確認情報を、ディーラー端末４０とユーザ端末２０に送信する。確認情報には、車両７０の車体ナンバーや、リクエストを送信した日時等が含まれていてもよい。ディーラー端末４０とユーザ端末２０では、それぞれ、確認情報に基づく確認画面が表示され、確認画面には、登録処理あるいは無効化処理の実行を許可するかどうかを入力する許可／不許可ボタンが表示される。ディーラー端末４０とユーザ端末２０は、許可／不許可ボタンに対する操作内容を、管理サーバ１００に送信する。通信制御部１５４は、ディーラー端末４０とユーザ端末２０から、許可ボタンが操作されたことを示す情報を受信した場合、実行キーをイモビライザ６０に送信し、分割部１５３により生成された第１実行キーと第２実行キーを、それぞれ、ディーラー端末４０とユーザ端末２０に送信する。

電子キー１０は、カードキーやユーザ端末２０等により代用されてもよい。カードキーの場合、イモビライザ６０は、車両７０に設けられたカードリーダを用いて、カードキーから鍵情報を受信する。ユーザ端末２０の場合、イモビライザ６０は、通信ユニット５０や車両７０に設けられた無線通信機器（例えば、Bluetooth（登録商標）unit）を用いて、ユーザ端末２０から鍵情報を受信する。

１…電子キー管理システム、１０…電子キー、２０…ユーザ端末、３０…診断機、４０…ディーラー端末、５０…通信ユニット、６０…イモビライザ、１００…管理サーバ、３１…接続部、３２…入力部、３３…表示部、３４…記憶部、３５…制御部、６１…接続部、６２…通信部、６３…記憶部、６５…制御部、６５Ａ…実行キー登録部、６５Ｂ…実行キー照合部、６５Ｃ…電子キー登録部、６５Ｄ…電子キー照合部、６５Ｅ…電子キー削除部、１１０…通信部、１３０…記憶部、１５０…制御部、１５１…登録部、１５２…実行キー生成部、１５３…分割部、１５４…通信制御部

Claims (9)

1. 所定のリクエストに応じて、車両の電子キーを車載認証装置に登録させる登録モード、或いは前記車載認証装置に登録されている前記電子キーを無効化する無効化モードに遷移する許可を得るための第１実行キーと第２実行キーを少なくとも生成する生成部と、
   前記生成部により生成された前記第１実行キーを第１端末装置に送信し、前記生成部により生成された前記第２実行キーを前記第１端末装置と異なる端末装置であって、正規所有者の端末装置として予め登録されている第２端末装置に送信する通信制御部と、
   を備える電子キー管理装置。
2. 前記生成部は、前記第１実行キーおよび前記第２実行キーと関連する実行キーを生成し、
   前記通信制御部は、前記実行キーを前記車載認証装置に送信する、
   請求項１に記載の電子キー管理装置。
3. 前記生成部は、
   前記実行キーを生成し、前記実行キーを分割して前記第１実行キーと前記第２実行キーを生成する、
   請求項２に記載の電子キー管理装置。
4. 前記通信制御部は、
   前記生成部により生成された前記実行キーを、前記登録モードあるいは前記無効化モードの実行リクエストを送信した前記車載認証装置に送信する、
   請求項２または３に記載の電子キー管理装置。
5. 前記通信制御部は、
   前記第１端末装置あるいは前記第２端末装置のうち少なくとも一方に対して、前記第１実行キーと前記第２実行キーとを連結するときの順序を示す情報を送信する
   請求項１から４のうちいずれか一項に記載の電子キー管理装置。
6. 請求項１から５のうちいずれか一項に記載の電子キー管理装置と、
   前記第１実行キーおよび前記第２実行キーが入力された場合、前記第１実行キーおよび前記第２実行キーに基づく認証を行い、認証が成功した場合、前記登録モードあるいは前記無効化モードを実行する前記車載認証装置と、
   を備える電子キー管理システム。
7. 請求項２から４のうちいずれか一項に記載の電子キー管理装置と、
   前記実行キー、前記第１実行キー、および前記第２実行キーが入力された場合、前記第１実行キーおよび前記第２実行キーに基づく情報と、前記実行キーとが合致するか否かを判定し、両者が合致する場合に認証が成功したと判定する前記車載認証装置と、
   を備える電子キー管理システム。
8. コンピュータが、
   所定のリクエストに応じて、車両の電子キーを車載認証装置に登録させる登録モード、或いは前記車載認証装置に登録されている前記電子キーを無効化する無効化モードに遷移する許可を得るための第１実行キーと第２実行キーを少なくとも生成し、
   生成された前記第１実行キーを第１端末装置に送信し、
   生成された前記第２実行キーを前記第１端末装置と異なる端末装置であって、正規所有者の端末装置として予め登録されている第２端末装置に送信する、
   電子キー管理方法。
9. コンピュータに、
   所定のリクエストに応じて、車両の電子キーを車載認証装置に登録させる登録モード、或いは前記車載認証装置に登録されている前記電子キーを無効化する無効化モードに遷移する許可を得るための第１実行キーと第２実行キーを少なくとも生成させ、
   生成された前記第１実行キーを第１端末装置に送信させ、
   生成された前記第２実行キーを前記第１端末装置と異なる端末装置であって、正規所有者の端末装置として予め登録されている第２端末装置に送信させる、
   プログラム。

Images