CN113545005B - 通信系统以及控制装置 - Google Patents

Abstract

本发明涉及通信系统以及控制装置。本发明提供一种能够提高安全性的通信系统。通信系统具有：第一设备，对使用第一加密密钥而加密后的加密信息进行发送；和第二设备，执行规定的处理，该规定的处理基于与上述第一加密密钥共用的加密密钥亦即第二加密密钥和来自上述第一设备的上述加密信息，上述第一设备具备在满足了第一条件的情况下，变更上述第一加密密钥的第一变更部，上述第二设备具备在满足了与上述第一条件共用的条件亦即第二条件的情况下，变更上述第二加密密钥的第二变更部。

Description

通信系统以及控制装置

技术领域

本发明涉及通信系统以及控制装置。

背景技术

以往，公知有例如在车辆中，在终端以及搭载于车辆的车载机之间通过无线通信，进行车辆的控制的通信系统。在通信系统中，当车载机接收到从终端发送的认证所需的键码等认证信息时，车载机接收到的认证信息与登记于车载机的认证信息进行对照，进行钥匙核对。若钥匙核对成立，则车辆的动作被允许。

另外，在这样的通信系统中，为了应对通过无线向车辆发送的认证信息的未授权截取，存在通过加密通信进行终端及车载机之间的无线通信的通信系统。在加密通信中，发送源利用发送源具有的加密密钥对向对象侧发送的通信数据进行加密并发送。对象侧当接收到通信数据时，利用自身具有的加密密钥对接收到的通信数据进行解密，而接受通信数据。例如在专利文献1等中公开了这样的加密通信的技术。作为这种加密通信的例子，存在发送源及对象侧双方具有相互共用的加密密钥的公共密钥加密方式。

专利文献1：日本特开2007-49759号公报

发明内容

但是，在加密通信中，存在当公共密钥被解密时，安全性变差的问题。

因此，本发明是鉴于上述问题而完成的，本发明的目的在于提供一种能够提高安全性的新的且经改进的技术。

为了解决上述课题，根据本发明的一个观点，提供一种通信系统，具有：第一设备，对使用第一加密密钥而加密后的加密信息进行发送；和第二设备，基于与上述第一加密密钥共用的密钥亦即第二加密密钥和来自上述第一设备的上述加密信息，执行规定的处理，上述第一设备具备在满足了第一条件的情况下，变更上述第一加密密钥的第一变更部，上述第二设备具备在满足了与上述第一条件共用的条件亦即第二条件的情况下，变更上述第二加密密钥的第二变更部。

另外，为了解决上述课题，根据本发明的其他观点，提供一种控制装置，是能够分别与第一设备及第二设备进行通信的控制装置，若由上述第一设备将使用第一加密密钥而加密后的加密信息发送给上述第二设备，则由上述第二设备执行基于与上述第一加密密钥共用的第二加密密钥和上述加密信息的规定的处理，上述控制装置具备密钥控制部，在满足了规定条件的情况下，该密钥控制部控制上述第一加密密钥及上述第二加密密钥各自的变更。

如以上说明的那样，根据本发明，提供一种能够提高安全性的技术。

附图说明

图1是表示设置于电子钥匙系统的距离测定系统的结构的框图。

图2是表示车辆中的通信机的配置的图。

图3是表示距离测定的步骤的流程图。

图4是用于对本实施方式所涉及的通信系统中的加密密钥认证的结构的变形例进行说明的图。

具体实施方式

以下，参照附图对本发明的优选的实施方式详细地进行说明。此外，在本说明书及附图中，对实质上具有相同的功能结构的构成要素标注相同的附图标记，由此省略重复说明。

＜1.一个实施方式＞

以下，使用图1～图4对通信系统的一个实施方式进行说明。

＜＜1.1.结构例＞＞

使用图1，对本实施方式所涉及的通信系统的结构例进行说明。如图1所示，本实施方式所涉及的通信系统具备电子钥匙系统4。电子钥匙系统4通过经由无线而确认终端2是否正规(通过对终端2进行认证)来控制车载装置3的动作可否。更具体而言，本例的电子钥匙系统4是由车辆1及终端2中的一方发送认证所需的钥匙ID(ID信息)，并且在由另一方接收到该钥匙ID的情况下，执行将由该另一方接收到的钥匙ID与登记于该另一方的钥匙ID进行核对的ID核对(以下，也记载为“智能核对”)的智能核对系统。

如后面说明的那样，在本例中，主要假设在车辆1中进行智能核对的情况。但是，智能核对也可以在终端2中进行。另外，智能核对是基于无线通信的终端2的认证的一个例子。因此，终端2的认证的方法不限定于智能核对。在通过电子钥匙系统4执行智能核对的情况下，如图1所示，终端2优选为电子钥匙5。电子钥匙5例如用于通过与车辆1的无线通信的智能核对，具有基于智能核对来执行车载装置3的动作的钥匙功能。

(车辆的各结构)

接着，对车辆1的各结构进行说明。车辆1具备车载装置3、核对ECU(ElectronicControl Unit：电子控制单元)8、车身ECU9、发动机ECU10、LF(Low Frequency：低频)发送器13、UHF(Ultra High Frequency：超高频)接收器14以及通信机31。如图1所示，作为车载装置3，除了列举出控制车门的上锁开锁的门锁装置6作为例子之外，还列举出车辆1的发动机7作为例子。

核对ECU8具有存储器12、密钥控制部42、处理执行部43以及认证部44。认证部44执行智能核对，并通过智能核对来对终端2进行认证。在核对ECU8的存储器12登记有终端2固有的钥匙ID和钥匙固有密钥。钥匙ID及钥匙固有密钥用于智能核对。在后面对密钥控制部42及处理执行部43详细地进行说明。

车身ECU9管理车载电子部件的电源。例如，车身ECU9对切换车门的上锁开锁的门锁装置6进行控制。另外，发动机ECU10对发动机7进行控制。核对ECU8、车身ECU9以及发动机ECU10之间经由车辆1的内部的通信线11连接。经由通信线11的通信中使用的协议例如可以是CAN(Controller Area Network：控制器局域网络)，也可以是LIN(Local InterconnectNetwork：局域互联网络)。

LF发送器13在执行车辆1与终端2的智能核对的通信时，向终端2发送LF带的电波。另外，当由终端2接收到LF带的电波，并由终端2发送了UHF带的电波时，UHF接收器14接收从终端2发送的UHF带的电波。此外，LF发送器13优选例如具备向位于车辆1的室外的终端2发送电波的室外用的LF发送器、和向位于车辆1的室内的终端2发送电波的室内用的LF发送器。在后面对通信机31详细地进行说明。

(终端的各结构)

接着，对终端2的各结构进行说明。终端2具备终端控制部20、LF接收部21、UHF发送部22以及UWB(Ultra Wide Band：超宽带)收发部33。终端控制部20控制终端2。终端控制部20具备存储器23、生成部40a以及密钥认证部41a。在终端控制部20的存储器23登记有终端2固有的钥匙ID和钥匙固有密钥。钥匙ID及钥匙固有密钥用于智能核对。在后面对生成部40a及密钥认证部41a详细地进行说明。

LF接收部21在执行车辆1与终端2的智能核对的通信时，接收从车辆1发送的LF电波。当由LF接收部21接收到从车辆1发送的LF电波时，UHF发送部22向车辆1发送UHF电波。在后面对UWB收发部33详细地进行说明。

(智能核对)

接着，对智能核对的流程进行说明。首先，车辆1的LF发送器13定期或不定期地LF发送唤醒信号。终端2当通过LF接收部21接收到唤醒信号时，从待机状态启动，并通过UHF发送部22超高频发送确认信号。核对ECU8当通过UHF接收器14从终端2接收到针对唤醒信号的确认信号时，通过认证部44开始进行智能核对。此时，在室外的终端2接收到室外用的LF发送器13的唤醒信号的情况下，核对ECU8的认证部44执行室外的终端2与车辆1之间的室外智能核对。另一方面，在室内的终端2接收到室内用的LF发送器13的唤醒信号的情况下，核对ECU8的认证部44执行与室内的终端2之间的室内智能核对。

这里，智能核对可以包含对登记于终端2的钥匙ID与预先登记于车辆1的钥匙ID的一致性进行确认的钥匙ID核对，也可以包含使用了钥匙固有密钥的请求响应认证。请求响应认证是使车辆1及终端2双方对作为随机数的请求代码运算出使用了钥匙固有密钥的响应代码，确认这些响应代码的一致的认证。在本例中，主要假设核对ECU8的认证部44在钥匙ID核对以及请求响应认证双方成立的情况下，使智能核对成立的情况。

(距离测定系统)

如图1所示，本实施方式所涉及的通信系统具备距离测定系统30。以下，对距离测定系统30进行说明。此外，距离测定系统30直接测定依据车辆1及终端2之间的距离的测定值Vm。但是，为了简化说明，以下，有时也表现为距离测定系统30测定车辆1及终端2之间的距离。

这里，在车辆1与终端2离得远的情况下，由于无法进行车辆1与终端2之间的通信连接，因此通常智能核对不成立。但是，有时存在将远离车辆1的终端2通过中继器等与车辆1通信连接而使智能核对成立的不正当行为。为了应对该不正当行为，距离测定系统30具备测定依据车辆1及终端2之间的距离的测定值Vm的功能，具备根据测定值Vm的有效性来决定智能核对的成立与否的功能(不正当通信检测功能)。

距离测定系统30主要由终端2所具备的UWB收发部33以及生成部40a、与车辆1所具备的通信机31、密钥控制部42以及处理执行部43来实现。UWB收发部33在与通信机31之间执行用于距离测定的通信。另外，通信机31在与终端2之间执行用于距离测定的通信。在本例中，主要假设车辆1具备多个通信机31(特别是，主通信机34和从通信机35)的情况。但是，车辆1所具备的通信机31的数量没有限定。

在本例中，主通信机34经由通信线36与核对ECU8连接。从通信机35经由通信线37与主通信机34连接。经由通信线36及通信线37的通信中的通信协议例如可以是LIN，也可以是CAN。此外，通信线36可以使用UART(Universal Asynchronous Receiver Transmitter：通用异步收发传输器)等通信接口。

主通信机34具备测定部32b、通信控制部38、接口部39、生成部40b以及密钥认证部41b。接口部39是能够与核对ECU8及从通信机35分别进行通信的接口。例如，接口部39对由从通信机35输出动作信号。通信控制部38控制从通信机35的动作。在存在多个从通信机35的情况等下，通信控制部38设定多个从通信机35的动作顺序，或者使多个从通信机35的一部分选择性地动作。在后面对测定部32b及密钥认证部41b详细地进行说明。

从通信机35具备生成部40c、密钥认证部41c以及测定部32c。在后面对生成部40c、密钥认证部41c以及测定部32c详细地进行说明。

这里，参照图2对通信机31的设置的一个例子进行说明。在图2所示的例子中，在车辆1的5处设置有通信机31。通信机31中的主通信机34配置于车辆1的室内，由此向车室内发送测距用电波。关于测距用电波，在后面进行说明。第一从通信机35a配置于车辆1的驾驶座前侧的角部，由此向车辆1前方及驾驶座侧发送测距用电波。第二从通信机35b配置于车辆1的副驾驶座前侧的角部，由此向车辆1前方及副驾驶座侧发送测距用电波。

第三从通信机35c配置于车辆1的驾驶座后侧的角部，由此向车辆1后方及驾驶座侧发送测距用电波。第四从通信机35d配置于车辆1的副驾驶座后侧的角部，由此向车辆1后方及副驾驶座侧发送测距用电波。但是，通信机31的设置不限定于该例。

回到图1继续进行说明。终端2及通信机31分别使用加密密钥。终端2使用的加密密钥(第一加密密钥)与通信机31使用的加密密钥(第二加密密钥)是共用的加密密钥。在本例中，进行确认终端2与通信机31使用了共用的加密密钥的认证(以下，也记载为“加密密钥认证”)。而且，即使终端2及通信机31之间的距离有效，如果加密密钥认证不成立，则智能核对的成立无效。由此，能够更可靠地防止使智能核对不正当地成立的行为。

具体而言，终端2与从通信机35使用共用的加密密钥，终端2与主通信机34使用共用的加密密钥。在本例中，主要对由终端2及主通信机34分别使用的共用的加密密钥与由终端2及从通信机35分别使用的共用的加密密钥相同的情况进行说明。但是，由终端2和主通信机34分别使用的共用的加密密钥与由终端2及从通信机35分别使用的共用的加密密钥也可以不同。

另外，在存在多个从通信机35的情况下，针对每个从通信机35，加密密钥可以不同。即，由各通信机31使用的加密密钥可以针对每个通信机31不同。或者，也可以是由多个从通信机35中的一部分从通信机35使用的加密密钥相同，由剩余的从通信机35使用的加密密钥不同。

(加密密钥的变更)

以下，对加密密钥的变更进行说明。如上所述，若共用的加密密钥被解密，则安全性会变差。因此，在本例中，在满足了生成加密密钥的条件(以下，也记载为“密钥生成条件”)的情况下，生成加密密钥，并将用于加密的加密密钥变更为所生成的加密密钥。由此，能期待安全性提高。终端2及通信机31分别保持表示加密密钥的生成步骤的逻辑亦即密钥生成逻辑。终端2保持的密钥生成逻辑(第一密钥生成逻辑)与通信机31保持的密钥生成逻辑(第二密钥生成逻辑)是共用的逻辑。

更具体而言，终端2和从通信机35保持共用的密钥生成逻辑，终端2和主通信机34保持共用的密钥生成逻辑。在本例中，主要对由终端2及主通信机34分别保持的共用的密钥生成逻辑与由终端2及从通信机35分别保持的共用的密钥生成逻辑相同的情况进行说明。但是，由终端2及主通信机34分别保持的共用的密钥生成逻辑与由终端2及从通信机35分别保持的共用的密钥生成逻辑也可以不同。

另外，在存在多个从通信机35的情况下，针对每个从通信机35，密钥生成逻辑可以不同。即，由各通信机31保持的密钥生成逻辑可以针对每个通信机31不同。或者，也可以是由多个从通信机35中的一部分从通信机35保持的密钥生成逻辑相同，由剩余的从通信机35保持的密钥生成逻辑不同。

另外，终端2及通信机31分别保持密钥生成条件。终端2保持的密钥生成条件(第一条件)与通信机31保持的密钥生成条件(第二条件)是共用的条件。更具体而言，终端2和从通信机35保持共用的密钥生成条件，终端2和主通信机34保持共用的密钥生成条件。在本例中，主要对由终端2及主通信机34分别保持的共用的密钥生成条件与由终端2及从通信机35分别保持的共用的密钥生成条件相同的情况进行说明。但是，由终端2及主通信机34分别保持的共用的密钥生成条件与由终端2及从通信机35分别保持的共用的密钥生成条件也可以不同。

另外，在存在多个从通信机35的情况下，针对每个从通信机35，密钥生成条件可以不同。即，由各通信机31保持的密钥生成条件可以针对每个通信机31不同。或者，也可以是由多个从通信机35中的一部分从通信机35保持的密钥生成条件相同，由剩余的从通信机35保持的密钥生成条件不同。

终端2具备的生成部40a在满足了终端2保持的密钥生成条件的情况下，基于加密密钥生成用的信息(第一信息)和终端2保持的密钥生成逻辑，生成加密密钥。以下，将加密密钥生成用的信息也记载为“种子”。在本例中，假设种子是随机数的情况。但是，如后面说明的那样，种子不限定于随机数。

终端2具备的生成部40a在初次生成了密钥的情况下，将生成的加密密钥(第一加密密钥)用于加密。另外，终端2具备的生成部40a在再次生成了加密密钥的情况下，作为利用再次生成的加密密钥来变更用于加密的加密密钥(第一加密密钥)的变更部(第一变更部)发挥功能。

通信机31具备的生成部40在满足了通信机31保持的密钥生成条件的情况下，基于种子(第一信息)和通信机31保持的密钥生成逻辑，生成加密密钥。

更具体而言，从通信机35具备的生成部40c在满足了从通信机35保持的密钥生成条件的情况下，基于从通信机35保持的密钥生成逻辑和种子，生成加密密钥。另外，主通信机34具备的生成部40b在满足了主通信机34保持的密钥生成条件的情况下，基于主通信机34保持的密钥生成逻辑和种子，生成加密密钥。

通信机31具备的生成部40在初次生成了加密密钥的情况下，将所生成的加密密钥(第二加密密钥)用于加密。另外，通信机31具备的生成部40在再次生成了加密密钥的情况下，作为利用再次生成的加密密钥来变更用于加密的加密密钥(第二加密密钥)的变更部(第二变更部)发挥功能。

更具体而言，从通信机35具备的生成部40c在初次生成了加密密钥的情况下，将所生成的加密密钥用于加密。另外，从通信机35具备的生成部40c在再次生成了加密密钥的情况下，将用于加密的加密密钥变更为所生成的加密密钥。另外，主通信机34具备的生成部40b在初次生成了加密密钥的情况下，将所生成的加密密钥用于加密。另一方面，主通信机34具备的生成部40b在再次生成了加密密钥的情况下，将用于加密的加密密钥变更为所生成的加密密钥。

如上所述，终端2及通信机31分别保持共用的加密密钥以及共用的密钥生成条件，终端2具备的生成部40a在满足了终端2保持的密钥生成条件的情况下，变更加密密钥，通信机31具备的生成部40在满足了通信机31保持的密钥生成条件的情况下，变更加密密钥。由此，即使共用的加密密钥被第三方解密了，在第三方基于解密结果进行不正当工作时，加密密钥也已经被终端2及通信机31分别变更的可能性提高，因此能期待安全性提高。

另外，如上所述，在满足了终端2保持的密钥生成条件的情况下，终端2具备的生成部40a生成加密密钥，通信机31具备的生成部40在满足了通信机31保持的密钥生成条件的情况下，生成加密密钥。由此，无需预先登记在通信机31与终端2之间共用的加密密钥(或者，即使在新追加了通信机31的情况下，也不需要预先登记在新追加的通信机31与终端2之间共用的加密密钥)，因此能够减少配对的工时。

这里，通信机31保持的密钥生成条件以及终端2保持的密钥生成条件分别具体是怎样的条件，没有限定。

在本例中，假设终端2保持的密钥生成条件包含向终端2具备的生成部40a输入了种子(第二信息)的条件，通信机31保持的密钥生成条件包含向通信机31具备的生成部40输入了种子(第二信息)的条件的情况。此时，终端2具备的生成部40a在满足了终端2保持的密钥生成条件的情况下，将用于加密的加密密钥(第一加密密钥)变更为基于种子(第二信息)和终端2保持的密钥生成逻辑而生成的加密密钥(第三加密密钥)。另一方面，通信机31具备的生成部40在满足了通信机31保持的密钥生成条件的情况下，将用于加密的加密密钥(第二加密密钥)变更为基于种子(第二信息)和通信机31保持的密钥生成逻辑而生成的加密密钥(第四加密密钥)。

根据这样的结构，仅通过向终端2具备的生成部40a以及通信机31具备的生成部40分别输入相同的种子，就能够将终端2及通信机31各自保持的加密密钥变更为相同。因此，能够减轻加密密钥的变更所需的作业负载。

但是，终端2保持的密钥生成条件以及通信机31保持的密钥生成条件不限定于该例。例如，终端2保持的密钥生成条件以及通信机31保持的密钥生成条件也可以分别包含经过了规定时间的条件。根据这样的结构，在经过了规定时间后也不再使用相同的加密密钥，因此能期待安全性提高。规定时间可以是仅一次到达的时间，也可以是多次到达的时间。另外，多次到达的时间也可以是定期地多次到达的时间。

此外，在这种情况下，优选在终端2和通信机31中经过规定时间的时机相同，因此优选在终端2与通信机31之间预先取得同步。或者，规定时间的经过也可以由能够与终端2及通信机31双方进行通信的模块(例如，核对ECU8等)判定。在这种情况下，可以将规定时间的经过从能够与终端2及通信机31双方进行通信的模块分别通知给终端2及通信机31。

或者，终端2保持的密钥生成条件以及通信机31保持的密钥生成条件也可以包含在终端2与通信机31之间进行的使用了共用的加密密钥的通信(加密通信)的次数达到了规定次数的条件。根据这样的结构，在加密通信的次数达到了规定次数后也不再使用相同的加密密钥，因此能期待安全性提高。此外，在终端2与通信机31之间进行的加密通信的次数例如只要由终端2及通信机31分别管理即可。

密钥控制部42在满足了规定条件的情况下，通过向终端2具备的生成部40a输出种子(第二信息)，来控制生成部40a进行的加密密钥的变更(从第一加密密钥向第三加密密钥的变更)，并且通过向通信机31具备的生成部40输出种子(第二信息)，来控制生成部40进行的加密密钥的变更(从第二加密密钥向第四加密密钥的变更)。

根据这样的构成，仅通过向终端2具备的生成部40a以及通信机31具备的生成部40分别在相同的时机输出相同的种子，就能够将终端2及通信机31各自保持的加密密钥变更为相同。

种子可以由密钥控制部42任意准备。在本例中，假设密钥控制部42将认证部44进行的终端2的认证所使用的认证信息的一部分作为种子输出给通信机31，并且将该认证信息的一部分作为种子输出给终端2的情况。在这种情况下，能够减少准备种子所需的时间。以下，假设作为认证信息，使用由认证部44在智能核对中生成的请求代码的情况。但是，认证信息不限定于在智能核对中生成的请求代码。

更具体而言，在智能核对中生成的请求代码从核对ECU8输出到终端2。因此，在本例中，假设密钥控制部42将在智能核对中从核对ECU8输出到终端2的请求代码的一部分用作输出给终端2的种子的情况。即，密钥控制部42将包含种子的请求代码的整体输出给终端2。在这种情况下，除能够减少准备种子用的时间之外，还能抑制从核对ECU8输出到终端2的数据量。

或者，密钥控制部42也可以除在智能核对中从核对ECU8输出到终端2的请求代码之外，还将该请求代码的一部分作为种子输出给终端2。即，密钥控制部42也可以除了将请求代码的一部分作为种子输出给终端2之外，还将智能核对中的请求代码的整体输出给终端2。在这种情况下，至少能够减少准备种子用的时间。

这里，密钥控制部42输出种子用的条件，即规定条件可以包含由认证部44生成请求代码的条件。根据这样的结构，每当认证部44进行终端2的认证(智能核对)时，种子被输出给通信机31及终端2，基于种子，重新生成由终端2及通信机31分别使用的加密密钥。因此，在终端2与通信机31之间的通信结束的情况下，可以从通信机31和终端2的每一个删除加密密钥，因此能够抑制终端2及通信机31各自的存储器使用量。

此外，在上述，假设了终端2具备的生成部40a在满足了终端2保持的密钥生成条件的情况下，变更加密密钥(第一加密密钥)的情况。另外，在上述，假设了通信机31具备的生成部40在满足了通信机31保持的密钥生成条件的情况下，变更加密密钥(第二加密密钥)的情况。但是，终端2具备的生成部40a也可以通过变更终端2保持的密钥生成逻辑(第一密钥生成逻辑)来变更加密密钥。另外，通信机31具备的生成部40也可以通过变更通信机31保持的密钥生成逻辑(第二密钥生成逻辑)来变更加密密钥。

更具体而言，终端2具备的生成部40a也可以变更终端2保持的密钥生成逻辑(第一密钥生成逻辑)，并基于种子(第一信息)和变更后的密钥生成逻辑，生成加密密钥，将加密密钥(第一加密密钥)变更为所生成的加密密钥。通信机31具备的生成部40也可以变更通信机31保持的密钥生成逻辑(第二密钥生成逻辑)，并基于种子(第一信息)和变更后的密钥生成逻辑，生成加密密钥，将加密密钥(第二加密密钥)变更为所生成的加密密钥。

此时，终端2保持的密钥生成逻辑和通信机31保持的密钥生成逻辑变更为共用。例如，也可以是终端2和通信机31保持预定的共用的密钥生成逻辑的变更步骤(例如，共用的密钥生成逻辑的变更顺序等)，通信机31及终端2分别根据该变更步骤，将密钥生成逻辑变更为相同。或者，也可以通过密钥控制部42，将应该变更为哪个密钥生成逻辑分别通知给终端2及通信机31。关于应该变更为哪个密钥生成逻辑，可以由密钥控制部42随机决定，也可以基于某种规则来决定。

(加密密钥认证以及用于距离测定的通信)

接着，对加密密钥认证以及用于距离测定的通信进行说明。例如，当从核对ECU8输出距离测定请求时，主通信机34的接口部39从核对ECU8接受距离测定请求的输入。此外，在本例中，假设使用从核对ECU8输出的种子作为距离测定请求的情况。但是，距离测定请求不限定于从核对ECU8输出的种子。当由接口部39接受距离测定请求的输入时，通信控制部38经由接口部39将距离测定请求输出给从通信机35。

通信机31(主通信机34及从通信机35)当接受距离测定请求的输入时，在与终端2之间分别开始加密密钥认证和用于距离测定的通信。此外，在本例中，假设加密密钥认证和用于距离测定的通信使用共用的电波的情况。但是，加密密钥认证和用于距离测定的通信也可以使用不同的电波。因此，加密密钥认证以及用于距离测定的通信不一定必须同时执行，可以仅在加密密钥认证成立的情况下，执行用于距离测定的通信，也可以仅在通过用于距离测定的通信而得到的测定值的判定结果有效的情况下，执行加密密钥认证。

首先，对加密密钥认证进行说明。在本例中，作为加密密钥认证的例子，假设进行使用了由通信机31及终端2分别保持的共用的加密密钥的请求响应认证的情况。但是，加密密钥认证的方式不限定于请求响应认证。

请求响应认证是使通信机31及终端2双方对作为随机数的请求代码运算出使用了加密密钥的响应代码，并确认这些响应代码的一致性的认证。响应代码是加密信息的一个例子。在本例中，假设通信机31的密钥认证部41(即，主通信机34的密钥认证部41b以及从通信机35的密钥认证部41c)在通信机31中确认响应代码彼此的一致的情况。但是，响应代码彼此的一致也可以在终端2中确认。

接着，对用于距离测定的通信进行说明。此外，在本例中，主要假设用于距离测定的通信所使用的电波(测距用电波及其响应电波)使用UWB带的电波而进行的情况。因此，以下，往往将用于距离测定的通信所使用的电波记载为“UWB电波Sa”。但是，用于距离测定的通信所使用的电波不限定于UWB带的电波。

首先，在用于距离测定的通信中，通信机31(即，主通信机34以及从通信机35)发送UWB电波Sa。终端2的UWB收发部33当从通信机31接收到UWB电波Sa时，回复UWB电波Sa作为其响应。然后，通信机31接收从终端2发送的UWB电波Sa。此时，通信机31的测定部32(即，主通信机34的测定部32b以及从通信机35的测定部32c)测定依据通信机31及终端2之间的距离的测定值Vm(相当于距离的测距值)。

更具体而言，通信机31的测定部32计算从UWB电波Sa的发送到作为其响应的UWB电波Sa的接收为止的传播时间，根据该传播时间计算依据通信机31及终端2之间的距离的测定值Vm(相当于距离的测距值)。另外，在加密密钥认证成立的情况下，测定部32判定测定值Vm是否有效。测定值Vm是否有效例如根据测定值Vm是否小于规定值Vk来判定。另一方面，在加密密钥认证不成立的情况下，测定部32不判定测定值Vm是否有效。

通信机31在判定了测定值Vm是否有效的情况下，将判定结果输出给核对ECU8。更具体而言，从通信机35的测定部32c将判定结果输出给主通信机34。主通信机34的测定部32b当由从通信机35被输入判定结果时，将输入的判定结果输出给核对ECU8。另外，主通信机34的测定部32b在判定了测定值Vm是否有效的情况下，将判定结果输出给核对ECU8。

核对ECU8的处理执行部43基于表示测定值Vm是否有效的判定结果，决定智能核对的成立与否。例如，处理执行部43在从至少一个通信机31输入了表示测定值Vm有效的判定结果的情况下，使智能核对的成立有效。另一方面，处理执行部43在没有从任一通信机31输入表示测定值Vm有效的判定结果的情况下，使智能核对的成立无效。在智能核对的成立有效的情况下，核对ECU8允许或执行车载装置3的动作。

此外，在本例中，主要假设测定部32在加密密钥认证不成立的情况下，不判定测定值Vm是否有效的情况。但是，测定部32也可以在即使加密密钥认证不成立的情况下，也判定测定值Vm是否有效。但是，在加密密钥认证不成立的情况下，表示测定值Vm是否有效的判定结果也可以不从通信机31输出到核对ECU8。

在上述，假设了终端2将使用加密密钥(第一加密密钥)对请求代码进行加密后的响应代码发送到通信机31，通信机31执行基于与加密密钥(第一加密密钥)共用的加密密钥(第二加密密钥)和从终端2接收到的响应代码的规定的处理的情况。特别是，在上述，假设了作为规定的处理，通信机31进行将使用加密密钥(第一加密密钥)加密后的响应代码与使用加密密钥(第二加密密钥)加密后的响应代码进行核对的处理(加密密钥认证)的情况。

但是，由通信机31进行的规定的处理不限定于该例。例如，终端2也可以将使用加密密钥(第一加密密钥)对信息进行加密后的加密信息发送给通信机31，通信机31当从终端2接收到使用加密密钥(第一加密密钥)而加密后的加密信息时，作为规定的处理，进行使用加密密钥(第二加密密钥)对从终端2接收到的加密信息进行解密的处理。

此外，规定的处理也可以由终端2代替通信机31来进行。此时，通信机31也可以将使用加密密钥(第二加密密钥)对信息进行加密后的加密信息发送给终端2，终端2当从通信机31接收到使用加密密钥(第二加密密钥)而加密后的加密信息时，作为规定的处理，进行使用加密密钥(第一加密密钥)对从通信机31接收到的加密信息进行解密的处理。

＜＜1.2.动作例＞＞

接下来，使用图3，对本实施方式的通信系统的作用进行说明。在以下的说明中，考虑到用语的易看性，往往将种子记载为种子Ds，将密钥生成逻辑记载为密钥生成逻辑f，将加密密钥记载为加密密钥Dk。

如图3所示，在步骤S101中，密钥控制部42生成种子Ds。如上所述，种子Ds作为一个例子，可以是随机数。在本例中，假设作为种子Ds，使用在智能核对的请求响应认证中发送给终端2的请求代码的一部分的情况。这样，种子Ds包含于在电子钥匙系统4中的智能核对的请求响应认证中生成的请求代码。由此，在距离测定系统30中除了请求代码之外，不用再生成种子Ds，因此能够省略准备种子所需的时间以及种子的发送时间。

在步骤S102中，密钥控制部42向终端2发送种子Ds。在步骤S103中，终端2的生成部40a当接收到种子Ds时，使种子Ds经过密钥生成逻辑f，由此生成加密密钥Dk。

在步骤S104中，密钥控制部42将与向终端2发送的种子Ds相同的种子Ds向主通信机34输出。主通信机34的接口部39当输入种子Ds时，将输入的种子Ds向从通信机35输出。在本例中，向通信机31的种子Ds的输入兼用作于距离测定的通信开始的触发。因此，主通信机34当被输入种子Ds时，从睡眠状态启动，开始进行用于距离测定的通信。同样，从通信机35当被输入种子Ds时，从睡眠状态启动，开始进行用于距离测定的通信。

在步骤S105中，主通信机34的生成部40b当输入种子Ds时，使种子Ds经过密钥生成逻辑f，生成加密密钥Dk。同样，在步骤S106中，从通信机35的生成部40c当输入种子Ds时，使种子Ds经过密钥生成逻辑f，生成加密密钥Dk。由此，终端2及通信机31取得共用的加密密钥Dk。生成部40通过S102～S106的处理，每当接收到种子Ds时变更加密密钥Dk。在种子Ds每当执行智能核对时被输出的情况下，加密密钥Dk每当执行智能核对时被变更。

在步骤S107中，从通信机35的密钥认证部41c生成加密密钥认证中的请求代码，将包含请求代码的UWB电波Sa向终端2发送。此时，主通信机34的通信控制部38设定从通信机35的动作顺序，根据动作顺序由从通信机35发送UWB电波Sa。终端2当接收到UWB电波Sa时，对UWB电波Sa中包含的请求代码运算出响应代码。

另外，终端2的密钥认证部41a也可以根据接收到的响应的UWB电波Sa中包含的响应代码与自身运算出的响应代码是否一致，来判定加密密钥认证是否成立。在该判定中，更具体而言，终端2的密钥认证部41a在响应代码彼此一致的情况下，使加密密钥认证成立。另一方面，终端2的密钥认证部41a在响应代码彼此不一致的情况下，使加密密钥认证不成立。在加密密钥认证不成立的情况下，终端2的密钥认证部41a结束处理。

此外，终端2将运算出的响应代码包含于响应的UWB电波Sa并进行发送。该终端2进行的包含响应代码的UWB电波Sa的发送可以在加密密钥认证成立的情况下执行。

从通信机35的测定部32c测量从发送UWB电波Sa起到接收到响应的UWB电波Sa为止的时间。然后，从通信机35根据测量出的时间，计算依据从通信机35及终端2之间的距离的测定值Vm。

另一方面，在步骤S108中，从通信机35的密钥认证部41c根据接收到的响应的UWB电波Sa中包含的响应代码与自身运算出的响应代码是否一致，来判定加密密钥认证是否成立。更具体而言，密钥认证部41c在响应代码彼此一致的情况下，使加密密钥认证成立。另一方面，密钥认证部41c在响应代码彼此不一致的情况下，使加密密钥认证不成立。在加密密钥认证不成立的情况下，密钥认证部41c结束处理。

从通信机35在加密密钥认证成立的情况下，在步骤S109中，判定自身测定出的测定值Vm的有效性。从通信机35通过比较测定值Vm与规定值Vk，来判定终端2及车辆1的位置关系的有效性。即，从通信机35判定终端2是否在距车辆1规定的距离以内。从通信机35在测定值Vm小于规定值Vk的情况下，判定为车辆1及终端2之间的距离有效。另一方面，从通信机35在测定值Vm为规定值Vk以上的情况下，判定为车辆1及终端2之间的距离没有效。

在步骤S110中，主通信机34执行UWB电波Sa的收发、加密密钥认证、测定值Vm的判定的一系列处理。特别是，主通信机34当成为自身的动作时机时，从自身发送UWB电波Sa。由此，能够实现在多个通信机31与终端2之间的UWB电波Sa的收发。但是，由主通信机34执行的UWB电波Sa的收发、加密密钥认证、测定值Vm的判定以与步骤S107～S109相同的步骤执行，因此省略详细的说明。此外，图3以在多个通信机31与终端2之间收发的UWB电波Sa为代表，仅图示了在从通信机35与终端2之间收发的UWB电波Sa的一个往复的部分。

在步骤S111中，从通信机35在加密密钥认证成立的情况下，将测定值Vm的判定结果通知给主通信机34。在步骤S112中，主通信机34的接口部39将由从通信机35输入的测定值Vm的判定结果通知给核对ECU8。另外，主通信机34将由自身判定的测定值Vm的判定结果通知给核对ECU8。

在步骤S113中，核对ECU8基于测定值Vm的判定结果，控制车辆1的动作。更具体而言，处理执行部43基于测定值Vm的判定结果，判定智能核对的成立与否。例如，在由任一通信机31判定为测定值Vm有效的情况下，处理执行部43使智能核对的核对结果有效。另一方面，在由所有的通信机31判定为测定值Vm没有效的情况下，处理执行部43使智能核对的核对结果无效。

例如，核对ECU8在与室外的终端2进行的室外智能核对成立，并且处理执行部43使智能核对的核对结果有效的情况下，允许或执行基于车身ECU9的门锁装置6的上锁开锁动作。由此，例如，若在车门上锁时触摸操作车外门把手，则车门被开锁，若在车门开锁时按压操作车外门把手的锁定按钮，则车门被上锁。

另一方面，核对ECU8在与室内的终端2进行的室内智能核对成立，并且处理执行部43使核对结果有效的情况下，允许基于室内的发动机开关50的车辆电源的切换操作。由此，例如，若一边踩踏制动踏板一边操作发动机开关50，则发动机7启动。

核对ECU8在处理执行部43使智能核对的核对结果无效的情况下，禁止车载装置3的动作。由此，例如能够抑制由于使用了中继器等的不正当通信而车载装置3进行动作的情况。另外，由于在终端2与通信机31之间进行加密密钥认证，因此能够确保终端2与通信机31之间的用于距离测定的通信中的安全性。

＜＜1.3.效果＞＞

根据上述实施方式，提供一种通信系统，具有：第一设备，对使用第一加密密钥而加密后的加密信息进行发送；和第二设备，基于与第一加密密钥共用的密钥亦即第二加密密钥和来自第一设备的加密信息，执行规定的处理，第一设备具备在满足了第一条件的情况下，变更第一加密密钥的第一变更部，第二设备具备在满足了与第一条件共用的条件亦即第二条件的情况下，变更第二加密密钥的第二变更部。

根据这样的结构，即使共用的加密密钥被第三方解密了，在第三方基于解密结果进行不正当动作时，加密密钥也已经被第一设备及第二设备分别变更的可能性提高，因此能期待安全性提高。

另外，也可以是第一加密密钥基于第一信息和表示第一加密密钥的生成步骤的逻辑即第一密钥生成逻辑而生成，第二加密密钥基于与第一密钥生成逻辑共用的逻辑即第二密钥生成逻辑和第一信息而生成。

根据这样的结构，无需预先登记在第一设备与第二设备之间共用的加密密钥，因此能够减少配对的工时。

另外，也可以是第一条件包含向第一变更部输入了第二信息的条件，第二条件包含向第二变更部输入了第二信息的条件，第一变更部在满足了第一条件的情况下，将第一加密密钥变更为基于第二信息和第一密钥生成逻辑而生成的第三加密密钥，第二变更部在满足了第二条件的情况下，将第二加密密钥变更为基于第二信息和第二密钥生成逻辑而生成的第四加密密钥。

根据这样的结构，仅通过向第一变更部及第二变更部分别输入相同的信息，就能够将第一设备及第二设备各自保持的加密密钥变更为相同。因此，能够减轻加密密钥的变更所需的作业负载。

第一设备及第二设备中的一方可以是终端，第一设备及第二设备中的另一方可以是与终端之间进行无线通信的通信机。而且，通信系统可以具备进行终端的认证的认证部，密钥控制部将用于认证的认证信息的一部分作为第二信息输出给第一设备，并且将认证信息的一部分作为第二信息输出给第二设备。在这种情况下，能够减少准备第二信息所需的时间。

例如，密钥控制部可以将包含认证信息的一部分的认证信息的整体输出到终端。在这种情况下，除了减少准备第二信息用的时间之外，还能够抑制从密钥控制部输出到终端的数据量。或者，密钥控制部也可以将认证信息的一部分和认证信息的整体分别输出到终端。在这种情况下，至少能够减少准备第二信息用的时间。

规定条件可以包含生成了认证信息的条件。根据这样的结构，每当进行终端的认证时，信息被输出到通信机及终端，基于该信息重新生成终端及通信机各自使用的加密密钥。因此，在终端与通信机之间的通信结束的情况下，可以从通信机和终端分别删除加密密钥，从而能够抑制终端及通信机各自的存储器使用量。

另外，提供一种控制装置，是能够与第一设备及第二设备分别进行通信的控制装置，当由第一设备将使用第一加密密钥而加密后的加密信息发送给第二设备时，由第二设备执行基于与第一加密密钥共用的第二加密密钥和加密信息的规定的处理，控制装置具备密钥控制部，该密钥控制部在满足了规定条件的情况下，控制第一加密密钥及第二加密密钥各自的变更。

根据这样的结构，即使共用的加密密钥被第三方解密了，在第三方基于解密结果进行不正当动作时，加密密钥也已经被第一设备及第二设备分别变更的可能性提高，因此能期待安全性提高。

＜＜1.4.变形例＞＞

以上，参照附图对本发明的优选的实施方式详细地进行了说明，但本发明不限定于该例。如果是本领域技术人员，则能够在权利要求书中记载的技术思想的范畴内想到各种的变更例或修正例，这些当然也应理解为属于本发明的技术范围。

例如，本实施方式能够如以下那样变更来实施。本实施方式及以下的变更例能够在技术上不矛盾的范围内相互组合来实施。

(加密密钥认证的结构的变形例)

图4是用于对本实施方式所涉及的通信系统中的加密密钥认证的结构的变形例进行说明的图。

在上述，假设了核对ECU8(更具体而言，核对ECU8具备的密钥控制部42)控制终端2保持的第一加密密钥以及通信机31保持的第二加密密钥的情况。在这种情况下，如上所述，能够将在核对ECU8与终端2的无线通信中所使用的数据的一部分用作种子。但是，控制加密密钥的装置不限定于核对ECU8。另外，保持加密密钥的装置也不限定于终端2及通信机31。

例如，如图4所示，控制加密密钥的装置也可以是控制装置230，保持加密密钥的装置也可以是能够与控制装置230进行通信的第一设备220及第二设备240。此时，第一设备220与终端2同样地，将使用第一加密密钥而加密后的加密信息发送给第二设备240，第二设备240与通信机31同样地，执行基于与第一加密密钥共用的密钥亦即第二加密密钥和来自第一设备220的加密信息的规定的处理。而且，控制装置230与核对ECU8同样地，具备在满足了规定条件的情况下，控制第一加密密钥及第二加密密钥各自的变更的密钥控制部42。

控制装置230也可以不像核对ECU8那样控制LF带的电波的发送和UHF带的电波的接收。例如，控制装置230也可以控制使用了其他无线通信(例如，NFC(Near FieldCommunication：近场通信)的通信，或者使用了BLE(Bluetoot(注册商标)Low Energy：低能耗蓝牙)的通信等)。另外，控制装置230也可以是能够与第一设备220及第二设备240进行通信的服务器。即，密钥控制部42也可以设置于能够与车辆1及终端2进行通信的服务器等。或者，控制装置230也可以是核对ECU8以外的车载ECU。即，密钥控制部42也可以设置于核对ECU8以外的车载ECU。例如，车载ECU可以是车身ECU9，也可以是发动机ECU10。

另外，第一设备220与第二设备240之间的通信也可以不像终端2与通信机31之间的通信那样，使用UWB带的电波来进行。例如，第一设备220与第二设备240之间的通信也可以使用其他无线通信(例如，使用了NFC的通信，或者使用了BLE的通信等)来进行。另外，在上述，假设了作为第一设备220的例子的终端2是电子钥匙5的情况。但是，作为第一设备220的例子的终端2也可以是高性能移动电话等。

在上述的例子中，终端2相当于第一设备220的例子，通信机31相当于第二设备240的例子。但是，也可以是通信机31相当于第一设备220的例子，终端2相当于第二设备240。即，可以是第一设备220及第二设备240中的一方是终端2，第一设备220及第二设备240中的另一方是与终端2之间进行无线通信的通信机31。

关于其他的各变形例，在以下进行说明。

(关于种子的变形例)

在上述例子中，主要说明了种子Ds在智能核对的中途生成的情况。具体而言，在上述例子中，主要说明了种子Ds伴随智能核对的请求响应认证中的请求代码的生成而生成的情况。但是，生成种子Ds的时机没有限定。例如，种子Ds也可以在唤醒信号的发送时生成，也可以在钥匙ID的确认时生成。

另外，种子Ds可以在智能核对之前生成，也可以在智能核对之后生成。即，种子Ds不限定于是在终端2的认证时发送到终端2的认证信息的一部分。

在上述例子中，主要说明了种子Ds为随机数的情况。但是，种子Ds也可以是规则地变化的数据。即，种子Ds只要是能够随着时间的经过而变化的信息即可，更优选为每当输出时变化的信息。

为了在终端2及通信机31登记共用的加密密钥Dk，种子Ds也可以仅输出一次。即，可以不是每当终端2及通信机31之间的通信时输出，也可以不是每当执行用于开始终端2及通信机31之间的加密通信的处理时输出。

种子Ds可以由核对ECU8生成，也可以由终端2生成，也可以由通信机31生成。

(关于加密密钥的变形例)

在上述例子中，主要对由通信机31(主通信机34或从通信机35)以及终端2分别保持的加密密钥Dk每当智能核对时变更的情况进行了说明。但是，由通信机31(主通信机34或从通信机35)以及终端2分别保持的加密密钥Dk也可以每当距离测定时生成，也可以每当UWB电波Sa发送时生成。即，变更加密密钥Dk的规定的条件没有特别限定。

在上述例子中，主要说明了在各通信机31(主通信机34及从通信机35)中生成加密密钥Dk的情况。但是，也可以将在各通信机31中的至少一个生成的加密密钥Dk通知给剩余的通信机31。例如，也可以将由主通信机34生成的加密密钥Dk通知给从通信机35。

或者，加密密钥Dk也可以由核对ECU8生成。即，生成加密密钥Dk的生成部40也可以设置于核对ECU8。此时，可以将由核对ECU8生成的加密密钥Dk输出给主通信机34。

在上述例子中，主要对用于终端2与通信机31的距离测定的通信通过在终端2与通信机31之间通过使用了共用的加密密钥Dk的加密密钥认证的加密通信来进行的情况进行了说明。而且，在上述例子中，主要说明了该加密密钥认证通过请求响应方式进行的情况。但是，该加密密钥认证的方式不限定于请求响应方式。即，作为该加密密钥认证的方式，能够应用各种认证方法。

更具体而言，在上述例子中，主要对在终端2与通信机31之间使用共用的加密密钥，终端2和通信机31中的一方作为加密信息的例子发送请求响应认证的响应代码，另一方将接收到的响应代码与自身作为加密信息的例子生成的响应代码进行核对的情况进行了说明。但是，由于加密密钥认证的方式不限定于请求响应方式，因此加密信息不限定于请求响应认证的响应代码。

(关于用于距离测定的通信的变形例)

在上述例子中，主要对用于距离测定的通信开始的触发是与智能核对相关联的触发(在上述例子中，基于智能核对的请求响应认证中的请求代码而生成的种子Ds的输出)的情况进行了说明。但是，用于距离测定的通信开始的触发不限定于该例。例如，用于距离测定的通信开始的触发也可以是对车门的门把手进行了操作，也可以是对发动机开关50进行了操作。

另外，无论用于距离测定的通信开始的触发是怎样的触发，进行用于距离测定的通信的时机都可以是智能核对之前，也可以是智能核对之后，也可以是智能核对的中途。例如，在用于距离测定的通信在智能核对之前或中途执行的情况下，可能存在通过处理执行部43使智能核对的成立无效的情况。在这种情况下，处理执行部43可以使智能核对在中途强制结束。即，处理执行部43在使智能核对的成立无效的情况下，只要进行使智能核对(智能通信)不成立的任何处理即可。

在上述例子中，主要说明了与智能核对的种类无关，在进行智能核对的情况下，进行用于距离测定的通信的情况。但是，在进行智能核对的情况下，也可以根据智能核对的种类，来控制是否进行用于距离测定的通信。例如，可以是在进行室外智能核对的情况下，不进行用于距离测定的通信，仅在进行室内智能核对的情况下，进行距离测定的通信。即，通信控制部38可以在形成于车辆1的外侧的LF电波区域，使通信机31不进行动作，在形成于室内的LF电波区域，使通信机31进行动作。

在上述例子中，主要说明了由从通信机35的测定部32测定测定值Vm的情况。此时，测距用电波由从通信机35发送到终端2。但是，测定值Vm也可以由从通信机35以外测定。例如，测定值Vm也可以由终端2测定。此时，测距用电波只要从终端2发送到从通信机35即可。

在上述例子中，主要说明了测定值Vm根据从通信机35与终端2之间的电波的传播时间来测定的情况。但是，测定测定值Vm的方法不限定于该例。例如，测定值Vm也可以在从通信机35及终端2中的另一方接收到从一方发送的电波的情况下，该另一方测定电波的接收强度(RSSI：Received Signal Strength Indicator)，根据该接收强度来计算依据距离的测定值。

另外，也可以分别使用多个信道来进行电波发送。此时，测定部32也可以基于分别使用多个信道进行的电波发送的结果(传播时间或接收强度)，来计算测定值Vm。

·用于距离测定的通信(测距用电波及其响应电波)的方式不限定于使用UWB电波Sa的方式。例如，作为用于距离测定的通信，也可以使用其他频率的电波。作为一个例子，作为用于距离测定的通信，也可以使用蓝牙(注册商标)通信。

(系统的各种变形例)

在上述例子中，主要对决定智能核对的成立与否的处理执行部43设置于核对ECU8的情况进行了说明。但是，设置处理执行部43的位置没有限定。例如，处理执行部43也可以设置于主通信机34，也可以设置于从通信机35，也可以设置于终端2。

在上述例子中，主要对依据从通信机35与终端2的距离的测定值Vm的有效性由从通信机35的测定部32判定的情况进行了说明。即，在上述例子中，主要说明了主通信机34将基于从通信机35的判定结果通知给核对ECU8的情况。但是，测定值Vm的有效性也可以由主通信机34判定。此时，主通信机34只要将由从通信机35基于判定结果而决定的智能核对的成立与否通知给核对ECU8即可。或者，测定值Vm的有效性也可以由核对ECU8判定。此时，主通信机34只要将由从通信机35测定出的测定值Vm通知给核对ECU8即可。或者，测定值Vm的有效性也可以由终端2判定。

在上述例子中，主要说明了通信机31的数量为6个(在图2所示的例子中，主通信机34为一个，从通信机35为四个)的情况。但是，通信机31的个数没有限定。例如，通信机31的数量也可以是一个，也可以是两个，也可以是三个以上。

车辆1的LF发送器13也可以以在车辆1的周围形成LF电波(唤醒信号)区域的方式设置于车辆1。例如，车辆1的LF发送器13也可以在驾驶座车门的周围、副驾驶座车门的周围、后背门的周围以及室内形成LF电波区域。

通信控制部38也可以基于由LF发送器13形成的LF电波区域，控制通信机31的动作。例如，通信控制部38也可以在终端2进入驾驶座车门的周围的LF电波区域，室外智能核对成立的情况下，仅使接近驾驶座的第一从通信机35a及第三从通信机35c动作，不使剩余的通信机动作。

如上所述，假设了在车辆1设置有多个从通信机35的情况。在这种情况下，将由多个从通信机35分别获得的依据自身与终端2的距离的测定值Vm的有效性的判定结果输出到主通信机34。此时，主通信机34可以在输入了判定结果的时机单独地将判定结果通知给核对ECU8，也可以在判定结果已全部输入的时机一并将所有的判定结果输出给核对ECU8。

在上述例子中，主要说明了处理执行部43决定智能核对的成立与否的情况。但是，由处理执行部43执行的处理不限定于智能核对的成立与否的决定。例如，处理执行部43除了智能核对的成立与否的决定以外，还可以根据测定值Vm，控制车载装置3的动作。

在上述例子中，主要说明了在智能核对系统中，将唤醒信号从车辆1发送到终端2的情况。但是，也可以将唤醒信号从终端2发送到车辆1。

在上述例子中，主要说明了电子钥匙系统4是执行智能核对的智能核对系统的情况。但是，电子钥匙系统4不限定于智能核对系统。例如，电子钥匙系统4只要是能够确认终端2的正确与否的系统即可。或者，也可以省略电子钥匙系统4，也可以使用UWB通信来确认终端2的正确与否。

在上述例子中，主要说明了终端2的正确与否的确认通过钥匙ID的核对以及请求响应认证来进行的情况。但是，确认终端2的正确与否的方式不限定于该例。例如，确认终端2的正确与否的方式只要是能够通过终端2及车辆1进行通信，来确认终端2及车辆1是否是正规的配对的方式即可。

在上述例子中，主要说明了终端2是电子钥匙5的情况。但是，终端2不限定于是电子钥匙5的情况。例如，终端2也可以是能够与车辆1执行无线通信的高性能移动电话。

在上述例子中，主要对距离测定系统30具备测定依据车辆1及终端2之间的距离的测定值Vm的功能，具备根据测定值Vm的有效性来决定智能核对的成立与否的功能(不正当通信检测功能)的情况进行了说明。但是，距离测定系统30只要具备测定测定值Vm的功能即可，也可以不具备不正当通信检测功能。

在上述例子中，主要说明了在终端2与通信机31之间共用的加密密钥用于距离测定用的通信的加密的情况。但是，在终端2与通信机31之间共用的加密密钥也可以用于距离测定用的通信以外的加密。

车辆1及终端2之间的各种通信所使用的电波的频率以及通信方式能够变更为各种方式。

在上述例子中，主要说明了终端2的通信对象为车辆1的情况。但是，终端2的通信对象不限定于车辆1，能够变更为各种设备或装置。

附图标记说明

1…车辆；2…终端；3…车载装置；4…电子钥匙系统；5…电子钥匙；8…核对ECU；20…终端控制部；30…距离测定系统；31…通信机；32…测定部；34…主通信机；35…从通信机；38…通信控制部；39…接口部；40…生成部；41…密钥认证部；42…密钥控制部；43…处理执行部；44…认证部；50…发动机开关；230…控制装置；220…第一设备；240…第二设备。

Claims (11)

1.一种通信系统，其中，具有：

第一设备，对使用第一加密密钥而加密过的加密信息进行发送；

第二设备，执行规定的处理，该规定的处理基于与所述第一加密密钥共用的加密密钥亦即第二加密密钥和来自所述第一设备的所述加密信息；

认证部；以及

密钥控制部，

所述第一设备具备在满足了第一条件的情况下，变更所述第一加密密钥的第一变更部，

所述第二设备具备在满足了与所述第一条件共用的条件亦即第二条件的情况下，变更所述第二加密密钥的第二变更部，

所述第一加密密钥基于第一信息和表示所述第一加密密钥的生成步骤的逻辑亦即第一密钥生成逻辑而生成，

所述第二加密密钥基于与所述第一密钥生成逻辑共用的逻辑亦即第二密钥生成逻辑和所述第一信息而生成，

所述第一条件包含第二信息已被输入于所述第一变更部的条件，

所述第二条件包含所述第二信息已被输入于所述第二变更部的条件，

在满足了所述第一条件的情况下，所述第一变更部将所述第一加密密钥向基于所述第二信息和所述第一密钥生成逻辑而生成的第三加密密钥变更，

在满足了所述第二条件的情况下，所述第二变更部将所述第二加密密钥向基于所述第二信息和所述第二密钥生成逻辑而生成的第四加密密钥变更，

所述第一设备及所述第二设备中的一方是终端，

所述第一设备及所述第二设备中的另一方是在与所述终端之间进行无线通信的通信机，

所述认证部生成用于认证所述终端的认证信息，

所述密钥控制部将所述认证信息的一部分作为所述第二信息输出至所述终端，并且将所述认证信息的一部分作为所述第二信息输出至所述通信机。

2.根据权利要求1所述的通信系统，其中，

在满足了规定条件的情况下，所述密钥控制部通过将所述第二信息输出至所述第一变更部，来控制所述第一变更部进行的从所述第一加密密钥向所述第三加密密钥的变更，并且通过将所述第二信息输出至所述第二变更部，来控制所述第二变更部进行的从所述第二加密密钥向所述第四加密密钥的变更。

3.根据权利要求2所述的通信系统，其中，

所述规定条件包含所述认证信息已被生成的条件。

4.根据权利要求1~3中任一项所述的通信系统，其中，

所述认证部进行所述终端的认证。

5.根据权利要求1~3中任一项所述的通信系统，其中，

所述密钥控制部将包含所述认证信息的一部分的所述认证信息的整体输出至所述终端。

6.根据权利要求1~3中任一项所述的通信系统，其中，

所述密钥控制部将所述认证信息的一部分和所述认证信息的整体分别输出至所述终端。

7.根据权利要求1~3中任一项所述的通信系统，其中，

所述第一变更部通过变更所述第一密钥生成逻辑，来变更所述第一加密密钥，

所述第二变更部通过变更所述第二密钥生成逻辑，来变更所述第二加密密钥。

8.根据权利要求1~3中任一项所述的通信系统，其中，

所述第二设备作为所述规定的处理，进行对使用所述第一加密密钥而加密过的所述加密信息与使用所述第二加密密钥而加密过的加密信息进行核对的处理。

9.根据权利要求1~3中任一项所述的通信系统，其中，

所述第二设备作为所述规定的处理，进行使用所述第二加密密钥对使用所述第一加密密钥而加密过的所述加密信息进行解密的处理。

10.根据权利要求1~3中任一项所述的通信系统，其中，

所述第一条件及所述第二条件分别包含经过了规定时间的条件或者所述第一设备与所述第二设备之间的加密通信的次数达到了规定次数的条件。

11.一种控制装置，是能够分别与第一设备及第二设备进行通信的控制装置，其中，

若由所述第一设备将使用第一加密密钥而加密过的加密信息发送至所述第二设备，则由所述第二设备执行规定的处理，该规定的处理基于与所述第一加密密钥共用的第二加密密钥和所述加密信息，

所述控制装置具备认证部和密钥控制部，在满足了第一条件的情况下，所述密钥控制部控制第一变更部对所述第一加密密钥进行的变更，在满足了与所述第一条件共用的条件亦即第二条件的情况下，所述密钥控制部控制第二变更部对所述第二加密密钥进行的的变更，

所述第一加密密钥基于第一信息和表示所述第一加密密钥的生成步骤的逻辑亦即第一密钥生成逻辑而生成，

所述第二加密密钥基于与所述第一密钥生成逻辑共用的逻辑亦即第二密钥生成逻辑和所述第一信息而生成，

所述第一条件包含第二信息已被输入于所述第一变更部的条件，

所述第二条件包含所述第二信息已被输入于所述第二变更部的条件，

在满足了所述第一条件的情况下，对所述第一加密密钥向基于所述第二信息和所述第一密钥生成逻辑而生成的第三加密密钥变更进行控制，

在满足了所述第二条件的情况下，对所述第二加密密钥向基于所述第二信息和所述第二密钥生成逻辑而生成的第四加密密钥变更进行控制，

所述第一设备及所述第二设备中的一方是终端，

所述第一设备及所述第二设备中的另一方是在与所述终端之间进行无线通信的通信机，

所述认证部生成用于认证所述终端的认证信息，

所述密钥控制部将所述认证信息的一部分作为所述第二信息输出至所述终端，并且将所述认证信息的一部分作为所述第二信息输出至所述通信机。