JP2014189221A - 盗難防止装置および盗難防止方法 - Google Patents

Abstract

【課題】
信頼性の観点と通常の利便性を両立させた、盗難防止装置および盗難防止方法を提供する。
【解決手段】
エンジンの始動の制御を行うＦＩ−ＥＣＵ４０と、ＦＩ−ＥＣＵ４０との間で第１のコード認証をするＢＣＭ３３０と、ＦＩ−ＥＣＵ４０又はＢＣＭ３３０に電源から供給されている電圧を検出する電圧検出ユニットと、ＢＣＭ３３０と第２のコード認証し、ＦＩ−ＥＣＵ４０とは別の装置ＶＳＡ５０を制御する制御ユニット５２とを備える。ＢＣＭ３３０は、電圧検出ユニットで検出された電圧が所定値以下を検出した場合のみ、制御ユニット５２との認証を行う。
【選択図】図５

Description

本発明は、車両の盗難防止装置および盗難防止方法に関し、特に、車両始動前に認証により車両の盗難を防止する盗難防止装置および盗難防止方法に関する。

近年、車両盗難事件の多発により、自動車盗難防止システムに関する法規制を採用する傾向が高まっている。カナダでは５分間アタックテスト性能基準が提唱されており、５分間にわたり自動車盗難防止システムが攻撃されてもエンジンが始動しないことが求められている。

車両の盗難手法として、盗難防止に関する認証を行うイモビライザーなど関連装置をすべて交換する手法がある。この手法でも盗難されないために、車両の機能を著しく制限する技術が開示されている（特許文献１参照）。

特許第３８３２３４７号

しかし、ネットワーク機能を制限して車両自体の商品価値を低下させる対策を施すのは、関連部品の故障時の影響が大きくなるため妥当ではない。

一方、認証を行う装置を増やす場合、認証は運転者が車両を利用する毎回において実施されるので、認証に要する通信時間の制約がある。信頼性の観点と通常の利便性を両立させるために新たなシステムの構築が求められている。

本発明の盗難防止装置は、エンジンの始動の制御を行うエンジン制御ユニットと、エンジン制御ユニットとの間で第１のコード認証をする認証制御ユニットと、エンジン制御手段又は認証制御手段に電源から供給されている電圧を検出する電圧検出ユニットと、認証制御ユニットと第２のコード認証し、エンジン制御ユニットとは別の装置を制御する第１制御ユニットとを備える。認証制御ユニットは、電圧検出ユニットで検出された電圧が所定値以下を検出した場合のみ、第１制御ユニットとの認証を行う。

本発明の一の態様によると、第１制御ユニットは、エンジン制御ユニットと認証制御ユニットとは別系統で、かつ他の制御ユニットが接続されるネットワークに接続されている。

本発明の他の態様によると、ネットワークには、複数の装置が各々備える他の制御ユニットが接続され、認証制御ユニットは、電圧が所定値以下に検出される毎に、ネットワークを介して、第１制御ユニットおよび他の制御ユニットの内、所定の制御ユニットと第２のコード認証を行う。

また本発明は、エンジン制御ユニットとの間で第１のコード認証をする認証制御ユニットが行う盗難防止方法であって、電源から供給されている電圧を検出し、検出の結果が所定値以下であった場合のみ、エンジン制御ユニットとは別の装置を制御する第１制御ユニットと第２のコード認証を行う。

本発明の盗難防止装置および盗難防止方法によれば、通常の利便性は損なわず、車両の防盗性、信頼性が向上する。

本発明の第１の実施形態に係る盗難防止装置の構成を示すブロック図である。 本発明の第１の実施形態に係る盗難防止装置を構成する、イモビライザーの構成を示すブロック図である。 本発明の第１の実施形態に係る盗難防止装置を構成する、ＢＣＭの構成を示すブロック図である。 本発明の第１の実施形態に係る盗難防止装置の、認証動作手順を示すシーケンス図である。 本発明の第２の実施形態に係る盗難防止装置の構成を示すブロック図である。 本発明の第２の実施形態に係る盗難防止装置を構成する、ＢＣＭの構成を示すブロック図である。 本発明の第２の実施形態に係る盗難防止装置の、認証動作手順を示すシーケンス図である。

以下、図面を参照して、本発明の実施の形態を説明する。

以下に示す各実施形態に係る盗難防止装置および盗難防止方法は、認証に関する装置の電源が一旦遮断され、再投入された場合のみ、本来の認証ネットワークとは別のネットワークを介して接続された関連装置（ＶＳＡ、ＳＲＳ、Ｍｅｔｅｒなど）との認証を行う構成である。

≪第１実施形態≫
図１は、本発明の第１の実施形態に係る盗難防止装置の構成を示すブロック図である。

盗難防止装置１は、キーユニット１０と、イモビライザー（Immobilizer）２０と、ＢＣＭ（Body Control Module）３０と、ＦＩ−ＥＣＵ（Fuel Injection Electronic Control Unit）４０と、ＶＳＡ（Vehicle Stability Assist）５０と、ＳＲＳ（Supplemental Restraint System）６０と、Ｍｅｔｅｒ７０と、を備える。

キーユニット１０は、識別情報であるキーのＩＤ（identification）を保有する。メカニカルなキーが入力された場合、キーユニット１０は、キーのＩＤを出力する。キーのＩＤは各車両固有であり、暗号化されている。

イモビライザー２０は、電子的なキーの照合システムによって、専用のキーＩＤ以外ではエンジンの始動をさせない装置である。イモビライザー２０は、キーユニット１０から送信される、トランスポンダと呼ばれる電子チップが持つ固有のキーのＩＤコードと、車両側のＩＤコードとを、電子的に照合し、一致しなければエンジンを始動させない。

ＢＣＭ３０は、ボディコントロールモジュールの略称である。ＢＣＭ３０は、ボディに搭載され、認証制御の他に、イモビライザー２０との認証作業や接続されている各ネットワークのゲートウエイ機能、インテリア関係の制御など多機能な制御をする装置である。ＢＣＭ３０はＭＩＣＵ（マルチプレックス・インテグレーテッド・コントロール・ユニット、多機能集積制御装置）の機能も有する。

ＦＩ−ＥＣＵ４０は、エンジンの始動の制御を行うエンジン制御ユニットである。エンジンに供給する燃料を制御する電子制御装置であり、実際にエンジンを動かす、止めるという動作を制御している。

ＶＳＡ５０は、スリップ防止のための装置である。ＶＳＡ５０は、タイヤが踏ん張る力（グリップ）の限界に「スロープ」を設けることで、「走る・曲がる・止まる」のすべての領域で限界を超えにくくする装置である。

ＳＲＳ６０は、シートベルトで主拘束された乗員を衝突時に補助拘束する装置である。

Ｍｅｔｅｒ７０は、メータークラスター（Meter cluster）であり、速度計、タコメータなどの計器類が集まっている装置である。

キーユニット１０とイモビライザー２０とは、無線で通信する。

イモビライザー２０と、ＢＣＭ３０と、ＦＩ−ＥＣＵ４０とは、それぞれ内部に制御ユニットを備える。各制御ユニットはそれぞれランダムな固有のＩＤを記憶し、保有する。各制御ユニットは、専用プロトコルのネットワークであるＳ−ＮＥＴで接続されている。

イモビライザー２０と、ＢＣＭ３０と、ＦＩ−ＥＣＵ４０とは、ＩＤを用いたコード認証を行う。

ＶＳＡ５０と、ＳＲＳ６０と、Ｍｅｔｅｒ７０とは、それぞれ内部に制御ユニット５２、６２、７２を備える。各制御ユニット５２、６２、７２はそれぞれランダムな固有のＩＤを記憶し、保有する。各制御ユニット５２、６２、７２は、専用プロトコルのＳ−ＮＥＴとは別のネットワークであるＦ−ＣＡＮ（Fast Controller Area Network）で接続されている。

ＶＳＡ５０の制御ユニット５２と、ＳＲＳ６０の制御ユニット６２と、Ｍｅｔｅｒ７０の制御ユニット７２は、ＢＣＭ３０との間で、ＩＤを用いたコード認証を行う。

次にイモビライザー２０について詳細に説明する。

図２は、本発明の第１の実施形態に係る盗難防止装置を構成する、イモビライザーの構成を示すブロック図である。

イモビライザー２０は、認証制御ユニットの一つである処理ユニット１１０と、無線通信ユニット１２０と、Ｓ−ＮＥＴ通信インターフェース１３０と、を有している。

無線通信ユニット１２０は、キーユニット１０と無線で通信する。Ｓ−ＮＥＴ通信インターフェース１３０は、ＢＣＭ３０やＦＩ−ＥＣＵ４０とＳ−ＮＥＴで通信する。

処理ユニット１１０は、ＣＰＵ（Central Processing Unit）等のプロセッサ、プログラムが書き込まれたＲＯＭ（Read Only Memory）、データを記憶のためのメモリ１６０を有するコンピュータである。データを記憶のためのメモリ１６０としては、電源が遮断されると記憶内容が消えてしまうＲＡＭ（Random Access Memory）１７０と、電源が遮断されても記憶内容を保持する不揮発性メモリ１８０の２種類を備える。

不揮発性メモリ１８０は、キーユニット１０のＩＤと、Ｓ−ＮＥＴに接続されているＢＣＭ３０、ＦＩ−ＥＣＵ４０の各ＩＤと、イモビライザー２０自身のＩＤとを記憶する。

処理ユニット１１０は、キーコード認証ユニット１１２と、ＢＣＭ認証ユニット１１４と、ＥＣＵイモビライザー認証ユニット１１６と、を備える。処理ユニット１１０が備える上記各部は、コンピュータである処理ユニット１１０がプログラムを実行することにより実現され、当該コンピュータ・プログラムは、コンピュータ読み取り可能な任意の記憶媒体に記憶させておくことができる。

なお、処理ユニット１１０が備える上記各部を、それぞれ一つ以上の電気部品を備える専用のハードウェアとして構成してもよい。

キーコード認証ユニット１１２は、無線通信ユニット１２０を介してキーユニット１０と通信をし、ＩＤを用いたコード認証を行う。

ＢＣＭ認証ユニット１１４は、Ｓ−ＮＥＴ通信インターフェース１３０を介してＢＣＭ３０と通信をし、ＩＤを用いたコード認証を行う。

ＥＣＵイモビライザー認証ユニット１１６は、Ｓ−ＮＥＴ通信インターフェース１３０を介してＦＩ−ＥＣＵ４０と通信をし、ＩＤを用いたコード認証を行う。

次にＢＣＭ３０について詳細に説明する。

図３は、本発明の第１の実施形態に係る盗難防止装置を構成する、ＢＣＭの構成を示すブロック図である。

ＢＣＭ３０は、認証制御ユニット処理ユニット２１０と、Ｓ−ＮＥＴ通信インターフェース２３０と、Ｆ−ＣＡＮ通信インターフェース２４０と、電圧入力ユニット２５０と、を有している。

Ｓ−ＮＥＴ通信インターフェース２３０は、イモビライザー２０やＦＩ−ＥＣＵ４０とＳ−ＮＥＴで通信する。Ｆ−ＣＡＮ通信インターフェース２４０は、ＶＳＡ５０などとＦ−ＣＡＮで通信する。

電圧入力ユニット２５０は、供給されている電圧レベルを入力する。

処理ユニット２１０は、ＣＰＵ（Central Processing Unit）等のプロセッサ、プログラムが書き込まれたＲＯＭ（Read Only Memory）、データを記憶のためのメモリ２６０を有するコンピュータである。データを記憶のためのメモリ２６０としては、電源が遮断されると記憶内容が消えてしまうＲＡＭ（Random Access Memory）２７０と、電源が遮断されても記憶内容を保持する不揮発性メモリ２８０の２種類を備える。

不揮発性メモリ２８０は、Ｆ−ＣＡＮに接続されているＶＳＡ５０、ＳＲＳ６０、Ｍｅｔｅｒ７０の各ＩＤと、Ｓ−ＮＥＴに接続されているイモビライザー２０、ＦＩ−ＥＣＵ４０の各ＩＤと、ＢＣＭ３０自身のＩＤとを記憶する。また不揮発性メモリ２８０は後述する起動処理がされたことを示す起動処理フラグを記憶する。

処理ユニット２１０は、電圧検出ユニット２１２と、Ｆ−ＣＡＮ認証ユニット２１４と、ＢＣＭ認証ユニット２１６と、を備える。処理ユニット２１０が備える上記各部は、コンピュータである処理ユニット２１０がプログラムを実行することにより実現され、当該コンピュータ・プログラムは、コンピュータ読み取り可能な任意の記憶媒体に記憶させておくことができる。

なお、処理ユニット２１０が備える上記各部を、それぞれ一つ以上の電気部品を備える専用のハードウェアとして構成してもよい。

電圧検出ユニット２１２は、電源であるバッテリ（図示せず）から供給される電圧が、通常の電圧範囲より低い所定電圧以下となったか否かを検出するユニットである。

ＢＣＭ３０は、エンジンを回転させていない場合も含めて、バッテリからの電圧が常に供給されている。バッテリが交換されたり、ＢＣＭ３０自身が取り外されると、電圧入力ユニット２５０からの電圧レベルは所定電圧以下となる。一度所定電圧以下となったことが検知されれば、電圧検出ユニット２１２は起動処理を行い、起動処理フラグを不揮発性メモリ２８０に記憶させる。起動処理フラグは、後述するＦ−ＣＡＮコード認証がＯＫとなればクリアされる。電圧検出ユニット２１２は、起動処理フラグを検査することで、バッテリから供給される電圧が途切れたか否かを検出する。

また、バッテリからの電圧が途切れると、不揮発性でないＲＡＭ２７０のデータは消える。電圧検出ユニット２１２は、ＲＡＭ２７０のデータが消えていることを検査することで、バッテリから供給される電圧が途切れたか否かを検出してもよい。

Ｆ−ＣＡＮ認証ユニット２１４は、Ｆ−ＣＡＮ通信インターフェース２４０を介してＦ−ＣＡＮで接続されているＶＳＡ５０の制御ユニット５２、ＳＲＳ６０の制御ユニット６２、Ｍｅｔｅｒ７０の制御ユニット７２と通信をし、ＩＤを用いたコード認証を行う。

ＢＣＭ認証ユニット２１６は、Ｓ−ＮＥＴ通信インターフェース１３０を介してイモビライザー２０と通信をし、ＩＤを用いたコード認証を行う。

〔認証動作手順〕
次に、盗難防止装置１の認証動作手順について説明する。

図４は、本発明の第１の実施形態に係る盗難防止装置の、認証動作手順を示すシーケンス図である。図４で矢印ｔの方向に示す時間の経過に従って、手順が進行する。

図４で、ステップＳ１１０と、ステップＳ１２０とは、キーコード認証処理である。

キーユニット１０にメカニカルなキーが差し込まれ、イグニッションＯＮ指令が送信されると、キーユニット１０とイモビライザー２０とが、ＩＤを用いたコード認証をする（キー認証通信ステップ，Ｓ１１０）。まず、イモビライザー２０からキーユニット１０へ認証を要求する。キーユニット１０は、保有する、キー固有のコードであるＩＤをイモビライザー２０へ送信する。これらの通信は電波で行われる。次にキーコード照合処理（Ｓ１２０）へ移行する。

キーコード照合処理（Ｓ１２０）では、キーコード認証ユニット１１２は、不揮発性メモリ１８０に保有するキーユニットのＩＤと、送信されたＩＤとを、照合する。その結果、一致していなければ、キーコード認証ユニット１１２は、キーコード認証をＮＧとし、次のステップへ移行せず、終了する。照合した結果、一致していれば、キーコード認証ユニット１１２は、キーコード認証をＯＫとし、次のステップであるＢＣＭ認証要求ステップ（Ｓ１３０）へ移行する。

ステップＳ１３０からステップＳ１９０まではＢＣＭコード認証処理である。

ＢＣＭ認証要求ステップ（Ｓ１３０）では、ＢＣＭ認証ユニット１１４は、ＢＣＭ３０に対して認証を要求する送信をＳ−ＮＥＴ通信インターフェース１３０を介して行う。次に電圧検出処理（Ｓ１４０）へ移行する。

電圧検出処理（Ｓ１４０）では、認証を要求されたＢＣＭ３０の電圧検出ユニット２１２は、前述したように、不揮発性メモリ２８０に記憶された起動処理フラグがあるか、またはＲＡＭ２７０のデータが消えているかを検査し、バッテリから供給される電圧が途切れたか否かを判定する。電圧が途切れていない場合は、ＢＣＭ認証結果返信ステップ（Ｓ１８０）へ移行する。

電圧が途切れたことを検出した場合は、ＢＣＭ３０は、ＢＣＭ３０自身が車両から取り外されたかもしれないことを検知したことになるので、ＢＣＭ３０自身が車両から取り外されていないことを、他のネットワークを使用して問い合わせをする。そのためにＦ−ＣＡＮ経由ＩＤ要求ステップ（Ｓ１５０）へ移行する。

Ｆ−ＣＡＮ経由ＩＤ要求ステップ（Ｓ１５０）と、Ｆ−ＣＡＮ経由ＩＤ返信ステップ（Ｓ１６０）と、Ｆ−ＣＡＮコード照合処理（Ｓ１７０）とは、Ｆ−ＣＡＮ認証ユニット２１４と、Ｆ−ＣＡＮに接続されている装置の制御ユニット５２、６２、７２とで、第２のコード認証であるＦ−ＣＡＮコード認証をする処理である。

Ｆ−ＣＡＮ経由ＩＤ要求ステップ（Ｓ１５０）では、Ｆ−ＣＡＮ認証ユニット２１４は、Ｆ−ＣＡＮに接続されているＶＳＡ５０、ＳＲＳ６０、Ｍｅｔｅｒ７０の、どの装置に対して認証を要求するか、認証を要求する装置をランダムに決定する。たとえば乱数を発生させ、発生させた乱数に基づき、認証を要求する装置を決定する。その結果、ＶＳＡ５０が決定されれば、ＶＳＡ５０へ認証を要求する。以下、ＶＳＡ５０へ認証を要求した場合で説明する。

Ｆ−ＣＡＮ認証ユニット２１４は、ＶＳＡ５０の制御ユニット５２に対し、Ｆ−ＣＡＮ通信インターフェース２４０を介して認証要求を出す。次に、Ｆ−ＣＡＮ経由ＩＤ返信ステップ（Ｓ１６０）へ移行する。

Ｆ−ＣＡＮ経由ＩＤ返信ステップ（Ｓ１６０）では、ＶＳＡ５０の制御ユニット５２は、保有するＶＳＡ５０自身のＩＤをＢＣＭ３０へ返信する。

Ｆ−ＣＡＮ認証ユニット１１４は、ＶＳＡ５０へ認証要求を出してから、ＶＳＡ５０からの返信が、所定時間、たとえば２００ｍｓの間なければ、再度ＶＳＡ５０へ認証要求を出すリトライ動作を行う。

次に、Ｆ−ＣＡＮコード照合処理（Ｓ１７０）へ移行する。

Ｆ−ＣＡＮコード照合処理（Ｓ１７０）では、まず、リトライ動作をしても所定回数、たとえば３回要求を出しても返信がない場合は、Ｆ−ＣＡＮ認証ユニット２１４は、Ｆ−ＣＡＮコード認証をＮＧとする。

ＶＳＡ５０からＩＤが返信されれば、Ｆ−ＣＡＮ認証ユニット２１４は、不揮発性メモリ２８０が保有するＶＳＡ５０のＩＤと、返信されたＩＤとを照合する。その結果不一致であればＦ−ＣＡＮコード認証をＮＧとする。この場合、再要求は出さない。照合した結果、一致であればＦ−ＣＡＮコード認証をＯＫとする。

Ｆ−ＣＡＮコード認証がＯＫであれば、Ｆ−ＣＡＮ認証ユニット２１４は不揮発性メモリ２８０に記憶された起動処理フラグをクリアする。これにより次回以後はＦ−ＣＡＮコード照合処理をせずに、ＢＣＭ認証結果返信ステップ（Ｓ１８０）へ移行できるので、全体の処理時間を短縮することができる。

なお、ステップＳ１５０で認証要求をされ、ステップＳ１６０で認証の返信をする装置は、ランダムに選択された１つの装置にする必要はなく、Ｆ−ＣＡＮに接続されている装置であれば２つであってもよいし、予め設定された順番に従って装置を選択してもよいし、予め設定された装置であってもよい。２つの装置に対してＦ−ＣＡＮコード認証をする場合は、共に照合が一致とならなければ、Ｆ−ＣＡＮコード認証をＯＫとしない。

次に、ＢＣＭ認証結果返信ステップ（Ｓ１８０）へ移行する。

ＢＣＭ認証結果返信ステップ（Ｓ１８０）では、ＢＣＭ３０の電圧が途切れていなかった場合、またはＦ−ＣＡＮコード認証の結果がＯＫであれば、ＢＣＭ認証ユニット２１６は、不揮発性メモリ２８０に保有するＢＣＭ３０自身のＩＤをイモビライザー２０へ返信する。次に、イモビライザー２０によるＢＣＭコード照合処理（ステップＳ１９０）へ移行する。

ＢＣＭ認証ユニット２１６は、Ｆ−ＣＡＮコード認証の結果がＮＧであれば、イモビライザー２０へ返信しない。その結果、次のステップであるＢＣＭコード照合処理（Ｓ１９０）へ移行しないので、エンジンは止まったままの状態となる。

ＢＣＭコード照合処理（ステップＳ１９０）では、イモビライザー２０のＢＣＭ認証ユニット１１４は、ＢＣＭ３０からの返信がなければ何もしない。その結果、次のステップであるＥＣＵイモビライザー認証ステップ（Ｓ２００）へ移行しないので、エンジンは止まったままの状態となる。

ＢＣＭ認証ユニット１１４は、ＢＣＭ３０からＢＣＭ３０のＩＤが返信されれば、返信されたＩＤと、イモビライザー２０が不揮発性メモリ１８０に保有するＢＣＭ３０のＩＤとを、照合する。その結果、不一致であれば、ＢＣＭコード認証をＮＧとし、処理を終了する。ＢＣＭ認証ユニット１１４は、照合の結果、一致すればＢＣＭコード認証をＯＫとし、ＥＣＵイモビライザー認証通信ステップ（Ｓ２００）へ移行する。

ＥＣＵイモビライザー認証通信ステップ（Ｓ２００）とＥＣＵイモビライザーコード照合処理（Ｓ２１０）とは、第１のコード認証であるＥＣＵイモビライザー認証処理である。

ＥＣＵイモビライザー認証通信ステップ（Ｓ２００）では、ＥＣＵイモビライザー認証ユニット１１６は、不揮発性メモリ２８０に保有するイモビライザー２０自身のＩＤをＦＩ−ＥＣＵ４０へ送信する。

ＦＩ−ＥＣＵ４０は、内部に保有するイモビライザー２０のＩＤと照合する。その結果、不一致であれば、ＥＣＵイモビライザーコード認証をＮＧとし、処理を終了する。ＦＩ−ＥＣＵ４０は、照合の結果、一致すれば、ＦＩ−ＥＣＵ４０自身のＩＤをイモビライザー２０へ送信する。次にＥＣＵイモビライザーコード照合処理（Ｓ２１０）へ移行する。

ＥＣＵイモビライザーコード照合処理（Ｓ２１０）では、ＥＣＵイモビライザー認証ユニット１１６は、ＦＩ−ＥＣＵ４０のＩＤが返信されれば、返信されたＩＤと、不揮発性メモリ１８０に保有するＦＩ−ＥＣＵ４０のＩＤとを、照合する。その結果、不一致であれば、ＥＣＵイモビライザー認証ユニット１１６は、ＥＣＵイモビライザーコード認証をＮＧとし、処理を終了する。照合の結果、一致すれば、ＥＣＵイモビライザー認証ユニット１１６は、ＥＣＵイモビライザーコード認証をＯＫとする。

このように、イモビライザー２０とＦＩ−ＥＣＵ４０とは相互認証をする。その結果ＯＫであれば、すべての認証がＯＫとなる。

ＥＣＵイモビライザーコード認証がＯＫとなれば、ＥＣＵイモビライザー認証ユニット１１６は、その結果をＦＩ−ＥＣＵ４０へ送信する（Ｓ２２０）。その送信を受けて、ＦＩ−ＥＣＵ４０はエンジンを始動する。

本実施形態では、イモビライザー２０がキーユニット１０のＩＤを認証することでキーコード認証をしたが、キーユニット１０もイモビライザー２０のＩＤを認証する相互認証をしてもよい。

この場合は、イモビライザー２０が保有するイモビライザー２０自身のＩＤを送ると共に、キーユニット１０へＩＤ要求を出す。キーユニット１０は、保有するイモビライザー２０のＩＤと、受信したＩＤとを、照合する。その結果不一致であれば、キーユニット１０は、キーユニット１０自身のＩＤをイモビライザー２０に返信しない。照合した結果、一致すれば、キーユニット１０はキーユニット１０自身のＩＤをイモビライザー２０に返信する。

また、キーユニット１０でイモビライザー２０の認証をすれば、イモビライザー１０でキーユニット２０の認証を省略することもできる。どちらかで認証ができれば、キーユニット１０とイモビライザー２０との認証ができるためである。

同様に、ＢＣＭ３０がＶＳＡ５０のＩＤを認証したが、ＶＳＡ５０もＢＣＭ３０のＩＤを認証する相互認証をしてもよい。

また同様に、イモビライザー２０がＢＣＭ３０のＩＤを認証したが、ＢＣＭ３０もイモビライザー２０のＩＤを認証する相互認証をしてもよい。

また本実施形態では、ＢＣＭ３０が電圧検知をしたが、ＦＩ−ＥＣＵ４０やイモビライザー２０など他のユニットで電圧検知してもよい。ＦＩ−ＥＣＵ４０で電圧検知をする場合は、ＦＩ−ＥＣＵ４０は電圧入力ユニット２５０と同様のユニットを備える。電圧検知処理（Ｓ１４０）で、電圧検出ユニット２１２はＦＩ−ＥＣＵ４０に対して、ＦＩ−ＥＣＵ４０の電圧がバッテリから供給される電圧が途切れたか否かの情報を要求する。ＦＩ−ＥＣＵ４０は、上述したＢＣＭ３０の電圧検知処理（Ｓ１４０）と同様の処理を行い、判定する。その判定結果をＦＩ−ＥＣＵ４０はＢＣＭ３０へ返信し、判定結果に基づいて電圧検出ユニット２１２が次のＦ−ＣＡＮ経由ＩＤ要求ステップ（Ｓ１５０）へ進むか否かを決定する。

≪第２実施形態≫
図５は、本発明の第２の実施形態に係る盗難防止装置の構成を示すブロック図である。

なお、図１に示す第１の実施形態に係ると同じ構成要素については、図１と同じ符号を用いるものとする。また、図１と同じ符号を用いた構成要素については、上述した図１についての説明を援用するものとする。

盗難防止装置３００は、図１に示す第１の実施形態に係る盗難防止装置１と同様の構成を備えるが、キーユニット１０に代えて携帯機３１０を備える点と、ＢＣＭ３３０がイモビライザー２０の機能を合わせて備える点が異なる。

本実施形態は、スマートエントリー・インテリジェントキーという仕様の形態である。

メカニカルなキーの代わりに運転者の持つ携帯機３１０がある。また、イモビライザーがＢＣＭ３３０の中に統合されている。携帯機３１０と自動車に搭載されているＢＣＭ ３３０との間で通信を行い、通信が成立すればドアの施錠／開錠を行う。

次に、ＢＣＭ３３０の構成を説明する。

図６は、本発明の第２の実施形態に係る盗難防止装置を構成する、ＢＣＭの構成を示すブロック図である。

なお、図２および図３に示す第１の実施形態に係るイモビライザー２０およびＢＣＭ３０と同じ構成要素については、図２および図３と同じ符号を用いるものとする。また、図２および図３と同じ符号を用いた構成要素については、上述した図２および図３についての説明を援用するものとする。

ＢＣＭ３３０は、第１の実施形態に係るイモビライザー２０とＢＣＭ３０との両方の構成を有する。

ＢＣＭ３３０は、認証制御ユニットである処理ユニット４１０と、無線通信ユニット４２０と、Ｓ−ＮＥＴ通信インターフェース２３０と、Ｆ−ＣＡＮ通信インターフェース２４０と、電圧入力ユニット２５０と、を有している。

無線通信ユニット４２０は、携帯機３１０と無線で通信する。

処理ユニット４１０は、ＣＰＵ（Central Processing Unit）等のプロセッサ、プログラムが書き込まれたＲＯＭ（Read Only Memory）、データを記憶のためのメモリ４６０を有するコンピュータである。データを記憶のためのメモリ４６０としては、電源が遮断されると記憶内容が消えてしまうＲＡＭ（Random Access Memory）４７０と、電源が遮断されても記憶内容を保持する不揮発性メモリ４８０の２種類を備える。

不揮発性メモリ４８０は、携帯機３１０のＩＤと、Ｆ−ＣＡＮに接続されているＶＳＡ５０、ＳＲＳ６０、Ｍｅｔｅｒ７０の各ＩＤと、Ｓ−ＮＥＴに接続されているＦＩ−ＥＣＵ４０のＩＤと、ＢＣＭ４３０自身のＩＤとを記憶する。また不揮発性メモリ４８０は起動処理がされたことを示す起動処理フラグを記憶する。

処理ユニット４１０は、キーコード認証ユニット４１２と、電圧検出ユニット２１２と、Ｆ−ＣＡＮ認証ユニット２１４と、ＥＣＵイモビライザー認証ユニット４１６と、を備える。処理ユニット４１０が備える上記各部は、コンピュータである処理ユニット４１０がプログラムを実行することにより実現され、当該コンピュータ・プログラムは、コンピュータ読み取り可能な任意の記憶媒体に記憶させておくことができる。

なお、処理ユニット４１０が備える上記各部を、それぞれ一つ以上の電気部品を備える専用のハードウェアとして構成してもよい。

キーコード認証ユニット４１２は、無線通信ユニット４２０を介して携帯機３１０と通信をし、ＩＤを用いたコード認証を行う。

ＥＣＵイモビライザー認証ユニット４１６は、Ｓ−ＮＥＴ通信インターフェース２３０を介してＦＩ−ＥＣＵ４０と通信をし、ＩＤを用いたコード認証を行う。

〔認証動作手順〕
次に、盗難防止装置３００の認証動作手順について説明する。

図７は、本発明の第２の実施形態に係る盗難防止装置の、認証動作手順を示すシーケンス図である。図７で矢印ｔの方向に示す時間の経過に従って、手順が進行する。

なお、図４に示す第１の実施形態に係る盗難防止装置１の動作手順と同じステップについては、図４と同じ符号を用いるものとする。また、図４と同じ符号を用いたステップについては、上述した図４についての説明を援用するものとする。

盗難防止装置３００の動作手順は、第１の実施形態に係る盗難防止装置１の動作手順（図３）とは、キー認証に関するステップ（Ｓ３１０、Ｓ３２０）、ＥＣＵイモビライザー認証に関するステップ（Ｓ４００、Ｓ４１０）の通信主体が異なり、ＢＣＭ認証に関するステップ（Ｓ１３０、Ｓ１８０、Ｓ１９０）がない点が異なる。

図７で、ステップＳ３１０と、ステップＳ３２０とは、キーコード認証処理である。

携帯機３１０からスイッチを操作され、ＢＣＭ３３０にイグニッションＯＮ指令が送信されると、携帯機３１０とＢＣＭ３３０とがＩＤを用いたコード認証をする（キー認証通信ステップ，Ｓ３１０）。まず、ＢＣＭ３３０から携帯機３１０へ認証を要求する。携帯機３１０は、保有する、次に、キーコード照合処理（Ｓ３２０）へ移行する。

キーコード照合処理（Ｓ３２０）では、キーコード認証ユニット４１２は、不揮発性メモリ４８０に保有する携帯機３１０のＩＤと、送信されたＩＤとを、照合する。その結果、一致していなければ、キーコード認証ユニット４１２は、キーコード認証をＮＧとし、次のステップへ移行せず、終了する。照合した結果、一致していれば、キーコード認証ユニット４１２は、キーコード認証をＯＫとし、次のステップである電圧検出ステップ（Ｓ１４０）へ移行する。

電圧検出ステップ（Ｓ１４０）から、Ｆ−ＣＡＮコード認証処理（Ｓ１７０）までは第１の実施形態に係る盗難防止装置１の動作手順（図３）と同様である。Ｆ−ＣＡＮ認証ユニット２１４と、Ｆ−ＣＡＮに接続されている装置の制御ユニット５２、６２、７２とで、第２のコード認証であるＦ−ＣＡＮコード認証をする。

Ｆ−ＣＡＮコード認証の結果、認証ＯＫであるか、ＢＣＭ３３０の電圧が途切れていなかった場合、ＥＣＵイモビライザー認証通信ステップ（Ｓ４００）へ移行する。

Ｆ−ＣＡＮコード認証の結果、ＮＧであれば、そのまま何もしない。その結果、次のステップであるＥＣＵイモビライザー認証通信ステップ（Ｓ４００）へ移行しないので、エンジンは止まったままの状態となる。

ＥＣＵイモビライザー認証通信ステップ（Ｓ４００）とＥＣＵイモビライザーコード照合処理（Ｓ４１０）とは、第１のコード認証であるＥＣＵイモビライザー認証処理である。

ＢＣＭ３３０はイモビライザーの機能も備えているので、第１の実施形態に係るイモビライザー２０とＦＩ−ＥＣＵ４０との相互認証の機能を、ＢＣＭ３３０がイモビライザー２０に代わって実行する。

ＥＣＵイモビライザー認証通信ステップ（Ｓ４００）では、ＥＣＵイモビライザー認証ユニット４１６が、不揮発性メモリ４８０に保有するＢＣＭ３３０自身のＩＤをＦＩ−ＥＣＵ４０へ送信する。

ＦＩ−ＥＣＵ４０は、内部に保有するＢＣＭ３３０のＩＤと照合する。その結果、不一致であれば、ＥＣＵイモビライザー認証をＮＧとし、処理を終了する。ＦＩ−ＥＣＵ４０は、照合の結果、一致すれば、ＦＩ−ＥＣＵ４０自身のＩＤをＢＣＭ３３０へ送信する。次にＥＣＵイモビライザーコード照合処理（Ｓ４１０）へ移行する。

ＥＣＵイモビライザーコード照合処理（Ｓ４１０）では、ＥＣＵイモビライザー認証ユニット４１６は、ＦＩ−ＥＣＵ４０のＩＤが返信されれば、返信されたＩＤと、不揮発性メモリ４８０に保有するＦＩ−ＥＣＵ４０のＩＤとを、照合する。その結果、不一致であれば、ＥＣＵイモビライザー認証ユニット４１６は、ＥＣＵイモビライザー認証をＮＧとし、処理を終了する。ＢＣＭ３３０は照合の結果、一致すれば、ＥＣＵイモビライザー認証ユニット４１６は、ＥＣＵイモビライザー認証をＯＫとする。

このように、イモビライザー機能を含むＢＣＭ３３０とＦＩ−ＥＣＵ４０とは相互認証をする。その結果ＯＫであれば、すべての認証がＯＫとなる。

ＥＣＵイモビライザーコード認証がＯＫとなれば、ＥＣＵイモビライザー認証ユニット４１６は、その結果をＦＩ−ＥＣＵ４０へ送信する（Ｓ４２０）。その送信を受けて、ＦＩ−ＥＣＵ４０はエンジンを始動する。

なお、第１の実施形態で説明した、相互認証の各例や電圧検知の他の例は、第２の実施形態でも適用できる。

≪他の実施形態≫
第１および第２実施形態では、ＢＣＭ３０、３３０がＦＩ−ＥＣＵ４０と接続するＳ−ＮＥＴではなく、他のネットワークであるＦ−ＣＡＮに接続されている装置に対して、認証を行ったが、他のネットワークは、Ｆ−ＣＡＮでなくてもよい。

たとえば他のネットワークは、パワーウィンドウやミラー調整、電動シート、ドアロックなどのボディ制御に使われるＬＩＮ（Local Interconnect Network）、X-by-wireを実現するプロトコル仕様を採用し、主にパワートレインなどの制御装置で使われるＦｌｅｘＲａｙ、ＴＣＰ／ＩＰであってもよい。

その他、車内ＬＡＮで繋がっているネットワークはエンジンルーム内のネットワーク、ハイブリッド車であれば電気モータのネットワークなど多数ある。すなわち、認証の対象とする装置は、イモビライザー２０と、ＢＣＭ３０、３３０と、ＦＩ−ＥＣＵ４０との間で認証するためのＳ−ＮＥＴ以外である、他のネットワークに接続される装置であってもよい。

最近、イモビライザー２０、ＢＣＭ３０、３３０、ＦＩ―ＥＣＵ４０の３点セットで交換される盗難手口が懸念されているが、ＢＣＭ３０、３３０などの電源が切断され再投入された場合に、Ｆ−ＣＡＮなど他のネットワークに接続されている装置との照合通信を実施すると、ＶＳＡ５０、ＳＲＳ６０、Ｍｅｔｅｒ７０までが含まれるようになるため、盗難防止性能が向上する。

以上説明した実施形態に係る盗難防止装置では、ＦＩ−ＥＣＵ４０又は処理ユニット１１０、２１０、３１０に電源から供給されている電圧を検出する電圧検出ユニット２１２と、ＦＩ−ＥＣＵ４０とは別の装置を制御する制御ユニット５２などとを有し、ＦＩ−ＥＣＵ４０との第１のコード認証を行い、電圧検出ユニットで検出された電圧が所定値以下を検出した場合のみ、制御ユニット５２などと第２のコード認証を行う。

これらのコード認証の結果、ＮＧであればエンジンを始動させない。

これにより、盗難者は、本実施形態で説明した装置を搭載した車両を盗難しようとした場合、従来からの認証に関するネットワークを構成する装置だけではなく、Ｆ−ＣＡＮなど他のネットワークに接続されている装置全部を変えない限りエンジンを動かすことができない。そのため防盗性、信頼性が向上する。

また、電圧が所定値以下を検出した場合のみ、Ｆ−ＣＡＮなど他のネットワークに接続されている装置とのコード認証をし、それ以外は認証をしないので、通常は認証に要する通信時間は従来とほとんど変わらない。

なお本発明の実施の形態は、上述した実施の形態に限定されるものではなく、本技術の要旨を逸脱しない範囲において種々の変更が可能である。

１、３００・・・盗難防止装置、１０・・・キーユニット、２０・・・イモビライザー、３０、３３０・・・ＢＣＭ、４０・・・ＦＩ−ＥＣＵ、５０・・・ＶＳＡ５０、６０・・・ＳＲＳ６０、７０・・・Ｍｅｔｅｒ、１１０、２１０、４１０・・・処理ユニット、１１２、４１２・・・キーコード認証ユニット、１１４、２１６・・・ＢＣＭ認証ユニット、１１６、４１６・・・ＥＣＵイモビライザー認証ユニット、１２０、４２０・・・無線通信ユニット、１３０、２３０・・・Ｓ−ＮＥＴ通信インターフェース、１６０、２６０、４６０・・・メモリ、１７０、２７０、３７０・・・ＲＡＭ、１８０、２８０、４８０不揮発性メモリ、２１２・・・電圧検出ユニット、２１４・・・Ｆ−ＣＡＮ認証ユニット、２４０・・・Ｆ−ＣＡＮ通信インターフェース、２５０・・・電圧入力ユニット。

Claims (4)

1. エンジンの始動の制御を行うエンジン制御ユニットと、
   前記エンジン制御ユニットとの間で第１のコード認証をする認証制御ユニットと、
   前記エンジン制御手段又は前記認証制御手段に電源から供給されている電圧を検出する電圧検出ユニットと、
   前記認証制御ユニットと第２のコード認証し、前記エンジン制御ユニットとは別の装置を制御する第１制御ユニットとを備え、
   前記認証制御ユニットは、前記電圧検出ユニットで検出された電圧が所定値以下を検出した場合のみ、前記第１制御ユニットとの認証を行う、
   盗難防止装置。
2. 前記第１制御ユニットは、
   前記エンジン制御ユニットと前記認証制御ユニットとは別系統で、かつ他の制御ユニットが接続されるネットワークに接続されている、
   請求項１に記載の盗難防止装置。
3. 前記ネットワークには、複数の装置が各々備える前記他の制御ユニットが接続され、
   前記認証制御ユニットは、前記電圧が所定値以下に検出される毎に、前記ネットワークを介して、前記第１制御ユニットおよび前記他の制御ユニットの内、所定の制御ユニットと前記第２のコード認証を行う、
   請求項２に記載の盗難防止装置。
4. エンジン制御ユニットとの間で第１のコード認証をする認証制御ユニットが行う盗難防止方法であって、
   電源から供給されている電圧を検出し、
   前記検出の結果が所定値以下であった場合のみ、前記エンジン制御ユニットとは別の装置を制御する第１制御ユニットと第２のコード認証を行う、
   盗難防止方法。

Images