JP2019012338A - カーシェアリングシステム及びカーシェアリング方法 - Google Patents

Abstract

【課題】車両を複数人でシェア可能とするにあたり、車両構成を簡素化することができるカーシェアリングシステム及びカーシェアリング方法を提供する。
【解決手段】ユーザは、シェア用の車両１を使用するとき、携帯端末３３を使用してサーバ３２に車両予約を行う。サーバ３２は、携帯端末３３から車両予約を受け付けると、例えばワンタイムキーからなる鍵情報Ｋｄを生成し、これを携帯端末３３に送信する。車両使用開始時、携帯端末３３は、鍵情報Ｋｄを車両１に送信する。携帯端末３３から送信された鍵情報Ｋｄをカーシェア装置３４が受信すると、ユーザ認証機能部５７は、鍵情報Ｋｄを認証し、認証が成立すれば、カーシェア装置３４のキー機能部５６を有効にする。そして、キー機能部５６は、電子キーシステム４とＩＤ照合（スマート照合）を行う。このとき、ＩＤ照合が成立すれば、車両１の使用が許可される。
【選択図】図１

Description

本発明は、１台の車両を複数人で共有するカーシェアリングシステム及びカーシェアリング方法に関する。

従来、１台の車両を複数人で共有するカーシェアリングシステムが周知である（特許文献１，２等参照）。この種のカーシェアリングシステムでは、例えばカーシェア使用の登録をサーバ等に対して予め行っておき、例えば携帯端末（高機能携帯電話等）で車両予約を行った上で、予約時間内において車両の使用が許可される。

特開２０１６−１１５０７７号公報 特開２０１６−７１８３４号公報

この種のカーシェアリングシステムの場合、使用予約を携帯端末からサーバに問い合わせて行い、サーバから予約情報を車両に送信することにより、車両予約を行うものが多い。しかし、この構成では、車両にサーバ通信する装置が必要となり、車両構成が複雑化する問題があった。また、車両の貸し出し時、ユーザが所持するＩＣカード等の会員証を車両のリーダライタで読み取る構成をとると、車両にリーダライタが必要となるので、このことも車両構成の複雑化を助長する。

さらに、例えば車両のエンジン始動をキー操作とする場合、一例として車内のグローブボックス等に車両キーを保管しておく必要がある。この場合、車両の室内に車両キーが存在することとなるので、キー盗難を要因とする車両の不正使用の点でセキュリティ性がよくないという問題もあった。

本発明の目的は、車両を複数人でシェア可能とするにあたり、車両構成を簡素化することができるカーシェアリングシステム及びカーシェアリング方法を提供することにある。

前記問題点を解決するカーシェアリングシステムは、複数人によりシェアされる車両の機器を、電子キーと同様の処理を経るＩＤ照合を通じて操作可能とするキー機能部と、携帯端末で前記機器を操作するにあたり、外部で生成された鍵情報を携帯端末経由で取得し、前記鍵情報の認証が成立しつつ使用が予約時間内であれば、前記キー機能部を有効にして、前記車両の機器を操作可能とするユーザ認証機能部と、を備えたカーシェア装置を有し、前記鍵情報は、一時的な使用のみが許可された情報からなる。

本構成によれば、携帯端末で車両使用を予約するとき、サーバから予約情報を車両へ送信するのではなく、サーバから携帯端末に予約情報として鍵情報を送信する。このため、サーバとの通信に必要な機能を車両に設けずに済むので、この点で車両の構成を簡素化することが可能となる。また、予約情報は、読み取りに認証を課した鍵情報（暗号化された鍵情報）として携帯端末に送信されるので、鍵情報を安全に携帯端末に付与することも可能となる。さらに、携帯端末で車両を操作するとき、キー機能を有するカーシェア装置を通じて、車両に既設の電子キーシステムを用いて車両を作動させる。このため、車両を携帯端末で操作するにあたって、既設の電子キーシステムを利用するので、システムを１から構築する必要がなく、この点でも車両の構成簡素化に寄与する。また、携帯端末を車両キーとして使用可能となるので、例えば会員証等のＩＣカードを不要にすることが可能となり、簡便なシステムとすることも可能となる。

前記カーシェアリングシステムにおいて、前記鍵情報は、使用が１度のみ許可されたワンタイムキーからなることが好ましい。この構成によれば、鍵情報を一度のみ使用できるものとしたので、車両使用に対するセキュリティ性を確保することが可能となる。

前記カーシェアリングシステムにおいて、前記鍵情報は、前記カーシェア装置が個々に有する固有のカーシェア装置固有鍵によって暗号化されていることが好ましい。この構成によれば、鍵情報は暗号通信で送付されるので、鍵情報を付与する際のセキュリティ性を確保することが可能となる。

前記カーシェアリングシステムにおいて、前記鍵情報は、ネットワーク通信を通じて前記車両のシェアを管理するサーバで生成されることが好ましい。この構成によれば、鍵情報をサーバにて安全に生成することが可能となる。

前記カーシェアリングシステムにおいて、前記キー機能部が電子キーシステムとＩＤ照合するときに行う暗号通信と、前記携帯端末により前記車両を操作するときに前記ユーザ認証機能部及び前記携帯端末が行う暗号通信とは、機能的に分離されていることが好ましい。この構成によれば、これら暗号通信のうち、一方の暗号鍵が盗み取られても、これが他方の暗号通信に使用できるものとはならない。よって、車両使用に対するセキュリティ性を確保するのに一層有利となる。

前記カーシェアリングシステムにおいて、前記鍵情報は、予約重複を検知するカウンタ値を有し、前記ユーザ認証機能部は、前記携帯端末で前記車両を操作するとき、前記鍵情報の前記カウンタ値を確認し、その確認結果を基に、車両使用の可否を判断することが好ましい。この構成によれば、鍵情報が何回目に生成されたものであるのかをカウンタ値によって管理するので、鍵情報の再利用を防止することが可能となる。

前記カーシェアリングシステムにおいて、前記鍵情報は、現在日時を通知する時刻情報を有し、前記カーシェア装置は、予約時間か否かを確認するときに使用するタイマ部を備え、前記ユーザ認証機能部は、前記鍵情報に含まれる前記時刻情報を基に前記タイマ部の時刻を調整することが好ましい。この構成によれば、鍵情報に含まれる時刻情報を基にタイマ部の時刻を調整することが可能となるので、タイマ部の時刻改竄に対する対策をとることが可能となる。

前記カーシェアリングシステムにおいて、前記鍵情報は、キーとして使用される前記携帯端末の端末ＩＤを有し、前記ユーザ認証機能部は、前記鍵情報に含まれる前記端末ＩＤを基に、予約された前記携帯端末か否かを確認することが好ましい。この構成によれば、車両使用時に携帯端末の端末ＩＤを確認するので、車両使用に対するセキュリティ性を確保するのに一層有利となる。

前記カーシェアリングシステムにおいて、前記携帯端末は、前記カーシェア装置との暗号通信で用いるユーザ認証鍵が消失したとき、前記鍵情報の再発行手続きが行われると、当該鍵情報を再度取得して、消失した前記ユーザ認証鍵を登録し直すことが好ましい。この構成によれば、携帯端末のユーザ認証鍵が消失したとしても、鍵情報の再発行手続きを行うことにより、携帯端末にユーザ認証鍵を再度登録し直すことが可能となる。

前記カーシェアリングシステムにおいて、前記ユーザ認証機能部は、前記車両の使用に関するログを保存し、当該ログを携帯端末経由でサーバに通知可能であることが好ましい。この構成によれば、ログの確認をすることによって過去の車両使用の履歴を確認することが可能となるので、車両の使用について過去に不正使用があったか否かを確認することが可能となる。

前記カーシェアリングシステムにおいて、前記ユーザ認証機能部は、前記携帯端末からサーバ接続要求を受け付けたとき、サーバに時刻取得要求を行い、このときに当該サーバから取得する時刻情報を基に前記カーシェア装置のタイマ部を設定し直し、使用が予約時間内か否かを確認することが好ましい。この構成によれば、カーシェア装置のタイマ部の時間を設定し直してから、車両使用が予約時間内か否かを確認するので、車両使用が正しいか否かの判断を精度よく行うことが可能となる。

前記カーシェアリングシステムにおいて、前記ユーザ認証機能部は、前記サーバに時刻取得要求を行ったとき、サーバ接続が失敗したのであれば、前記カーシェア装置のタイマ部にそのとき保持されている時刻から、使用が予約時間内か否かを確認することが好ましい。この構成によれば、携帯端末からサーバ接続要求を受け付けてサーバ接続を行ったとき、仮にサーバ接続が失敗したとしても、カーシェア装置のタイマ部の時刻を確認しにいくので、車両使用が予約時間内か否かを確認することが可能となる。

前記カーシェアリングシステムにおいて、前記携帯端末は、前記車両の返却操作が行われたとき、自身のメモリに書き込み保存されている前記鍵情報及び当該鍵情報に類する情報群を消去することが好ましい。この構成によれば、車両使用が済んだ後は、携帯端末のメモリ内の鍵情報及びその情報群を消去しておくので、これらデータが不正に盗み取られる心配がない。

前記問題点を解決するカーシェアリング方法は、外部から携帯端末に対し、一時的な使用のみが許可された情報からなる鍵情報を付与するステップと、車両に設けられたカーシェア装置のユーザ認証機能部が、前記携帯端末から前記鍵情報を取得するステップと、前記ユーザ認証機能部が前記鍵情報を認証し、当該認証が成立しつつ使用が予約時間内であれば、前記カーシェア装置のキー機能部を有効にして、前記車両の機器を操作可能とするステップと、前記車両の電子キーと同様の処理を経るＩＤ照合を前記キー機能部により行い、当該ＩＤ照合が成立すれば、前記車両の機器を操作可能にするステップとを備えた。

本発明によれば、車両を複数人でシェア可能とするにあたり、車両構成を簡素化することができる。

一実施形態のカーシェアリングシステムの構成図。 カーシェア装置の登録処理のシーケンス図。 鍵情報認証のシーケンス図。 図３の処理の続きを示す鍵情報認証のシーケンス図。 ユーザ認証のシーケンス図。 鍵情報再認証のシーケンス図。 車両ドアのアンロック作動のシーケンス図。 車両ドアのロック作動のシーケンス図。 車両のエンジンを始動するときのシーケンス図。 ログ通知のシーケンス図。 サーバ接続（接続可能時）のシーケンス図。 サーバ接続（接続不可時）のシーケンス図。 車両返却のシーケンス図。

以下、カーシェアリングシステム及びカーシェアリング方法の一実施形態を図１〜図１３に従って説明する。
図１に示すように、車両１は、電子キー２との無線によりＩＤ照合を行って機器３の作動を実行又は許可する電子キーシステム４を備える。電子キーシステム４は、車両１からの通信を契機に狭域無線によりＩＤ照合を実行するキー操作フリーシステムである。キー操作フリーシステムは、電子キー２を直に操作することなく自動でＩＤ照合（スマート照合）が行われるものである。機器３は、例えばドアロック装置５やエンジン６などがある。

車両１は、ＩＤ照合を行う照合ＥＣＵ（Electronic Control Unit）９と、車載電装品の電源を管理するボディＥＣＵ１０と、エンジン６を制御するエンジンＥＣＵ１１とを備える。これらＥＣＵは、車内の通信線１２を介して電気接続されている。通信線１２は、例えばＣＡＮ（Controller Area Network）やＬＩＮ（Local Interconnect Network）である。照合ＥＣＵ９のメモリ１３には、車両１に登録された電子キー２の電子キーＩＤが登録されている。ボディＥＣＵ１０は、車両ドア１４の施解錠を切り替えるドアロック装置５を制御する。

車両１は、室外に電波を送信可能な室外送信機１６と、室内に電波を送信可能な室内送信機１７と、車両１において電波を受信可能な電波受信機１８とを備える。室外送信機１６及び室内送信機１７は、ＬＦ（Low Frequency）帯の電波を送信する。電波受信機１８は、ＵＨＦ（Ultra High Frequency）帯の電波を受信する。電子キーシステム４は、ＬＦ−ＵＨＦの双方向通信となっている。

電子キー２は、電子キー２の作動を制御するキー制御部２１と、電子キー２において電波を受信する受信部２２と、電子キー２において電波を送信する送信部２３とを備える。受信部２２は、ＬＦ電波を受信可能である。送信部２３は、ＵＨＦ電波を送信可能である。キー制御部２１のメモリ２４には、電子キー２が固有に持つ電子キーＩＤが登録されている。

車両駐車時、電子キー２を起動させるウェイク信号が室外送信機１６からＬＦ電波によって送信されているとき、電子キー２は、ウェイク信号の通信エリアに進入して受信すると、待機状態から起動する。このとき、照合ＥＣＵ９は、起動した電子キー２との間でＩＤ照合（室外スマート照合）を開始する。このスマート照合には、例えば電子キーＩＤの正否を確認する電子キーＩＤ照合や、キー固有鍵（暗号鍵）を用いたチャレンジレスポンス認証などが含まれる。照合ＥＣＵ９は、これら照合や認証が成立するとＩＤ照合を成立として処理し、ボディＥＣＵ１０による車両ドア１４の施解錠を実行又は許可する。

照合ＥＣＵ９は、例えばドアカーテシスイッチ２７等によりユーザの乗車を検出すると、室外送信機１６に代えて、室内送信機１７からウェイク信号を送信する。このウェイク信号を電子キー２が受信すると、室外のときと同様のＩＤ照合（室内スマート照合）が開始される。そして、照合ＥＣＵ９は、室内スマート照合が成立することを確認すると、運転席に設けられたエンジンスイッチ２８による電源状態の遷移操作（エンジン始動操作）を許可する。

車両１は、１台の車両１を複数人で共有するカーシェアリングシステム３１を備える。本例のカーシェアリングシステム３１は、暗号化された鍵情報Ｋｄをサーバ３２から携帯端末３３に登録し、鍵情報Ｋｄを復号可能な暗号鍵（カーシェア装置固有鍵）を有するカーシェア装置３４が搭載された車両１に対し、携帯端末３３から鍵情報Ｋｄを送信してカーシェア装置３４で認証し、その認証が成立すれば、車載された機器３の操作が許可されるものである。

カーシェア装置３４は、車両１の電子キーシステム４のハード構成から独立しており、車両１に対し後付けされたものとなっている。カーシェア装置３４は、例えば予約時間内のときのみ有効になる電子キーの位置付けであり、スペアキーと同様の扱いである。そして、車両１の電子キーシステム４（照合ＥＣＵ９）は、カーシェア装置３４のキー機能の有効／無効が切り替えられることにより、車内に電子キーが出現したり消滅したりすると認識する。カーシェア装置３４は、車両１のバッテリ＋Ｂから電源が供給されている。

サーバ３２は、サーバ３２においてカーシェアリングシステム３１の作動を管理するサーバアプリケーション３７と、鍵情報Ｋｄを生成する鍵情報生成部３８とを備える。鍵情報生成部３８は、例えばサーバアプリケーション３７によって機能的に生成される。鍵情報生成部３８は、例えば携帯端末３３から車両予約をネットワーク通信により受け付けたときに鍵情報Ｋｄを生成する。鍵情報Ｋｄは、一時的な使用のみが許可された情報からなり、具体的には、使用が１度のみ許可されたワンタイムキーからなる。

サーバ３２は、鍵情報Ｋｄを発行する際に必要となる各種情報が登録されたデータベース３９を備える。データベース３９には、鍵情報生成部３８により生成された鍵情報Ｋｄと、カーシェアリングシステム３１に登録した顧客の情報（顧客情報Ｄ１）と、複数人にシェアされる車両１に関する情報（車両情報Ｄ２）と、車両１に設置されるカーシェア装置３４に関する情報（カーシェア装置情報Ｄ３）とが登録されている。

携帯端末３３は、携帯端末３３の作動を制御する端末制御部４２と、携帯端末３３のネットワーク通信を可能とするネットワーク通信モジュール４３と、携帯端末３３の近距離無線通信を可能とする近距離無線モジュール４４と、データ書き替え可能なメモリ４５とを備える。近距離無線通信は、例えばブルートゥース（Bluetooth：登録商標）であることが好ましい。

携帯端末３３は、携帯端末３３においてカーシェアリングシステム３１の作動を管理するユーザインターフェースアプリケーション４６と、携帯端末３３において車両１をシェアする作動を実行するシェア処理部４７を備える。シェア処理部４７は、端末制御部４２に設けられ、例えばユーザインターフェースアプリケーション４６により機能的に生成される。携帯端末３３のメモリ４５には、携帯端末３３で車両１を操作するときの通信時に必要となるユーザ認証鍵が登録される。ユーザ認証鍵は、例えば生成の度に値が毎回変わる乱数からなるものであって、予めカーシェアリングシステム３１に登録されたものでもよいし、或いは車両使用時に生成されて必要な部材に登録されるものでもよい。

カーシェア装置３４は、カーシェア装置３４の作動を制御するコントローラ５０と、カーシェア装置３４のスマート通信を可能とするスマート通信ブロック５１と、カーシェア装置３４の近距離無線通信を可能とする近距離無線モジュール５２と、データ書き替え可能なメモリ５３と、カーシェア装置３４において日時を管理するタイマ部５４とを備える。メモリ５３には、カーシェア装置情報Ｄ３を構築するカーシェア装置ＩＤ及びカーシェア装置固有鍵が予め書き込み保存されている。タイマ部５４は、例えばソフトタイマからなる。

カーシェア装置３４は、スマート通信ブロック５１を通じてカーシェア装置３４の通信網を介したＩＤ照合（本例はスマート照合）を実行するキー機能部５６を備える。キー機能部５６は、コントローラ５０に設けられている。キー機能部５６は、複数人によりシェアされる車両１の機器３を、電子キー２と同様の処理を経るＩＤ照合を通じて操作可能とする。

カーシェア装置３４は、携帯端末３３で機器３を遠隔操作するときに携帯端末３３と通信を実行するユーザ認証機能部５７を備える。ユーザ認証機能部５７は、コントローラ５０に設けられている。ユーザ認証機能部５７は、携帯端末３３で機器３が操作されるにあたり、外部（本例はサーバ３２）で生成された鍵情報Ｋｄを携帯端末３３経由で取得し、鍵情報Ｋｄの認証が成立しつつ使用が予約時間内であれば、キー機能部５６を有効にして、車両１の機器３を操作可能とする。

次に、図２〜図１３を用いて、本発明の実施例であるカーシェアリングシステム３１の作用及び効果を説明する。
図２に、カーシェア装置３４の登録処理のシーケンスを図示する。カーシェア装置３４の登録処理は、カーシェア装置３４を車両１に搭載するときに実施され、キー登録ツール６０が使用される。キー登録ツール６０は、カーシェア装置３４をシェア用の車両１に登録するときに使用する専用ツールである。カーシェア装置３４の登録処理時には、キー登録ツール６０を車両１に接続し、キー登録ツール６０で登録操作を実行することにより、カーシェア装置３４を車両１に登録する。

ステップ１０１において、カーシェア装置３４、サーバアプリケーション３７及びキー登録ツール６０は、キー登録ツール６０にカーシェア装置登録要求が入力されたことを契機に、カーシェア装置３４の登録処理を開始する。本例の場合、カーシェア装置３４、サーバアプリケーション３７及びキー登録ツール６０は、製造時に各カーシェア装置３４に付与されたカーシェア装置ＩＤと、カーシェア装置３４を登録する車両１の車両ＩＤとを紐付けする紐付作業を実行する。車両ＩＤは、例えば車両ナンバーである。

ステップ１０２において、キー登録ツール６０は、紐付作業が完了すると、照合ＥＣＵ９に登録されている電子キーＩＤ及びキー固有鍵をカーシェア装置３４に登録する登録作業を実行する。この登録作業は、例えば車載されたイモビライザーシステムを通じて実行されることが好ましい。イモビライザーシステムは、例えばＲＦＩＤ（Radio Frequency IDentification）等の近距離無線通信を通じて、タグ（本例はカーシェア装置３４）の正否を確認するものである。なお、電子キー２を照合ＥＣＵ９に登録するときも、このイモビライザー通信を通じて実行される。

カーシェア装置３４の登録作業は、キー登録ツール６０で登録開始操作がなされるとともに、カーシェア装置３４を車両１の近距離無線アンテナ（図示略）にかざすことで実行される。この場合、カーシェア装置３４は、イモビライザーシステムの通信網を通じて取得要求を照合ＥＣＵ９に送信する。照合ＥＣＵ９は、カーシェア装置３４から取得要求を受信すると、自身に登録されている電子キーＩＤ及びキー固有鍵を、イモビライザーシステムの通信網を通じてカーシェア装置３４に返信する。カーシェア装置３４は、照合ＥＣＵ９から受信した電子キーＩＤ及びキー固有鍵を、自身のメモリ５３に書き込む。

図３及び図４に、鍵情報認証のシーケンスを図示する。鍵情報Ｋｄの認証処理は、車両１、サーバ３２及び携帯端末３３の間で実施される。
まず、図３に示すステップ２０１において、シェア処理部４７は、認証処理の開始操作が携帯端末３３で行われると、この操作を契機として、ユーザインターフェースアプリケーション４６を起動させる。

ステップ２０２において、鍵情報生成部３８及びシェア処理部４７は、車両１を予約するユーザを確認するユーザ認証を実行する。本例のユーザ認証では、ユーザＩＤ及びパスワードの認証と、予約したい車両１を登録する利用予約手続きとが実施される。ユーザＩＤは、カーシェアリングシステム３１への登録時にユーザ毎に割り振られた固有のＩＤである。パスワードは、カーシェアリングシステム３１への登録時にユーザが自ら設定した番号や文字からなる。ユーザＩＤ及びパスワードの認証時、これらが携帯端末３３に入力されて、サーバ３２にネットワーク送信される。鍵情報生成部３８は、携帯端末３３から受信したユーザＩＤ及びパスワードと、データベース３９の顧客情報Ｄ１とを比較することにより、ユーザの認証を行い、認証が成立すれば処理を継続し、認証が不成立であれば処理を強制終了する。

利用予約手続きでは、予約する車両１や日時等が入力される。そして、シェア処理部４７は、利用予約の入力が完了すると、予約車両や予約日時の各種情報とともに、各々の携帯端末３３が固有に有する端末ＩＤなどをサーバ３２にネットワーク送信する。

ステップ２０３において、シェア処理部４７は、ユーザ認証（ユーザＩＤ及びパスワードの認証、利用予約手続き）が完了すると、鍵情報Ｋｄのダウンロード要求（鍵情報ダウンロード要求）をサーバ３２にネットワーク送信する。

ステップ２０４において、鍵情報生成部３８は、ユーザ認証成立下で鍵情報ダウンロード要求を受信すると、鍵情報Ｋｄを生成する。このとき、鍵情報生成部３８は、携帯端末３３から通知を受けた予約車両の車両情報Ｄ２から、予約車両に搭載されているカーシェア装置３４の固有鍵（カーシェア装置固有鍵）を割り出す。なお、カーシェア装置固有鍵は、シェアされる車両１に対して一対一の関係を有する。

そして、鍵情報生成部３８は、このカーシェア装置固有鍵を使用して鍵情報Ｋｄを生成する。本例の場合、鍵情報生成部３８は、例えば「予約日時、端末ＩＤ、時刻情報Ｔｘ、カウンタ値Ｃｘ」を平文（暗号化情報）とし、「カーシェア装置固有鍵」を暗号化鍵として、これらを暗号式（暗号アルゴリズム）に通すことにより暗号文を生成し、この暗号文を鍵情報Ｋｄとする。予約日時及び端末ＩＤは、ユーザ認証で携帯端末３３から取得した情報である。時刻情報Ｔｘは、タイマ部５４の設定時刻を調整するために使用され、サーバ３２が管理する正確な時刻に設定されている。カウンタ値Ｃｘは、鍵情報Ｋｄの再使用を防止するためのものであり、鍵情報Ｋｄを生成するごとに例えば値がカウントアップされる。

ステップ２０５において、鍵情報生成部３８は、生成した鍵情報Ｋｄを、携帯端末３３にネットワーク送信する。
ステップ２０６において、シェア処理部４７は、サーバ３２から鍵情報Ｋｄを受信すると、これをメモリ４５に書き込むなどして保管する。この鍵情報Ｋｄは、予約時間内のみ有効である。

図４に示すステップ２０７において、シェア処理部４７及びユーザ認証機能部５７は、２者間のＢＬＥ（Bluetooth Low Energy）の通信を確立するために通信接続を実行する。まず、ユーザ認証機能部５７（カーシェア装置３４）は、定期的にアドバタイズを送信する。ここで、予約時間内にユーザが車両１に接近したとする。シェア処理部４７（携帯端末３３）は、アドバタイズを受信するとき、車両１を借りる予約時間になると、通信接続要求をカーシェア装置３４に送信する。ユーザ認証機能部５７（カーシェア装置３４）は、携帯端末３３から通信接続要求を受信すると、通信が確立したことを相手側に通知する通信接続確認を携帯端末３３に送信する。これにより、携帯端末３３及びカーシェア装置３４のＢＬＥ通信が確立する。

ステップ２０８において、ユーザ認証機能部５７は、通信接続（ＢＬＥ接続）が完了すると、携帯端末３３に登録された鍵情報Ｋｄの通知を要求する鍵情報要求を送信する。
ステップ２０９において、シェア処理部４７は、カーシェア装置３４から受信した鍵情報要求に応答して、自身に登録された鍵情報Ｋｄ（カーシェアの使用開始要求）をカーシェア装置３４に通知する鍵情報通知を送信する。このとき、カーシェア装置３４に送信される鍵情報Ｋｄは、カーシェアリングシステム３１に登録された所定の暗号鍵（例えばカーシェア装置固有鍵）により暗号化されて送信される。また、シェア処理部４７は、鍵情報Ｋｄとともに、携帯端末３３が有する端末ＩＤも同時にカーシェア装置３４に通知する。

ステップ２１０において、シェア処理部４７及びユーザ認証機能部５７は、鍵情報Ｋｄを使用した認証作業を実行する。このとき、ユーザ認証機能部５７は、カーシェアリングシステム３１に登録済みの所定の暗号鍵を用いて行った鍵情報Ｋｄの復号が成功したか否かを確認する。鍵情報Ｋｄの復号が成功すれば、携帯端末３３から得た鍵情報Ｋｄが正しい暗号鍵で暗号化されていたとして、認証を成功とする。そして、認証が成功すれば、鍵情報Ｋｄに含まれていた「予約日時、端末ＩＤ、時刻情報Ｔｘ、カウンタ値Ｃｘ」を取得することができる。一方、認証が不成立であれば、不正な暗号鍵で暗号化されていたとして、認証を失敗とし、ＢＬＥ通信の接続を停止する。

ユーザ認証機能部５７は、認証作業において、復号されたカウンタ値Ｃｘを確認する。このとき、今回のカウンタ値Ｃｘ１が、カーシェア装置３４に保管されていた前回のカウンタ値Ｃｘ２よりも大きければ、通信を正当として処理を継続する。一方、今回のカウンタ値Ｃｘ１が前回のカウンタ値Ｃｘ２以下であれば、鍵の再利用の可能性があるとしてＢＬＥ通信の接続を停止する。

ユーザ認証機能部５７は、認証作業において、携帯端末３３から受信した端末ＩＤの正否を確認する端末ＩＤ認証を実行する。本例の場合、カーシェア装置３４は、復号により得られる端末ＩＤと、携帯端末３３から直に取得した端末ＩＤとを比較することにより、端末ＩＤ認証を実行する。そして、端末ＩＤ認証が成立すれば、通信を正当として処理を継続し、端末ＩＤ認証が不成立であれば、不正抜き取りの可能性があるとしてＢＬＥ通信の接続を停止する。

ユーザ認証機能部５７は、復号した時刻情報Ｔｘを用いて、カーシェア装置３４に設けられているタイマ部５４の日時調整を実行する。本例のタイマ部５４は、例えばソフトタイマからなり、時刻がずれ易く、車両１のバッテリが外されるとリセットされてしまうので、時刻情報Ｔｘにより時刻が正しい日時に設定される。

また、ユーザ認証機能部５７は、タイマ部５４から得られる現在日時が予約時間内であり、かつＢＬＥ通信が接続状態であれば、処理を継続する。一方、ユーザ認証機能部５７は、タイマ部５４から得られる現在日時が予約時間外であったり、ＢＬＥ通信が接続停止となったりしていれば、処理を強制終了する。

ステップ２１１において、ユーザ認証機能部５７は、認証作業が正常に済んだ後、ユーザ認証鍵を携帯端末３３に通知するユーザ認証鍵通知を実行する。このとき、ユーザ認証鍵は、カーシェアリングシステム３１に登録された所定の暗号鍵により暗号化されて、カーシェア装置３４から携帯端末３３に送信される。ユーザ認証鍵を携帯端末３３に通知するのは、以降、携帯端末３３及びカーシェア装置３４の通信を、ユーザ認証鍵を用いた暗号通信によっても実行可能とするためである。携帯端末３３は、カーシェア装置３４からユーザ認証鍵を受信すると、これを復号して、自身のメモリ４５に書き込み保存する。

ステップ２１２において、シェア処理部４７は、ユーザ認証鍵の取得後、キー制御要求としてキー機能オン要求を送信する。キー制御御要求は、カーシェアリングシステム３１に登録された所定の暗号鍵により暗号化されて、カーシェア装置３４に送信される。キー機能オン要求は、カーシェア装置３４のキー機能（キー機能部５６）をオンに切り替える要求である。

ステップ２１３において、ユーザ認証機能部５７は、携帯端末３３からキー機能オン要求を受信すると、これを契機に、キー機能部５６をキー機能オン状態（キー機能部５６を有効）に切り替える。これにより、カーシェア装置３４は、車載された照合ＥＣＵ９との間でＬＦ−ＵＨＦの双方向通信が可能な状態となる。

ステップ２１４において、ユーザ認証機能部５７は、キー機能オンのログをカウントアップする。
ステップ２１５において、ユーザ認証機能部５７は、キー制御要求の作動結果を表すキー制御通知として、キー機能オン通知を携帯端末３３に送信する。キー制御通知は、カーシェアリングシステム３１に登録された所定の暗号鍵により暗号化されて、携帯端末３３に送信される。キー機能オン通知は、キー機能がオンされたことを携帯端末３３に伝える通知である。シェア処理部４７は、カーシェア装置３４からキー機能オン通知を受信すると、認証完了状態に移行する。

ステップ２１６において、ユーザ認証機能部５７は、キー制御通知の送信後、鍵情報Ｋｄの認証成功のログをカウントアップする。
ステップ２１７において、ユーザ認証機能部５７は、鍵情報Ｋｄ及びユーザ認証鍵をカーシェア装置３４のメモリ５３に保存する。そして、ユーザ認証機能部５７は、認証完了状態に移行する。なお、カーシェア装置３４は、認証完了状態になると、自身の貸出フラグを使用中に設定する。以上により、カーシェア装置３４は、車両ドア施解錠やエンジン始動の操作が可能な状態となる。

図５に、ユーザ認証のシーケンスを図示する。同図の処理は、ユーザ認証鍵（鍵情報Ｋｄ）が登録済みの携帯端末３３で車両１を操作（車両ドア施解錠やエンジン始動）するときに、携帯端末３３及びカーシェア装置３４を「認証完了状態」に移行させるときに実行される処理である。

ステップ３０１において、シェア処理部４７及びユーザ認証機能部５７は、２者間のＢＬＥ（Bluetooth Low Energy）の通信を確立するために通信接続を実行する。なお、同ステップの処理は、前述のステップ２０７と同様であるので、説明を省略する。

ステップ３０２において、ユーザ認証機能部５７は、カーシェア装置３４に登録済みの暗号鍵（以降、旧暗号鍵と記す）を使用したチャレンジレスポンス認証を、携帯端末３３との間で実行する。旧暗号鍵は、前回のＢＬＥ通信時に使用した所定の暗号鍵であって、カーシェアリングシステム３１に登録済みのものであれば、どの鍵でもよい。このとき、ユーザ認証機能部５７は、乱数を生成して、これを携帯端末３３に送信する。

ステップ３０３において、シェア処理部４７は、カーシェア装置３４から受信した乱数を、携帯端末３３に登録済みの旧暗号鍵で暗号化することにより、レスポンスコードを生成する。そして、シェア処理部４７は、生成したレスポンスコードをカーシェア装置３４に送信する。

ステップ３０４において、ユーザ認証機能部５７は、携帯端末３３から受信したレスポンスコードの正否を確認するレスポンス照合を実行する。ここでは、ユーザ認証機能部５７は、携帯端末３３から取得したレスポンスコードと、自身が自らの旧暗号鍵により演算したレスポンスコードとを比較することにより、レスポンス照合を実行する。

ステップ３０５において、ユーザ認証機能部５７は、レスポンス照合が成立したとき、新たなユーザ認証鍵（以降、新ユーザ認証鍵と記す）を生成する。新ユーザ認証鍵は、例えば生成の度に値が毎回異なる乱数からなる。

ステップ３０６において、ユーザ認証機能部５７は、生成した新ユーザ認証鍵を携帯端末３３に送信する。新ユーザ認証鍵は、カーシェアリングシステム３１に登録された所定の暗号鍵により暗号化されて、カーシェア装置３４から携帯端末３３に送信される。シェア処理部４７は、カーシェア装置３４から受信した新ユーザ認証鍵を携帯端末３３のメモリ４５に書き込み保存する。

ステップ３０７において、ユーザ認証機能部５７は、生成した新ユーザ認証鍵をカーシェア装置３４のメモリ５３に仮保存する。
そして、以降のステップ３０８〜３１１において、前述のステップ２１２〜２１５と同様の処理が実行される。

ステップ３１２において、ユーザ認証機能部５７は、ユーザ認証成功のログをカウントアップする。
ステップ３１３において、ユーザ認証機能部５７は、生成した新ユーザ認証鍵をメモリ５３に保存（本登録）する。そして、携帯端末３３及びカーシェア装置３４は、認証完了状態に移行する。なお、新ユーザ認証鍵の交換シーケンス中（本例のステップ３０６〜３１１）にＢＬＥが切断され、これが再接続されたときには、旧暗号鍵及び新ユーザ認証鍵の双方でレスポンス照合を行うこととする。

図６に、鍵情報再認証のシーケンスを図示する。これは、車両１の貸し出し中に携帯端末３３からユーザ認証鍵が消失したときのための対策である。
ステップ４０１において、シェア処理部４７は、例えば鍵情報Ｋｄの再認証の開始操作が携帯端末３３で行われると、この操作を契機として、ユーザインターフェースアプリケーション４６を起動させる。

ステップ４０２において、鍵情報生成部３８及びシェア処理部４７は、鍵情報Ｋｄの再認証を行うユーザを確認するユーザ認証を実行する。本例のユーザ認証では、ユーザＩＤ及びパスワードの認証と、先に発行した鍵情報Ｋｄを再度生成する再発行手続きとが実行される。ユーザＩＤ及びパスワードの認証は、前述のステップ２０２の処理と同様であるので、説明を省略する。このユーザＩＤ及びパスワードの認証が成立すれば、再発行手続きが許可される。再発行手続きは、携帯端末３３の画面上で鍵情報Ｋｄ（ワンタイムキー）の再発行を開始する操作である。

そして、ステップ４０３〜４０６において、前述のステップ２０３〜２０６と同様の処理により、鍵情報Ｋｄの生成及び保管が実行される。
ステップ４０７において、シェア処理部４７及びユーザ認証機能部５７は、携帯端末３３が車両１の近くにあるとき、ＢＬＥ通信を接続し、以降、鍵情報Ｋｄの再認証を実行する。

まず、ステップ４０８において、ユーザ認証機能部５７は、カーシェア装置３４に登録済みの暗号鍵を使用したチャレンジレスポンス認証を携帯端末３３との間で行うために乱数を生成する。このステップの処理は、前述のステップ３０２と同様の処理である。そして、ユーザ認証機能部５７は、このとき生成した乱数を携帯端末３３に送信する。

ステップ４０９において、シェア処理部４７は、鍵情報Ｋｄの再認証を行うことを携帯端末３３に要求する鍵情報再認証要求を送信する。ところで、通常であればカーシェア装置３４から受信した乱数のレスポンスコードを作成するが、ここではユーザ認証鍵の消失によりレスポンスコードを演算することができないとし、その代わりに、鍵情報再認証要求をカーシェア装置３４に送信する。

ステップ４１０において、ユーザ認証機能部５７は、乱数の送信後、レスポンスコードの受信を待つが、携帯端末３３から鍵情報再認証要求を受信すると、これを優先し、鍵情報Ｋｄを携帯端末３３に通知する処理を実行する。なお、ステップ４１０の処理は、前述のステップ２０８〜２１７と同様の処理であるので、説明を省略する。そして、この処理が正しく終了すれば、携帯端末３３及びカーシェア装置３４が認証完了状態に移行する。

図７に、車両ドア１４のアンロック作動のシーケンスを図示する。ロック状態の車両ドア１４を携帯端末３３でアンロックするときには、ユーザインターフェースアプリケーション４６により携帯端末３３にアンロックボタン６５を表示しておく。

ステップ５０１において、シェア処理部４７は、認証完了状態において、携帯端末３３の画面上のアンロックボタン６５が操作されたことを確認すると、キー制御要求としてアンロック要求をカーシェア装置３４に送信する。アンロック要求は、カーシェア装置３４にアンロック作動を要求するものであって、カーシェアリングシステム３１に登録された所定の暗号鍵により暗号化されて送信される。

ステップ５０２において、キー機能部５６は、携帯端末３３からアンロック要求を受信すると、それに準じたアンロック要求（電子キーＩＤを含む）をスマート通信ブロック５１から照合ＥＣＵ９にＵＨＦ送信する。すなわち、カーシェア装置３４は、車両ドア１４のアンロック要求を、カーシェア装置３４の通信網（ＵＨＦ通信）を介して照合ＥＣＵ９に送信する。

ステップ５０３において、照合ＥＣＵ９は、カーシェア装置３４から送信されたアンロック要求を電波受信機１８で受信すると、これに準じた要求を、通信線１２を通じてボディＥＣＵ１０に出力する。

ステップ５０４において、ボディＥＣＵ１０は、照合ＥＣＵ９からアンロック要求を入力すると、これを契機にして、ドアロック装置５を通じて車両ドア１４をアンロック状態に切り替える。これにより、車両ドア１４がアンロックされ、車内への乗車が許可される。

ステップ５０５において、ユーザ認証機能部５７は、携帯端末３３からアンロック要求を受信したとき、アンロック要求のログをカウントアップする。
ステップ５０６において、ユーザ認証機能部５７は、アンロック要求のログをカウントアップした後、キー制御通知としてアンロック送信通知を携帯端末３３に送信する。アンロック送信通知は、カーシェア装置３４がアンロック要求をカーシェア装置３４に送信した旨の通知であって、カーシェアリングシステム３１に登録された所定の暗号鍵により暗号化されて送信される。シェア処理部４７は、カーシェア装置３４からアンロック送信通知を受信すると、アンロック要求の送信が完了した旨を画面上に表示する。

図８に、車両ドア１４のロック作動のシーケンスを図示する。アンロック状態の車両ドア１４を携帯端末３３でロックするときには、ユーザインターフェースアプリケーション４６により携帯端末３３にロックボタン６６を表示しておく。

ステップ５１１において、シェア処理部４７は、認証完了状態において、携帯端末３３の画面上のロックボタン６６が操作されたことを確認すると、キー制御要求としてロック要求をカーシェア装置３４に送信する。ロック要求は、カーシェア装置３４にロック作動を要求するものであって、カーシェアリングシステム３１に登録された所定の暗号鍵により暗号化されて送信される。

ステップ５１２において、キー機能部５６は、携帯端末３３からロック要求を受信すると、それに準じたロック要求（電子キーＩＤを含む）をスマート通信ブロック５１から照合ＥＣＵ９にＵＨＦ送信する。すなわち、カーシェア装置３４は、車両ドア１４のロック要求を、カーシェア装置３４の通信網（ＵＨＦ通信）を介して照合ＥＣＵ９に送信する。

ステップ５１３において、照合ＥＣＵ９は、カーシェア装置３４から送信されたロック要求を電波受信機１８で受信すると、これに準じた要求を、通信線１２を通じてボディＥＣＵ１０に出力する。

ステップ５１４において、ボディＥＣＵ１０は、照合ＥＣＵ９からロック要求を入力すると、これを契機にして、ドアロック装置５を通じて車両ドア１４をロック状態に切り替える。これにより、車両ドア１４がロックされ、車両１が駐車状態になる。

ステップ５１５において、ユーザ認証機能部５７は、携帯端末３３からロック要求を受信したとき、ロック要求のログをカウントアップする。
ステップ５１６において、ユーザ認証機能部５７は、ロック要求のログをカウントアップした後、キー制御通知としてロック送信通知を携帯端末３３に送信する。ロック送信通知は、カーシェア装置３４がロック要求をカーシェア装置３４に送信した旨の通知であって、カーシェアリングシステム３１に登録された所定の暗号鍵により暗号化されて送信される。シェア処理部４７は、カーシェア装置３４からロック送信通知を受信すると、ロック要求の送信が完了した旨を画面上に表示する。

図９に、車両１のエンジン６を始動するときのシーケンスを図示する。エンジン６を始動させるときには、例えばユーザがブレーキ操作しながら運転席のエンジンスイッチ２８を押し操作する。

ステップ５２１において、照合ＥＣＵ９は、ブレーキ操作されながらエンジンスイッチ２８が押し操作されたことを確認すると、カーシェア装置３４との間で電子キーシステム４に準じたＩＤ照合（スマート照合）を実行する。このとき、照合ＥＣＵ９は、室内送信機１７からウェイク信号をＬＦ送信する。ここで、キー機能部５６は、室内送信機１７から送信されたウェイク信号を受信したとき、カーシェア装置３４が認証完了状態であれば、照合ＥＣＵ９との間のスマート照合（室内スマート照合）を開始する。このスマート照合では、通常のスマート照合と同様に、電子キーＩＤの照合や、キー固有鍵を用いたチャレンジレスポンス認証等が実行される。照合ＥＣＵ９は、このスマート照合が成立することを確認すると、エンジン始動を許可する。一方、照合ＥＣＵ９は、このスマート照合が不成立であることを確認すると、エンジン始動を不可とする。

ステップ５２２において、照合ＥＣＵ９は、スマート照合（室内スマート照合）が成立することを確認すると、通信線１２を通じてエンジン始動要求をエンジンＥＣＵ１１に出力する。

ステップ５２３において、エンジンＥＣＵ１１は、照合ＥＣＵ９からエンジン始動要求を入力したことを契機に、エンジン６を始動させる。
図１０に、ログ通知のシーケンスを図示する。本例のログ通知は、携帯端末３３でログ取得操作を行い、カーシェア装置３４から取得したログをサーバ３２に転送する処理である。

ステップ６０１において、シェア処理部４７は、認証完了状態においてログ取得開始のトリガを検出すると、ログ取得要求をカーシェア装置３４に送信する。ログ取得は、例えば携帯端末３３で取得開始操作が行われたり、定期的に到来する取得時期になったりしたときに実行される。また、ログ取得要求は、カーシェアリングシステム３１に登録された所定の暗号鍵により暗号化されて送信される。

ステップ６０２において、ユーザ認証機能部５７は、携帯端末３３からログ取得要求を受信すると、自身に保管されているログ情報を基にログ通知を生成する。ログ通知は、カーシェア装置３４に保管されたログの情報群であり、例えばどの種類（キー機能オン、鍵情報認証成功、ユーザ認証成功、アンロック要求、ロック要求、エンジン等）のログがいつ保管されたのかを通知可能なものである。

ステップ６０３において、ユーザ認証機能部５７は、生成したログ通知を携帯端末３３に送信する。このログ通知は、カーシェアリングシステム３１に登録された所定の暗号鍵により暗号化されて携帯端末３３に送信される。

ステップ６０４において、シェア処理部４７は、カーシェア装置３４から受信したログ通知を、ネットワーク通信を通じてサーバ３２に転送する。このとき、ログ通知は、カーシェアリングシステム３１に登録された所定の暗号鍵により暗号化されて携帯端末３３に送信される。

ステップ６０５において、サーバアプリケーション３７は、携帯端末３３から受信したログ通知を基に、ログ情報を自身のメモリ等に保存する。これにより、サーバ３２には、カーシェアされた車両１のログ（使用状況）が記録として残ることになる。

ステップ６０６において、ユーザ認証機能部５７は、ログ通知を携帯端末３３に送信した後、自身に保管されているログをクリアする。これにより、カーシェア装置３４にログを残したままにしておくことが回避される。

図１１に、サーバ接続（接続可能時）のシーケンスを図示する。このサーバ接続は、例えば車両１の使用が予約時間内か否かを確認するときに実行される。
ステップ７０１において、シェア処理部４７は、認証完了状態においてサーバ接続のタイミングになったとき、サーバ接続要求をカーシェア装置３４に送信する。サーバ接続要求は、カーシェアリングシステム３１に登録された所定の暗号鍵により暗号化されて送信される。

ステップ７０２において、ユーザ認証機能部５７は、サーバ接続時に認証される時刻取得ＩＤを生成する。時刻取得ＩＤは、例えば送信の度に値が毎回異なる乱数からなる。
ステップ７０３において、ユーザ認証機能部５７は、サーバ３２に対し時刻情報Ｔｘの提供を要求する時刻取得要求を携帯端末３３に送信する。時刻取得要求は、カーシェアリングシステム３１に登録された所定の暗号鍵により暗号化されて送信される。また、時刻取得要求には、時刻取得要求のコマンドの他に、カーシェア装置３４で生成された時刻取得ＩＤも含まれる。

ステップ７０４において、シェア処理部４７は、カーシェア装置３４から受信した時刻取得要求を、ネットワーク通信を通じてサーバ３２に転送する。
ステップ７０５において、サーバアプリケーション３７は、時刻取得要求を受信すると、不正利用チェックを実行する。不正利用チェックでは、例えばサーバ３２に保存されているログ情報や、その他の通知等を基に、車両１が不正に使用された履歴がないか否かをチェックする。

ステップ７０６において、サーバアプリケーション３７は、サーバ時刻（サーバ３２で管理する日時）を取得し、このサーバ時刻を基に時刻情報Ｔｘを生成する。そして、サーバアプリケーション３７は、この時刻情報Ｔｘを含む時刻通知情報を生成し、これを携帯端末３３に送信する。時刻通知情報は、カーシェアリングシステム３１に登録された所定の暗号鍵により暗号化されて送信される。また、時刻通知情報には、時刻情報Ｔｘの他に、カーシェア装置３４から受信した時刻取得ＩＤも含む。

ステップ７０７において、シェア処理部４７は、サーバ３２から受信した時刻通知情報を、カーシェア装置３４に転送する。
ステップ７０８において、ユーザ認証機能部５７は、自身が生成した時刻取得ＩＤと、サーバ３２から取得した時刻取得ＩＤとを比較することにより、時刻取得ＩＤ照合を実行する。このとき、時刻取得ＩＤ照合が成立すれば、処理を継続し、時刻取得ＩＤ照合が不成立であれば、処理を強制終了する。

ステップ７０９において、ユーザ認証機能部５７は、サーバ３２から取得した時刻通知情報を基に、タイマ部５４の時間設定を実行する。すなわち、カーシェア装置３４は、時刻通知情報を基にタイマ部５４の日時を正確な時間に調整する。

ステップ７１０において、ユーザ認証機能部５７は、不正利用チェックを実行する。この不正利用チェックでは、例えばカーシェア装置３４に保存されているログ情報や、その他の通知等を基に、車両１が不正に使用された履歴がないか否かをチェックする。

ステップ７１１において、ユーザ認証機能部５７、取得した時刻通知情報を基に、予約時間照合を実行する。本例の場合、例えば「予約開始時刻」≦「時刻通知情報の時刻」≦「予約終了時刻」が成立するか否かを確認する。この条件が成立すれば、予約時間照合を成立とし、処理を継続する。一方、この条件が不成立であれば、例えばブルートゥース通信を切断し、キー機能部５６を無効にし、鍵情報Ｋｄをクリアし、貸出フラグを未使用にする。

図１２に、サーバ接続（接続不可時）のシーケンスを図示する。この例は、サーバ３２から時刻通知情報を取得しようとしてサーバ接続を試みたものの、サーバ接続が失敗したときのシーケンスである。なお、ステップ８０１〜８０４は、前述のステップ７０１〜７０４と同様であるので、説明を省略する。

ステップ８０５において、シェア処理部４７は、サーバ３２に時刻取得要求を送信しても所定時間内に時刻通知情報を受信することができなければ、サーバ接続に失敗したと認識する。そして、シェア処理部４７は、サーバ接続に失敗したことを認識すると、その旨を通知するサーバ接続失敗通知をカーシェア装置３４に送信する。サーバ接続失敗通知は、カーシェアリングシステム３１に登録された所定の暗号鍵により暗号化されて送信される。

ステップ８０６において、ユーザ認証機能部５７は、予約時間内の使用か否かを確認する予約時間照合を実行する。ここで、仮にタイマ部５４の時刻が不定状態の場合、ユーザ認証機能部５７は、予約時間照合を成立とする。これは、サーバ接続が不可であっても、念のためタイマ部５４の時間を確認した方が、セキュリティ性の面でよいからである。このとき、ユーザ認証機能部５７は、タイマ部５４の時間が、タイマ部５４のクロック誤差を加味した予約時間内であれば、予約時間照合を成立する。予約時間照合が不成立の場合は、例えばブルートゥース通信を切断し、キー機能部５６を無効にし、鍵情報Ｋｄをクリアし、貸出フラグを未使用にする。

図１３に、車両返却のシーケンスを図示する。車両返却は、例えば車両ドア１４をロックした後、携帯端末３３の画面上で返却ボタン６７を操作することにより実施される。
ステップ９０１において、ユーザは、車両ドア１４をロックするドアロックの処理を実行する。このドアロックの処理は、図８のステップ５１１〜５１６示した処理であるので、説明を省略する。

ステップ９０２において、シェア処理部４７は、車両ドア１４のロック処理が実行された後、携帯端末３３の画面上の返却ボタン６７が操作されたことを確認すると、車両１の返却を要求する旨の返却通知をカーシェア装置３４に送信する。返却通知は、カーシェアリングシステム３１に登録された所定の暗号鍵により暗号化されて送信される。

ステップ９０３において、ユーザ認証機能部５７は、携帯端末３３から返却通知を受信すると、キー機能（キー機能部５６）をオフする。これにより、キー機能部５６が停止し、スマート通信が実行不可となる。

ステップ９０４において、ユーザ認証機能部５７は、キー機能をオフした後、返却通知のログをカウントアップする。
ステップ９０５において、ユーザ認証機能部５７は、返却通知のログのカウントアップ後、返却を了承した旨の返却応答を、ブルートゥース通信を通じて携帯端末３３に送信する。返却応答は、カーシェアリングシステム３１に登録された所定の暗号鍵により暗号化されて送信される。

ステップ９０６において、シェア処理部４７は、カーシェア装置３４から返却応答を受信すると、これを契機に、通信接続（ＢＬＥ）を切断する。また、ユーザ認証機能部５７は、返却応答を受信すると、携帯端末３３のメモリ４５に書き込まれている鍵情報Ｋｄ及びユーザ認証鍵を消去する。これにより、携帯端末３３で車両１を操作することができなくなる。

ステップ９０７において、シェア処理部４７は、サーバ３２への返却手続きとして返却処理を実行する。この返却処理では、車両１の返却が行われたことが携帯端末３３からサーバ３２に通知される。そして、サーバアプリケーション３７は、携帯端末３３（シェア処理部４７）との間で返却処理が完了すると、貸し出していた車両１が返却されたとして処理する。

さて、本例の場合、携帯端末３３で車両使用を予約するとき、サーバ３２から予約情報を車両１へ送信するのではなく、サーバ３２から携帯端末３３に予約情報として鍵情報Ｋｄを送信する。このため、サーバ３２との通信に必要な機能を車両１に設けずに済むので、この点で車両１の構成を簡素化することができる。また、予約情報は、読み取りに認証を課した鍵情報Ｋｄ（暗号化された鍵情報Ｋｄ）として携帯端末３３に送信されるので、鍵情報Ｋｄを安全に携帯端末３３に付与することもできる。さらに、携帯端末３３で車両１を操作するとき、キー機能を有するカーシェア装置３４を通じて、車両１に既設の電子キーシステム４を用いて車両１を作動させる。このため、車両１を携帯端末３３で操作するにあたって、既設の電子キーシステム４を利用するので、システムを１から構築する必要がなく、この点でも車両１の構成簡素化に寄与する。さらに、携帯端末３３を車両キーとして使用可能となるので、例えば会員証等のＩＣカードを不要にすることが可能となり、簡便なシステムにすることもできる。

また、車両１のエンジン始動をキー操作とする場合、例えば車内のグローブボックス等に車両キーを保管しておく必要がある。この場合、車両１の室内に車両キーが存在することとなり、キー盗難を要因とする車両の不正使用の点でセキュリティ性がよくないという問題があった。一方、本例の場合には、携帯端末３３を車両キーとして使用するので、車内に車両キーを保管しておく必要がなく、キー盗難の心配がない。

鍵情報Ｋｄは、使用が１度のみ許可されたワンタイムキーからなる。よって、鍵情報Ｋｄを一度のみ使用できるものとしたので、車両使用に対するセキュリティ性を確保することができる。

鍵情報Ｋｄは、カーシェア装置３４が個々に有する固有のカーシェア装置固有鍵によって暗号化されている。よって、鍵情報Ｋｄは暗号通信で送付されるので、鍵情報Ｋｄを付与する際のセキュリティ性を確保することができる。

鍵情報Ｋｄは、ネットワーク通信を通じて車両１のシェアを管理するサーバ３２で生成される。よって、鍵情報Ｋｄをサーバ３２にて安全に生成することができる。
キー機能部５６が電子キーシステム４とＩＤ照合するときに行う暗号通信と、携帯端末３３により車両１を操作するときにユーザ認証機能部５７及び携帯端末３３が行う暗号通信とは、機能的に分離されている。よって、これら暗号通信のうち、例えば一方の暗号鍵が盗みとられても、これが他方の暗号通信に使用できるものとはならない。よって、車両使用に対するセキュリティ性を確保するのに一層有利となる。

鍵情報Ｋｄは、予約重複を検知するカウンタ値Ｃｘを有する。ユーザ認証機能部５７は、携帯端末３３で車両１を操作するとき、鍵情報Ｋｄのカウンタ値Ｃｘを確認し、その確認結果を基に、車両使用の可否を判断する。よって、鍵情報Ｋｄが何回目に生成されたものであるのかをカウンタ値Ｃｘによって管理するので、鍵情報Ｋｄの再利用を防止することができる。

鍵情報Ｋｄは、現在日時を通知する時刻情報Ｔｘを有する。カーシェア装置３４は、予約時間か否かを確認するときに使用するタイマ部５４を備える。ユーザ認証機能部５７は、鍵情報Ｋｄに含まれる時刻情報Ｔｘを基にタイマ部５４の時刻を調整する。よって、タイマ部５４の時刻改竄に対する対策をとることができる。

鍵情報Ｋｄは、キーとして使用される携帯端末３３の端末ＩＤを有する。ユーザ認証機能部５７は、鍵情報Ｋｄに含まれる端末ＩＤを基に、予約された携帯端末３３か否かを確認する。よって、車両使用時に携帯端末３３の端末ＩＤを確認するので、車両使用に対するセキュリティ性を確保するのに一層有利となる。

携帯端末３３は、カーシェア装置３４との暗号通信で用いるユーザ認証鍵が消失したとき、鍵情報Ｋｄの再発行手続きが行われると、当該鍵情報Ｋｄを再度取得して、消失したユーザ認証鍵を登録し直す（図６の処理）。よって、携帯端末３３のユーザ認証鍵が消失したとしても、鍵情報Ｋｄの再発行手続きを行うことにより、携帯端末３３にユーザ認証鍵を再度登録し直すことができる。

ユーザ認証機能部５７は、車両１の使用に関するログを保存し、ログを携帯端末３３経由でサーバ３２に通知可能である（図１０の処理）。よって、ログの確認をすることによって過去の車両使用の履歴を確認することが可能となるので、車両１の使用について過去に不正使用があったか否かを確認することができる。

ユーザ認証機能部５７は、携帯端末３３からサーバ接続要求を受け付けたとき、サーバ３２に時刻取得要求を行い、このときにサーバ３２から取得する時刻情報Ｔｘを基にカーシェア装置３４のタイマ部５４を設定し直し、使用が予約時間内か否かを確認する（図１１の処理）。よって、車両使用が正しいか否かの判断を精度よく行うことができる。

ユーザ認証機能部５７は、サーバ３２に時刻取得要求を行ったとき、サーバ接続が失敗したのであれば、カーシェア装置３４のタイマ部５４にそのとき保持されている時刻から、使用が予約時間内か否かを確認する（図１２の処理）。よって、仮にサーバ接続が失敗したとしても、車両使用が予約時間内か否かを確認することができる。

携帯端末３３は、車両１の返却操作が行われたとき、自身のメモリ４５に書き込み保存されている鍵情報Ｋｄ及び鍵情報Ｋｄに類する情報群を消去する（図１３の処理）。よって、車両使用が済んだ後は、携帯端末３３のメモリ４５内の鍵情報Ｋｄ及びその情報群を消去しておくので、これらデータが不正に盗み取られる心配がない。なお、このときカーシェア装置３４のメモリ５３内の情報も消去してもよい。

ユーザ認証機能部５７は、携帯端末３３から取得した鍵情報Ｋｄを正しく復号できた後、ユーザ認証鍵を用いた暗号通信を、携帯端末３３との間で実施可能にする（図４の処理）。よって、カーシェア装置３４が携帯端末３３から鍵情報Ｋｄを取得する作動を開始してからカーシェア装置３４のキー機能部５６を有効に切り替えるまでの通信において、その途中で暗号鍵を切り替えることが可能となるので、通信のセキュリティ性を確保するのに有利となる。

ユーザ認証機能部５７は、鍵情報Ｋｄを取得した以降に行う携帯端末３３との通信において、前回の通信接続時に使用していた旧暗号鍵により認証を行い、当該認証が成立すれば、旧ユーザ認証鍵を新ユーザ認証鍵に交換する（図５の処理）。よって、携帯端末３３で車両１を遠隔操作する通信を行う度にユーザ認証鍵が更新されるので、車両使用に対するセキュリティ性を確保するのに一層有利となる。

なお、実施形態はこれまでに述べた構成に限らず、以下の態様に変更してもよい。
・鍵情報Ｋｄは、カーシェア装置固有鍵により暗号化されて付与されることに限定されず、他の暗号鍵を使用して付与されてもよい。

・鍵情報Ｋｄに含ませる内容は、実施例以外の態様に変更可能である。
・Ｓ２１０の認証作業は、実施例で述べた例に限定されず、他の態様に変更可能である。

・鍵情報Ｋｄは、サーバ３２で生成されることに限定されず、外部であれば、いずれの場所でもよい。
・エンジン始動操作は、例えば携帯端末３３の画面に「エンジン始動」のボタンを表示させ、このボタンが操作されることにより開始されてもよい。

・操作フリーの電子キーシステム４は、車内外に送信機を配置して電子キー２の位置を確認しながらスマート照合を行うシステムに限定されない。例えば、車体の左右にＬＦアンテナを配置し、これらアンテナから送信される電波に対する電子キー２の応答を確認することで、電子キーの車内外位置を判定するシステムでもよい。

・車載される電子キーシステム４は、例えば電子キー２からの通信を契機にＩＤ照合が実行されるワイヤレスキーシステムとしてもよい。
・電子キー２は、スマートキー（登録商標）に限定されず、ワイヤレスキーとしてもよい。

・近距離無線通信は、ブルートゥース通信に限定されず、他の通信方式に変更可能である。
・各々の通信に使用する通信方式や周波数は、実施形態に述べた例に限定されず、他に変更可能である。

・電子キーシステム４に課すＩＤ照合は、チャレンジレスポンス認証を含む照合に限定されず、少なくとも電子キーＩＤ照合を行うものであればよく、どのような認証や照合を含んでいてもよい。

・鍵情報Ｋｄは、ワンタイムキーに限定されず、使用が制限された情報であればよい。
・暗号通信に使用する暗号鍵は、例えばカーシェア装置固有鍵、ユーザ認証鍵、キー固有鍵のうち、どの暗号鍵を使用してもよい。例えば、処理の途中で使用する暗号鍵を切り替えれば、通信のセキュリティ性を確保するのに有利となる。また、使用する暗号鍵は、前述した鍵に限定されず、種々のものに変更してもよい。

・カーシェア装置３４の搭載場所は、特に限定されない。
・携帯端末３３は、高機能携帯電話に限定されず、種々の端末に変更可能である。

１…車両、２…電子キー、３…機器、４…電子キーシステム、３１…カーシェアリングシステム、３２…サーバ、３３…携帯端末、３４…カーシェア装置、４５…メモリ、５４…タイマ部、５６…キー機能部、５７…ユーザ認証機能部、Ｋｄ…鍵情報、Ｃｘ…カウンタ値、Ｔｘ…時刻情報。

Claims (14)

1. 複数人によりシェアされる車両の機器を、電子キーと同様の処理を経るＩＤ照合を通じて操作可能とするキー機能部と、
   携帯端末で前記機器を操作するにあたり、外部で生成された鍵情報を携帯端末経由で取得し、前記鍵情報の認証が成立しつつ使用が予約時間内であれば、前記キー機能部を有効にして、前記車両の機器を操作可能とするユーザ認証機能部と、を備えたカーシェア装置を有し、
   前記鍵情報は、一時的な使用のみが許可された情報からなる
   ことを特徴とするカーシェアリングシステム。
2. 前記鍵情報は、使用が１度のみ許可されたワンタイムキーからなる
   請求項１に記載のカーシェアリングシステム。
3. 前記鍵情報は、前記カーシェア装置が個々に有する固有のカーシェア装置固有鍵によって暗号化されている
   請求項１又は２に記載のカーシェアリングシステム。
4. 前記鍵情報は、ネットワーク通信を通じて前記車両のシェアを管理するサーバで生成される
   請求項１〜３のうちいずれか一項に記載のカーシェアリングシステム。
5. 前記キー機能部が電子キーシステムとＩＤ照合するときに行う暗号通信と、前記携帯端末により前記車両を操作するときに前記ユーザ認証機能部及び前記携帯端末が行う暗号通信とは、機能的に分離されている
   請求項１〜４のうちいずれか一項に記載のカーシェアリングシステム。
6. 前記鍵情報は、予約重複を検知するカウンタ値を有し、
   前記ユーザ認証機能部は、前記携帯端末で前記車両を操作するとき、前記鍵情報の前記カウンタ値を確認し、その確認結果を基に、車両使用の可否を判断する
   請求項１〜５のうちいずれか一項に記載のカーシェアリングシステム。
7. 前記鍵情報は、現在日時を通知する時刻情報を有し、
   前記カーシェア装置は、予約時間か否かを確認するときに使用するタイマ部を備え、
   前記ユーザ認証機能部は、前記鍵情報に含まれる前記時刻情報を基に前記タイマ部の時刻を調整する
   請求項１〜６のうちいずれか一項に記載のカーシェアリングシステム。
8. 前記鍵情報は、キーとして使用される前記携帯端末の端末ＩＤを有し、
   前記ユーザ認証機能部は、前記鍵情報に含まれる前記端末ＩＤを基に、予約された前記携帯端末か否かを確認する
   請求項１〜７のうちいずれか一項に記載のカーシェアリングシステム。
9. 前記携帯端末は、前記カーシェア装置との暗号通信で用いるユーザ認証鍵が消失したとき、前記鍵情報の再発行手続きが行われると、当該鍵情報を再度取得して、消失した前記ユーザ認証鍵を登録し直す
   請求項１〜８のうちいずれか一項に記載のカーシェアリングシステム。
10. 前記ユーザ認証機能部は、前記車両の使用に関するログを保存し、当該ログを携帯端末経由でサーバに通知可能である
    請求項１〜９のうちいずれか一項に記載のカーシェアリングシステム。
11. 前記ユーザ認証機能部は、前記携帯端末からサーバ接続要求を受け付けたとき、サーバに時刻取得要求を行い、このときに当該サーバから取得する時刻情報を基に前記カーシェア装置のタイマ部を設定し直し、使用が予約時間内か否かを確認する
    請求項１〜１０のうちいずれか一項に記載のカーシェアリングシステム。
12. 前記ユーザ認証機能部は、前記サーバに時刻取得要求を行ったとき、サーバ接続が失敗したのであれば、前記カーシェア装置のタイマ部にそのとき保持されている時刻から、使用が予約時間内か否かを確認する
    請求項１１に記載のカーシェアリングシステム。
13. 前記携帯端末は、前記車両の返却操作が行われたとき、自身のメモリに書き込み保存されている前記鍵情報及び当該鍵情報に類する情報群を消去する
    請求項１〜１２のうちいずれか一項に記載のカーシェアリングシステム。
14. 外部から携帯端末に対し、一時的な使用のみが許可された情報からなる鍵情報を付与するステップと、
    車両に設けられたカーシェア装置のユーザ認証機能部が、前記携帯端末から前記鍵情報を取得するステップと、
    前記ユーザ認証機能部が前記鍵情報を認証し、当該認証が成立しつつ使用が予約時間内であれば、前記カーシェア装置のキー機能部を有効にして、前記車両の機器を操作可能とするステップと、
    前記車両の電子キーと同様の処理を経るＩＤ照合を前記キー機能部により行い、当該ＩＤ照合が成立すれば、前記車両の機器を操作可能にするステップと
    を備えたことを特徴とするカーシェアリング方法。