JP2019163677A - 電子キー管理システム補助装置、電子キー管理システム、方法、およびプログラム - Google Patents

Abstract

【課題】車載器がセンターと通信困難な状況における救済措置を提供することができる電子キー管理システム補助装置、電子キー管理システム、方法、およびプログラムを提供すること。【解決手段】車両に搭載され、車載通信機を用いて管理サーバと通信する車載認証装置と接続するための接続部（３１）と、前記接続部を介して接続された車載認証装置が前記車載通信機を用いて前記管理サーバと通信可能でなかった場合、前記車両の電子キーを前記車載認証装置に登録させる登録モード、或いは前記車載認証装置に登録されている前記電子キーを無効化する無効化モードに遷移する許可を得るための実行キーの送信を、前記車載通信機とは異なる通信機を利用して前記管理サーバに要求する要求部（３５Ｂ）と、を備える電子キー管理システム補助装置。【選択図】図２

Description

本発明は、電子キー管理システム補助装置、電子キー管理システム、方法、およびプログラムに関する。

近年、車両の鍵として、電子キーが普及している。電子キーと車両とは、車両に搭載されているイモビライザによって事前に対応付けられている。車両と電子キーとの対応付けは、例えば、車両が納車されるときや、電子キーが紛失されたときに、ディーラー店において行われる。ディーラー店には、イモビライザと有線で接続される診断機が用意されており、診断機から必要な情報が入力された場合、イモビライザの動作モードが、車両と電子キーとの対応付けを実行可能な登録モードに切り替えられる。登録モードを実行中であるイモビライザが、電子キーから固有の鍵情報を受信することにより、車両と電子キーとが対応付けられる。

これに関連して、登録モードを実行するために必要な登録コードをセンターで生成し、車載器は、センターから受信した登録コードに基づく認証処理を実行し、認証に成功した場合に、車載器と電子キーとを対応付ける技術が知られている（例えば、特許文献１参照）。

特許第５２５７８１４号公報

しかしながら、従来の技術では、車載器がセンターと通信できない場合、電子キーの鍵情報を登録することができないという問題があった。例えば、地下駐車場や山奥などの通信環境が悪い場所で車両を動かせなくなってしまった場合や、車載器が備える通信機が故障した場合などがこれに該当する。

本発明は、このような事情を考慮してなされたものであり、車載器がセンターと通信困難な状況における救済措置を提供することができる電子キー管理システム補助装置、電子キー管理システム、方法、およびプログラムを提供することを目的の一つとする。

（１）：車両に搭載され、車載通信機を用いて管理サーバと通信する車載認証装置と接続するための接続部と、前記接続部を介して接続された車載認証装置が前記車載通信機を用いて前記管理サーバと通信可能でなかった場合、前記車両の電子キーを前記車載認証装置に登録させる登録モード、或いは前記車載認証装置に登録されている前記電子キーを無効化する無効化モードに遷移する許可を得るための実行キーの送信を、前記車載通信機とは異なる通信機を利用して前記管理サーバに要求する要求部と、を備える電子キー管理システム補助装置。

（２）：（１）において、前記要求部は、前記登録モードあるいは前記無効化モードの実行を依頼するリクエストが前記接続部を介して前記車載認証装置に出力された後、前記リクエストを前記管理サーバに送信できなかったことを表す通知が前記接続部を介して前記車載認証装置から入力された場合、前記実行キーの送信を前記管理サーバに要求する。

（３）：（１）または（２）において、操作者からの入力操作を受け付ける入力部と、前記入力部に対して入力された入力情報と、前記通信機により前記管理サーバから受信された前記実行キーとを、前記接続部を介して前記車載認証装置に出力する出力制御部と、をさらに備える。

（４）：（３）の電子キー管理システム補助装置と、前記車載通信機と、前記電子キー管理システム補助装置から入力された前記実行キーおよび前記入力情報に基づく第１の認証を行い、前記第１の認証が成功した場合、前記登録モードあるいは前記無効化モードを実行する実行部を備える前記車載認証装置と、を備える電子キー管理システム。

（５）：（４）において、前記実行部は、前記第１の認証が成功したことによる前記登録モードあるいは前記無効化モードが実行された場合、前記登録モードあるいは前記無効化モードを実行してから所定時間が経過したことを条件に、前記電子キーから受信した鍵情報に基づく登録あるいは無効化の処理を実行する。

（６）：（５）において、前記所定時間は、前記電子キー管理システム補助装置から入力された前記入力情報と、前記車載通信機を用いて前記管理サーバから受信した前記実行キーとに基づく第２の認証が成功した場合よりも長い。

（７）：（６）において、前記実行部は、前記所定時間が経過する前に前記第２の認証に成功した場合、直ちに前記電子キーから受信した鍵情報に基づく登録あるいは無効化の処理を実行する。

（８）：（４）または（７）において、前記実行部は、前記第１の認証が成功したことによる前記登録モードあるいは前記無効化モードの実行中に前記電子キーから鍵情報を受信した場合、受信した前記鍵情報に基づく仮登録あるいは仮無効化の処理を実行し、前記実行部により前記仮登録あるいは仮無効化の処理が実行された後、所定のキャンセル条件を満たした場合、前記実行部により実行された処理が実行される前の状態に戻すキャンセル部をさらに備える。

（９）：（８）において、前記所定のキャンセル条件は、前記仮登録あるいは前記仮無効化の処理を実行してから所定時間が経過したことを含む。

（１０）：（８）または（９）において、前記所定のキャンセル条件は、前記仮登録あるいは前記仮無効化の処理を実行してから前記車両が備える駆動源が始動された回数が閾値以上となったことを含む。

（１１）：（８）から（１０）のうちいずれかにおいて、前記実行部は、前記電子キー管理システム補助装置から入力された前記入力情報と、前記車載通信機を用いて前記管理サーバから受信した前記実行キーとに基づく第３の認証を行い、前記キャンセル条件を満たす前に前記第３の認証が成功した場合、直ちに前記電子キーから受信した鍵情報に基づく登録あるいは無効化の処理を実行する。

（１２）：車両に搭載され、車載通信機を用いて管理サーバと通信する車載認証装置と接続するための接続部を有する電子キー管理システム補助装置の制御コンピュータが、前記接続部を介して接続された車載認証装置が前記管理サーバと通信可能でなかったことを検知し、前記通信可能でなかったことを検知した場合、前記車両の電子キーを前記車載認証装置に登録させる登録モード、或いは前記車載認証装置に登録されている前記電子キーを無効化する無効化モードに遷移する許可を得るための実行キーの送信を、前記車載通信機とは異なる通信機を利用して前記管理サーバに要求する、方法。

（１３）：車両に搭載され、車載通信機を用いて管理サーバと通信する車載認証装置と接続するための接続部を有する電子キー管理システム補助装置の制御コンピュータに、前記接続部を介して接続された車載認証装置が前記管理サーバと通信可能でなかったことを検知させ、前記通信可能でなかったことを検知した場合、前記車両の電子キーを前記車載認証装置に登録させる登録モード、或いは前記車載認証装置に登録されている前記電子キーを無効化する無効化モードに遷移する許可を得るための実行キーの送信を、前記車載通信機とは異なる通信機を利用して前記管理サーバに要求させる、プログラム。

（１）〜（１３）によれば、車載器がセンターと通信困難な状況における救済措置を提供することができる。

第１実施形態に係る電子キー管理システム１の構成図である。 診断機３０の構成図である。 管理サーバ１００の構成図である。 アドレス管理情報１３１の内容の一例を示す図である。 イモビライザ６０の構成図である。 イモビライザ６０が通信ユニット５０を用いて管理サーバ１００と通信可能である場合の処理の流れを示すシーケンス図である。 イモビライザ６０が通信ユニット５０を用いて管理サーバ１００と通信可能でない場合の処理の流れを示すシーケンス図である。 診断機３０による処理の流れを示すフローチャートである。 イモビライザ６０による処理の流れを示すフローチャートである。 通信困難時の処理（その１）の流れの一例を示すフローチャートである。 通信困難時の処理（その２）の流れの一例を示すフローチャートである。 管理サーバ１００Ｓの構成図である。

以下、図面を参照し、本発明の電子キー管理システム補助装、電子キー管理システム、方法、およびプログラムの実施形態について説明する。

＜第１実施形態＞
［全体構成］
図１は、第１実施形態に係る電子キー管理システム１の構成図である。電子キー管理システム１は、例えば、電子キー１０と、ユーザ端末２０と、診断機３０と、ディーラー端末４０と、通信ユニット５０と、イモビライザ６０と、管理サーバ１００とを備える。ユーザ端末２０と、ディーラー端末４０と、通信ユニット５０と、管理サーバ１００とは、ネットワークＮＷを用いて互いに通信する。ネットワークＮＷは、例えば、ＷＡＮ（Wide Area Network）、ＬＡＮ（Local Area Network）、インターネット、プロバイダ装置、無線基地局、専用回線などのうちの一部または全部を含む。

通信ユニット５０およびイモビライザ６０は、車両７０に搭載されている。イモビライザ６０は、認証処理を行う車載装置（すなわち、車載認証装置）の一例である。車載認証装置は、認証処理を行う車載装置であればよく、イモビライザ以外の装置であっても構わない。

車両７０は、例えば、正規所有者Ａにより購入された車両である。以下に説明する電子キー１０の登録作業および無効化作業は、ディーラー店において、納車時、追加登録時、登録抹消時のいずれかにおいて行われることが多い。しかし、バッテリ上がりやガス欠等により、車両７０を駐車した所から移動できない場合もある。また、正規所有者Ａにより自宅等で追加登録が行われる場合もある。これらの場合、ディーラー店以外の場所においても、登録作業や無効化作業が行われる。

追加登録時とは、電子キーを紛失したときに新しい電子キーを登録するときや、２つ目以降の新しい電子キーを登録するとき等である。登録抹消時とは、紛失した電子キーを登録から抹消するとき等である。以下ではこれらを区別せずに説明する。登録作業や無効化作業は、正規所有者Ａ又はディーラー店の販売員Ｂ等により行われ、以下では、これらを含めた操作者により実行される例について説明する。

電子キー１０は、車両７０に登録するために用意された電子キーである。電子キー１０には、自身が備える記憶部に鍵情報が格納されている。鍵情報は、例えば、電子キー１０を識別するための識別情報である。電子キー１０には、所定のスイッチが設けられており、このスイッチが操作されることにより、電子キー１０の記憶部に記憶されている鍵情報が送信される。

ユーザ端末２０は、正規所有者Ａの使用する端末装置である。ユーザ端末２０は、例えば、タブレット端末、スマートフォン、ＰＤＡ（Personal Digital Assistant）、ノートパソコン等である。

診断機３０は、例えば、専用の有線ケーブルを用いてイモビライザ６０と接続された状態で、車両の故障等を診断する。なお、診断機３０は、イモビライザ６０と接続される際に、他のＥＣＵを介して間接又は直接的に接続されてもよい。実施形態では、イモビライザ６０に対して、所定モードを実行させるためのツールとして用いられる。

ディーラー端末４０は、ディーラー店の販売員Ｂの使用する端末装置である。ディーラー端末４０は、例えば、ディーラー店に設置されるデスクトップパソコンやノートパソコンであって、タブレット端末、スマートフォン、ＰＤＡ等であってもよい。

通信ユニット５０は、例えば、セルラー網やＷｉ−Ｆｉ網を介してネットワークＮＷに接続するための無線通信モジュールである。通信ユニット５０は、イモビライザ６０と接続されており、管理サーバ１００等の外部装置から受信した情報をイモビライザ６０に出力する。

イモビライザ６０は、電子キー１０の登録処理により登録された電子キーの鍵情報を記憶部（後述）に保持しており、電子キー１０との間で鍵情報の照合を行う。具体的にいうと、イモビライザ６０は、登録されている鍵情報と、電子キー１０から受信した鍵情報とを照合し、合致するか否かを判定する。この判定処理により電子キー１０から受信した鍵情報が、記憶部に保持している鍵情報と合致すると判定された場合（電子キー１０が正規なものであることが認証された場合すなわち認証が成功した場合）、イモビライザ６０は、車両７０のドアの施錠あるいは解除や、車両７０のエンジンの始動等の所定動作を許可する。一方、登録されていない電子キー１０から受信した鍵情報では認証が成功しない。この場合、イモビライザ６０は、所定動作を許可しない。

管理サーバ１００は、以下に説明する電子キー１０の登録処理あるいは無効化処理において、販売員Ｂが診断機３０に入力する実行キーを発行する。実行キーとは、登録モードあるいは無効化モードに遷移する許可を得るための情報である。登録モードとは、車両７０に専用の電子キーとして電子キー１０をイモビライザ６０に登録するモードである。無効化モードとは、イモビライザ６０に車両７０に専用の電子キーとして登録されている電子キーを無効化するモードである。操作者は、この実行キーを用いて、イモビライザ６０を登録モードに切り替えた後、電子キー１０と車両７０との対応付けを行う。また、操作者は、実行キーを用いて、イモビライザ６０を無効化モードに切り替えた後、電子キー１０と車両７０との対応付けをキャンセルする。

［診断機３０］
図２は、診断機３０の構成図である。図２に示す通り、診断機３０は、接続部３１と、入力部３２と、表示部３３と、記憶部３４と、制御部３５と、通信部３６とを備える。接続部３１は、有線ケーブルが接続されるコネクタである。接続部３１は、有線ケーブルを介して、イモビライザ６０と接続される。入力部３２は、各種キー、ボタン等である。表示部３３は、ＬＣＤ（Liquid Crystal Display）等である。記憶部３４は、ＲＡＭ（Random Access Memory）やＲＯＭ（Read Only Memory）、フラッシュメモリなどにより実現される。記憶部３４には、例えば、実行キー情報３４Ａなどの情報が格納される。実行キー情報３４Ａは、管理サーバ１００から受信した実行キーを示す情報である。通信部３６は、例えば、セルラー網やＷｉ−Ｆｉ網を介してネットワークＮＷに接続するための無線通信モジュール（通信機）である。

制御部３５は、例えば入力部３２により入力された情報に基づいて、イモビライザ６０と通信し、イモビライザ６０から受信した情報に基づいて、所定の処理を実行する。制御部３５は、通信判定部３５Ａと、要求部３５Ｂと、出力制御部３５Ｃとを含む。これらの構成は、例えば、ＣＰＵ（Central Processing Unit）などのハードウェアプロセッサがプログラム（ソフトウェア）を実行することにより実現される。

通信判定部３５Ａは、接続部３１を介して接続されたイモビライザ６０が通信ユニット５０を用いて管理サーバ１００と通信可能であるか否かを判定する。例えば、通信判定部３５Ａは、登録モードあるいは無効化モードの実行を依頼するリクエスト（以下、実行リクエストと記す）を、接続部３１を介してイモビライザ６０に出力した後、実行リクエストを管理サーバ１００に送信できなかったことを表す通知が所定時間内にイモビライザ６０から入力された場合、イモビライザ６０が通信ユニット５０を用いて管理サーバ１００と通信可能でないと判定する。通信判定部３５Ａにより、イモビライザ６０が通信ユニット５０を用いて管理サーバ１００と通信可能でないと判定された場合、制御部３５は、通信困難時の処理を実行する。通信困難時の処理の詳細については、後述する。例えば、車両７０が地下駐車場のようにネットワークとの通信環境が悪い場所から移動できない状況において、登録モード等がリクエストされた場合、通信困難時の処理が実行される。

要求部３５Ｂは、通信判定部３５Ａによりイモビライザ６０が通信ユニット５０を用いて管理サーバ１００と通信可能でないと判定された場合、実行キーの送信を管理サーバ１００に要求する。例えば、要求部３５Ｂは、指定されたモードの実行リクエストを、通信部３６を用いて管理サーバ１００に送信する。

出力制御部３５Ｃは、入力部３２に対して入力された入力情報を、接続部３１を介してイモビライザ６０に出力する。なお、要求部３５Ｂにより実行キーが要求された場合、出力制御部３５Ｃは、入力部３２に対して入力された入力情報に加え、通信部３６を用いて管理サーバ１００から受信された実行キーも、接続部３１を介してイモビライザ６０に出力する。

また、出力制御部３５Ｃは、記憶部３４に格納されている各種情報に基づいて、所定の画面を表示部３３に表示させる。

［管理サーバ１００］
イモビライザ６０に先立って、管理サーバ１００の説明を先にする。図３は、管理サーバ１００の構成図である。図３に示す通り、管理サーバ１００は、通信部１１０と、記憶部１３０と、制御部１５０とを備える。通信部１１０は、例えば、ＮＩＣ（Network Interface Card）などの通信インターフェースを含む。記憶部１３０は、ＲＡＭやＲＯＭ、ＳＳＤ（Solid State Drive）などのフラッシュメモリ、ＨＤＤ（Hard Disk Drive）などである。記憶部１３０は、例えば、アドレス管理情報１３１、実行キー生成情報１３２などの情報が格納される。実行キー生成情報１３２は、実行キーを生成するために必要な情報である。例えば、実行キー生成情報１３２は、入力情報に基づいて実行キーを導出する演算式やプログラム等を含む。

図４は、アドレス管理情報１３１の内容の一例を示す図である。図４に示す通り、アドレス管理情報１３１は、例えば、車体ナンバーに対して、ディーラーメールアドレスと、ユーザメールアドレスと、実行キーとを対応付けた情報である。車体ナンバーは、各車両７０を識別する識別情報であって、例えば車両７０に取り付けられている（あるいは取り付けらえる予定の）ナンバープレートに表示されている番号である。ディーラーメールアドレスは、ディーラー端末４０によりメールを受信可能なメールアドレスである。ユーザメールアドレスは、ユーザ端末２０によりメールを受信可能なメールアドレスである。実行キーは、例えば、対応する車体ナンバー等に基づいて管理サーバ１００により生成された実行キーである。なお、ディーラーメールアドレスやユーザメールアドレスは、ディーラー端末４０やユーザ端末２０へ情報を送信する際のアドレスの一例であって、実行キーが送受信可能なものであれば特にメールアドレスに限らない。

制御部１５０は、例えば、登録部１５１と、実行キー生成部１５２と、通信制御部１５４とを備える。これらの構成は、例えば、ＣＰＵなどのハードウェアプロセッサがプログラム（ソフトウェア）を実行することにより実現される。

登録部１５１は、ディーラー端末４０から受信する車体ナンバーに、ディーラー端末４０から受信するディーラーメールアドレスと、ユーザ端末２０から受信するユーザメールアドレスとを対応付けた情報を、アドレス管理情報１３１の一部として、記憶部１３０に格納する。なお、アドレス管理情報１３１において車体ナンバーに対応づけられるメールアドレスは、ディーラーメールアドレスあるいはユーザメールアドレスのうちのどちらか一方でもよい。

実行キー生成部１５２は、例えば、イモビライザ６０（通信困難時は診断機３０）からの実行リクエストに応じて、実行キー生成情報１３２を用いて、実行キーＫを生成する。例えば、実行キー生成情報１３２は、アドレス管理情報１３１に登録されている車体ナンバーなどの静的情報や、登録日の日時情報等の動的情報に基づいて、実行キーＫを生成する。実行キー生成部１５２は、生成した実行キーＫを、対応する車体ナンバーに対応付けて、記憶部１３０に格納する。

通信制御部１５４は、実行キー生成部１５２により生成された実行キーＫを、実行リクエストを送信したイモビライザ６０（あるいは診断機３０）に送信する。以下、イモビライザ６０に送信される実行キーＫを、実行キーＫｉと記す。また、診断機３０に送信される実行キーを、実行キーＫｄと記す。実行キーＫｉと実行キーＫｄとは、実行キーＫと同一の情報である。

また、通信制御部１５４は、実行キー生成部１５２により生成された実行キーＫを、ディーラー端末４０およびユーザ端末２０のうち少なくとも一方に送信する。以下、ディーラー端末４０およびユーザ端末２０のうち少なくとも一方に送信される実行キーＫを、実行キーＫｔと記す。実行キーＫｔは、実行キーＫと同一の情報である。ディーラー端末４０あるいはユーザ端末２０は、受信した実行キーＫｔを自身の表示部に表示させる。この表示部が操作者により参照され、操作者により入力部３２に対して入力された実行キーであって、診断機３０からイモビライザ６０に入力する実行キーを、以下、実行キーＫｔ（ｍ）と記す。

［イモビライザ６０］
図５は、イモビライザ６０の構成図である。図５に示す通り、イモビライザ６０は、接続部６１と、記憶部６３と、制御部６５とを備える。接続部６１は、有線ケーブルが接続されるコネクタである。接続部６１は、有線ケーブルを介して、診断機３０および通信ユニット５０と接続される。記憶部６３は、ＲＡＭやＲＯＭ、フラッシュメモリなどにより実現される。

記憶部６３には、例えば、実行キー情報６３Ａ、鍵情報６３Ｂなどの情報が格納される。実行キー情報６３Ａは、管理サーバ１００から受信した実行キーＫｉを示す情報である。鍵情報６３Ｂは、登録モードにおいて車両７０（つまり、イモビライザ６０）に専用の電子キーとして登録された電子キー１０に割り当てられている識別情報である。鍵情報６３Ｂに含まれる鍵情報は、複数であってもよい。

制御部６５は、例えば、実行キー登録部６５Ａと、実行キー照合部６５Ｂと、電子キー登録部６５Ｃと、電子キー照合部６５Ｄと、電子キー削除部６５Ｅと、キャンセル部６５Ｆを備える。これらの構成は、例えば、ＣＰＵなどのハードウェアプロセッサがプログラム（ソフトウェア）を実行することにより実現される。

実行キー登録部６５Ａは、登録モードの実行リクエストが診断機３０から入力された場合、あるいは、無効化モードの実行リクエストが診断機３０から入力された場合、入力された情報を管理サーバ１００に送信する。実行キー登録部６５Ａは、管理サーバ１００から実行キーＫｉを受信した場合、実行キー情報６３Ａとして、記憶部６３に格納する。一方、実行キー登録部６５Ａは、管理サーバ１００に実行リクエストを送信できなかった場合、その旨を示す通知を診断機３０に出力する。また、実行キー登録部６５Ａは、実行リクエストを管理サーバ１００に送信してから所定時間以内に管理サーバ１００から実行キーＫｉを受信しない場合も、管理サーバ１００にリクエストを送信できなかったことを示す通知を診断機３０に出力してもよい。

実行キー照合部６５Ｂは、例えば、診断機３０からイモビライザ６０に入力した実行キーＫｔ（ｍ）と、記憶部６３に格納された実行キー情報６３Ａである実行キーＫｉとを照合する認証処理（以下、認証処理Ｐと記す）を実行する。実行キー照合部６５Ｂは、認証処理Ｐにおいて、実行キーＫｔ（ｍ）と実行キーＫｉとが合致するか否かを判定する。ここで、キー同士が合致するとは、キーの示す情報が合致または部分合致することの他、一方のキーを用いて暗号化した情報を他方のキーを用いて復号した場合に正しい情報が得られることなど、種々の意味を含んでよい。以下同様である。

また、実行キー照合部６５Ｂは、診断機３０からイモビライザ６０に入力した実行キーＫｄ（管理サーバ１００から診断機３０に送信された実行キー）と実行キーＫｔ（ｍ）とを照合する認証処理（以下、認証処理Ｑと記す）を実行する。実行キー照合部６５Ｂは、認証処理Ｑにおいて、実行キーＫｄと実行キーＫｔ（ｍ）とが合致するか否かを判定する。この認証処理Ｑは、通信困難時の処理の一部である。

実行キー照合部６５Ｂは、上述のいずれの認証処理においても、照合対象が合致する場合、診断機３０からイモビライザ６０に入力した実行キーＫｔ（ｍ）を正規なものとして認証する（つまり、認証が成功したと判定する）。一方、照合対象が合致しないと判定した場合、実行キー照合部６５Ｂは、診断機３０からイモビライザ６０に入力した実行キーＫｔ（ｍ）を正規なものとして認証しない（つまり、認証が失敗したと判定する）。

電子キー登録部６５Ｃは、登録モードに遷移して登録処理を実行する実行部である。電子キー登録部６５Ｃは、実行キー照合部６５Ｂにより実行キーＫｔ（ｍ）が正規なものとして認証された場合、登録モードの実行リクエストに応じて登録モードを実行する。なお、登録モードの実行リクエストは、認証の前に行われてもよいし、後に行われてもよい。電子キー登録部６５Ｃは、認証処理Ｑが成功した場合、つまり、イモビライザ６０が通信ユニット５０を用いて管理サーバ１００と通信できた場合、以下の処理を実行する。例えば、電子キー登録部６５Ｃは、登録モードを実行中において電子キー１０から鍵情報を受信した場合、受信した鍵情報を、鍵情報６３Ｂとして記憶部６３に格納し、登録モードを終了する。

電子キー照合部６５Ｄは、車両キー１０から鍵情報を受信した場合、受信した鍵情報と、記憶部６３の鍵情報６３Ｂとを照合する。電子キー照合部６５Ｄは、照合により両者が合致するか否かを判定し、合致する場合、車両キー１０から受信した鍵情報を正規なものとして認証する。車両キー１０から受信した鍵情報を正規なものとして認証した場合、電子キー照合部６５Ｄは、車両７０のドアの施錠あるいは解除や、車両７０のエンジンの始動等の所定動作を許可する。一方、照合により両者が合致しない場合、電子キー照合部６５Ｄは、車両キー１０から受信した鍵情報を正規なものとして認証しないため、所定動作を許可しない。

電子キー削除部６５Ｅは、無効化モードに遷移して無効化処理を実行する実行部である。電子キー削除部６５Ｅは、実行キー照合部６５Ｂにより実行キーＫｔ（ｍ）が正規なものとして認証された場合、無効化モードの実行リクエストに応じて無効化モードを実行する。なお、無効化モードの実行リクエストは、認証の前に行われてもよいし、後に行われてもよい。電子キー削除部６５Ｅは、認証処理Ｑが成功した場合、つまり、イモビライザ６０が通信ユニット５０を用いて管理サーバ１００と通信できた場合、以下の処理を実行する。例えば、電子キー削除部６５Ｅは、無効化モードの実行中において電子キー１０から鍵情報を受信した場合、受信した鍵情報が、鍵情報６３Ｂとして、記憶部６３に記憶されているか否かを判定する。電子キー１０から受信した鍵情報が鍵情報６３Ｂとして記憶部６３に記憶されている場合、電子キー削除部６５Ｅは、電子キー１０から受信した鍵情報を、記憶部６３から削除し、無効化モードを終了する。

電子キー登録部６５Ｃおよび電子キー削除部６５Ｅは、認証処理Ｑが成功した場合（つまり、イモビライザ６０が通信ユニット５０を用いて管理サーバ１００と通信できなかった場合）、条件付きの登録モードあるいは条件付きの無効化モードを実行する。条件付きの登録モードあるいは条件付きの無効化モードでは、認証処理Ｐが成功した後に実行される処理に対して所定の制約が加えられている。条件には、例えば、所定モードを実行したときから所定時間が経過した後でなければ鍵情報を登録（あるいは抹消）することができない（その１）、鍵情報を一時的に登録（あるいは抹消）しておきその後元の状態（登録あるいは抹消前の状態）に戻す（その２）等が含まれる。条件（その１）を採用することにより、登録（あるいは抹消）をすぐに実行できなくなるため、不正な操作者が断念する可能性が高くなり、車両７０のセキュリティ性を向上させることができる。条件（その２）を採用することにより、一時的なモードの利用が可能となるため正当な操作者の希望する処理を実現することができるとともに、継続的なモードの利用はできないことから不正な操作者による悪用を制限し、その結果として車両７０のセキュリティ性を向上させることができる。

条件（その２）の一例について説明する。電子キー登録部６５Ｃおよび電子キー削除部６５Ｅは、認証処理Ｑが成功したことによる所定モードの実行中に電子キー１０から鍵情報を受信した場合、受信した鍵情報に基づく仮登録あるいは仮無効化の処理を実行する。仮登録とは、鍵情報を一時的に登録することである。仮無効化とは、鍵情報を一時的に削除することである。なお、仮無効化において、一時的に削除された鍵情報は、再び登録できるように、記憶部６３に保存されている。なお、条件付きの登録モードについては、後で詳細に説明する。

キャンセル部６５Ｆは、電子キー登録部６５Ｃによる仮登録の処理（あるいは、電子キー削除部６５Ｅによる仮無効化の処理）の実行中において、所定のキャンセル条件を満たした場合、電子キー登録部６５Ｃあるいは電子キー削除部６５Ｅにより実行された処理が実行される前の状態に戻す。例えば、キャンセル部６５Ｆは、キャンセル条件を満たした場合、電子キー登録部６５Ｃにより一時的に登録された鍵情報を記憶部６３から削除する。また、キャンセル部６５Ｆは、キャンセル条件を満たした場合、電子キー削除部６５Ｅにより一時的に削除された鍵情報を、記憶部６３の電子キー情報６３Ａに復活させる。

キャンセル条件には、例えば、（Ａ）仮登録あるいは仮無効化の処理を実行してから所定時間が経過したこと、（Ｂ）仮登録あるいは仮無効化の処理を実行してから車両７０が備える駆動源が始動された回数が閾値以上となったこと、（Ｃ）走行距離が所定値以上となったことなどが含まれる（例えば走行距離閾値は、近くの販売店までの距離とする）。また、キャンセル部６５は、車両７０に設けられた検知部より取得された生体情報を用いて、予め登録済みの利用者以外の利用者が車両７０を利用したことを判定した場合、キャンセル条件を満たしたと判定してもよい。生体情報には、例えば、指紋、瞳の中の虹彩などが含まれる。例えば、車両７０のオーナーの指紋を予め登録しておき、オーナーの指紋に合致しない指紋の人物がアウターハンドルに触った場合、アウターハンドルに取り付けられている検知部からの生体情報に基づいて、キャンセル部６５Ｆは、キャンセル条件を満たすと判定する。

［シーケンス図］
次に、図６，７を参照して、電子キー管理システム１による処理について説明する。図６は、イモビライザ６０が通信ユニット５０を用いて管理サーバ１００と通信可能である場合の処理の流れを示すシーケンス図である。一方、図７は、イモビライザ６０が通信ユニット５０を用いて管理サーバ１００と通信可能でない場合の処理の流れを示すシーケンス図である。以下、登録モードを実行する例について説明する。無効化モードについては、以下に説明する電子キー登録部６５Ｃの処理を、電子キー削除部６５Ｅの処理に置き換えればよい。また、販売員Ｂが登録モードを実行する例について説明するが、以下の処理を、正規所有者Ａが実行してもよい。

まず、図６について説明する。例えば、販売員Ｂは、ディーラー端末４０を操作して、ディーラーメールアドレスを管理サーバ１００に登録する作業を行う（ステップＳ１１）。これにより、ディーラー端末４０は、入力されたディーラーメールアドレスを、管理サーバ１００に送信する（ステップＳ１２）。管理サーバ１００は、受信したディーラーメールアドレスを、記憶部１３０に格納する（ステップＳ１３）。なお、正規所有者Ａも同様にして、ユーザ端末４０からユーザメールアドレスを管理サーバ１００に送信することにより、管理サーバ１００にユーザメールアドレスを事前に登録しておいてもよい。

次いで、販売員Ｂは、診断機３０を操作して、登録モードの実行開始を指示する（ステップＳ２１）。ここで、販売員Ｂは、車体ナンバーを入力する。診断機３０は、登録モードの実行開始の指示を受け付けると、車体ナンバーとともに、登録モードの実行リクエストを、イモビライザ６０に出力する（ステップＳ２２）。イモビライザ６０は、実行リクエストが入力された場合、通信ユニット５０を介して、車体ナンバーと共に実行リクエストを管理サーバ１００に送信する（ステップＳ２３）。管理サーバ１００は、実行リクエストを受信した場合、車体ナンバーや日時情報等に基づいて、実行キーＫを生成する（ステップＳ３４）。

管理サーバ１００は、ステップＳ３４において生成された実行キーＫである実行キーＫｉを、通信ユニット５０を介して、イモビライザ６０に送信する（ステップＳ３６）。イモビライザ６０は、受信した実行キーＫｉを、実行キー情報６３Ａとして記憶部６３に格納する（ステップＳ３７）。

管理サーバ１００は、ステップＳ３４において生成された実行キーＫである実行キーＫｔを、ディーラー端末４０に送信する（ステップＳ３８）。ディーラー端末４０は、受信した実行キーＫｔを、自身の表示部に表示させる（ステップＳ３９）。

次いで、診断機３０は、実行キーの入力を受け付ける入力画面（以下、実行キー入力画面と記す）を表示部３３に表示させる（ステップＳ４０）。なお、実行キー入力画面には、実行キー以外の情報であって認証に必要な情報の入力欄が設けられていてもよい。診断機３０は、操作者により入力部３２に対して入力された実行キーＫｔ（ｍ）を、イモビライザ６０に出力する（ステップＳ４１）。

イモビライザ６０は、診断機３０から入力した実行キーＫｔ（ｍ）と、ステップＳ３７において格納された実行キー情報６３Ａである実行キーＫｉとに基づき、認証処理Ｐを実行する（ステップＳ４２）。認証処理Ｐにおいて認証に失敗した場合（ステップＳ４３）、イモビライザ６０は、認証が失敗したことを示す情報を診断機３０に送信し（ステップＳ４４）、診断機３０は、イモビライザ６０から受信した情報に基づいて、認証に失敗したことを示す画面を表示部３３に表示させる（ステップＳ４５）。

一方、ステップＳ４３において、認証に成功した場合、イモビライザ６０は、登録モードを実行し（ステップＳ４６）、登録モードを実行中であること（あるいは、実行キーの認証が成功したこと）を示す情報を、診断機３０に送信する（ステップＳ４７）。診断機３０は、受信した情報に基づいて、登録モードを実行中であること（あるいは、実行キーの認証が成功したこと）を示す画面を表示部３３に表示させる（ステップＳ４８）。

ステップＳ４８において表示された画面を確認した販売員Ｂは、車両キー１０のスイッチを操作する（ステップＳ４９）。販売員Ｂの操作を受けて、車両キー１０は、自身が保持する鍵情報を送信する（ステップＳ５０）。イモビライザ６０は、車両キー１０から鍵情報を受信すると、受信した鍵情報を鍵情報６３Ｂとして記憶部６３に格納し（ステップＳ５１）、登録モードを終了する（ステップＳ５２）。次いで、イモビライザ６０は、鍵情報を登録したことを示す情報を診断機３０に送信し（ステップＳ５３）、診断機３０は、イモビライザ６０から受信した情報を表示部３３に表示させる（ステップＳ５４）。

次に、図７について説明する。なお、図６に示す処理と同じ処理については同一の符号を付して説明を省略し、異なる処理についてのみ説明する。

ステップＳ２３において、実行リクエストを管理サーバ１００に送信できない場合（ステップＳ２４）、イモビライザ６０は、実行リクエストを管理サーバ１００に送信できなかったことを表す通知を診断機３０に出力する（ステップＳ２５）。診断機３０は、通信部３６を用いて登録モードの実行リクエスを管理サーバ１００に送信する（ステップＳ２６）。

管理サーバ１００は、実行リクエストを受信した場合、車体ナンバーや日時情報等に基づいて、実行キーＫを生成する（ステップＳ６４）。管理サーバ１００は、ステップＳ６４において生成された実行キーＫである実行キーＫｄを、診断機３０に送信する（ステップＳ６６）。診断機３０は、受信した実行キーＫｄを、実行キー情報３４Ａとして記憶部３４に格納する（ステップＳ６７）。

また、管理サーバ１００は、ステップＳ６４において生成された実行キーＫである実行キーＫｔを、ディーラー端末４０に送信する（ステップＳ６８）。ディーラー端末４０は、受信した実行キーＫｔを、自身の表示部に表示させる（ステップＳ６９）。

次いで、診断機３０は、実行キー入力画面を表示部３３に表示させる（ステップＳ７０）。診断機３０は、通信部３６を用いて管理サーバ１００から受信した実行キーＫｄと、操作者により入力部に対して入力された実行キーＫｔ（ｍ）とを、イモビライザ６０に出力する（ステップＳ７１）。イモビライザ６０は、入力された実行キーＫｄと実行キーＫｔ（ｍ）とに基づき、認証処理Ｑを実行する（ステップＳ７２）。認証処理Ｑにおいて認証に失敗した場合（ステップＳ７３）、イモビライザ６０は、認証が失敗したことを示す情報を診断機３０に送信し（ステップＳ７４）、診断機３０は、受信した情報に基づいて、認証に失敗したことを示す画面を表示部３３に表示させる（ステップＳ７５）。

一方、ステップＳ７３において認証に成功した場合、イモビライザ６０は、条件付きの登録モードを実行し（ステップＳ７６）、登録モードを実行中であること（あるいは、実行キーの認証が成功したこと）を示す情報を、診断機３０に送信する（ステップＳ７７）。診断機３０は、イモビライザ６０から受信した情報に基づいて、登録モードを実行中であること（あるいは、実行キーの認証が成功したこと）を示す画面を表示部３３に表示させる（ステップＳ７８）。ここで、診断機３０には、条件付きの登録モードであることを表示部３３に表示させてもよい。

ステップＳ７８において表示された画面を確認した場合、販売員Ｂは、車両キー１０のスイッチを操作する（ステップＳ７９）。販売員Ｂの操作を受けて、車両キー１０は、自身が保持する鍵情報を送信する（ステップＳ８０）。イモビライザ６０は、車両キー１０から鍵情報を受信すると、一定条件の下、受信した鍵情報を鍵情報６３Ｂとして記憶部６３に格納し（ステップＳ８１）、条件付きの登録モードを終了する（ステップＳ８２）。次いで、イモビライザ６０は、鍵情報を登録したことを示す情報を、診断機３０に送信し（ステップＳ８３）、診断機３０は、受信した情報を表示部３３に表示させる（ステップＳ８４）。

［フローチャート］
図８は、診断機３０による処理の流れを示すフローチャートである。図８に示す通り、診断機３０の制御部３５は、入力部３２を用いて操作者により、例えば登録モードの実行リクエストが入力されたか否かを判定する（ステップＳ１０１）。操作者により実行リクエストが入力された場合、入力された実行リクエストを、接続部３１を介して、イモビライザ６０に出力する（ステップＳ１０３）。

次いで、通信判定部３５Ａは、イモビライザ６０が通信ユニット５０を用いて管理サーバ１００と通信可能であるか否かを判定する（ステップＳ１０５）。イモビライザ６０が通信ユニット５０を用いて管理サーバ１００と通信可能でないと判定した場合、通信判定部３５Ａは、通信部３６を用いて管理サーバ１００と通信可能か否かを判定する（ステップＳ１０７）。通信部３６を用いて管理サーバ１００と通信可能でない場合、通信判定部３５Ａは、ネットワークＮＷを介して管理サーバ１００と通信可能な場所に移動することを示す情報を表示部３３に表示させる（ステップＳ１０９）。これにより、操作者は、診断機３０とイモビライザ６０との接続を解除し、診断機３０だけを持って、ネットワークＮＷと通信可能な場所へ移動することができる。

ネットワークＮＷを介して管理サーバ１００と通信可能となった場合、要求部３５Ｂは、実行キーの送信を管理サーバ１００に要求する（ステップＳ１１１）。次いで、要求部３５Ｂは、管理サーバ１００から受信した実行キーＫｄを、実行キー情報３４Ａとして記憶部３４に格納する（ステップＳ１１３）。そして、出力制御部３５Ｃは、実行キー入力画面を表示部３３に表示させる（ステップＳ１１５）。出力制御部３５Ｃは、実行キー入力画面において入力された実行キーＫｔ（ｍ）と、ステップＳ１１３において記憶部３４に格納された実行キーＫｄとを、接続部３１を介してイモビライザ６０に出力する（ステップＳ１１７）。

一方、ステップＳ１０５において、イモビライザ６０が通信ユニット５０を用いて管理サーバ１００と通信可能であると判定された場合、出力制御部３５Ｃは、実行キー入力画面を表示部３３に表示させる（ステップＳ１１９）。そして、出力制御部３５Ｃは、実行キー入力画面において入力された実行キーＫｔ（ｍ）を、接続部３１を介してイモビライザ６０に出力する（ステップＳ１２１）。

次に、図９〜１１を参照して、イモビライザ６０による処理について説明する。以下、登録モードの実行リクエストを診断機３０から入力した例について説明する。なお、無効化モードの実行リクエストを入力した場合は、以下に説明する電子キー登録部６５Ｃの処理を、電子キー削除部６５Ｅの処理に置き換えればよい。

図９は、イモビライザ６０による処理の流れを示すフローチャートである。図９に示す通り、実行キー登録部６５Ａは、診断機３０から入力する登録モードの実行リクエストを、管理サーバ１００に送信する（ステップＳ２０１）。次いで、実行キー登録部６５Ａは、ステップＳ２０１において実行リクエストを管理サーバ１００に送信できたか否かを判定する（ステップＳ２０３）。実行リクエストを管理サーバ１００に送信できた場合、実行キー登録部６５Ａは、管理サーバ１００から受信した実行キーＫｉを、実行キー情報６３Ａとして記憶部６３に格納する（ステップＳ２０５）。

次いで、診断機３０から実行キーＫｔ（ｍ）が入力された場合（ステップＳ２０７）、実行キー照合部６５Ｂは、診断機３０から入力された実行キーＫｔ（ｍ）と、実行キー情報６３Ａである実行キーＫｉとに基づき、認証処理Ｐを実行する（ステップＳ２０９）。認証処理Ｐによる認証が失敗した場合（ステップＳ２１１）、実行キー照合部６５Ｂは、その旨を示す通知を診断機３０に出力して表示部３３に表示させる（ステップＳ２１３）。

一方、ステップＳ２１１において、認証処理Ｐによる認証が成功した場合、電子キー登録部６５Ｃは、登録モードを実行する（ステップＳ２１５）。電子キー登録部６５Ｃは、所定時間以内に車両キー１０から鍵情報を受信したか否かを判定する（ステップＳ２１７）。所定時間以内に車両キー１０から鍵情報を受信した場合、電子キー登録部６５Ｃは、受信した鍵情報を鍵情報６３Ｂとして記憶部６３に格納する（ステップＳ２１９）。そして、電子キー登録部６５Ｃは、登録モードを終了する（ステップＳ２２１）。

ステップＳ２０３に戻って、実行リクエストを管理サーバ１００に送信できなかった場合、実行キー登録部６５Ａは、その旨を示す通知を診断機３０に出力する（ステップＳ２２３）。これにより、実行キー照合部６５Ｂには、この通知を入力した診断機３０から、実行キーＫｄと実行キーＫｔ（ｍ）とが入力される（ステップＳ２２５）。そして、制御部６５は、通信困難時の処理を実行する（ステップＳ３００）。

次に、通信困難時の処理の一例について説明する。まず、図１０を参照して、通信困難時の処理（その１）について説明する。図１０は、通信困難時の処理（その１）の流れの一例を示すフローチャートである。この処理は、上述した条件付きの登録モード（その１）を実行する処理である。

まず、実行キー照合部６５Ｂは、診断機３０から入力した実行キーＫｄと実行キーＫｔ（ｍ）とに基づく認証処理Ｑを実行する（ステップＳ３０１）。認証処理Ｑによる認証が失敗した場合（ステップＳ３０３）、実行キー照合部６５Ｂは、その旨を示す通知を診断機３０に出力して表示部３３に表示させる（ステップＳ３０５）。一方、ステップＳ３０３において、認証処理Ｑによる認証が成功した場合、電子キー登録部６５Ｃは、登録モードを実行する（ステップＳ３０７）。

登録モードの実行中において、実行キー登録部６５Ａは、診断機３０から実行リクエストが入力されたか否かを判定する（ステップＳ３０９）。診断機３０から実行リクエストが入力された場合、実行キー登録部６５Ａは、図９に示すステップＳ２０１に移行する。これにより、イモビライザ６０は、条件付きの登録モードを実行中（つまり、下記の所定の待機時間が経過するよりも前）であっても、認証処理Ｐに移行することが可能であり、認証処理Ｐによる認証が成功した場合、直ちに鍵情報を登録することができる。

一方、ステップＳ３０９において診断機３０から実行リクエストが入力されない場合、電子キー登録部６５Ｃは、所定の待機時間が経過したか否かを判定する（ステップＳ３１１）。待機時間は、認証処理Ｐにおいて認証に成功した場合に実行される正規の登録モードにおける移行時間よりも十分に長く、例えば、数時間や一日程度の時間である。電子キー登録部６５Ｃは、所定の待機時間が経過するまで、ステップＳ３０９に戻って処理を繰り返す。

所定の待機時間が経過した場合、電子キー登録部６５Ｃは、所定時間以内に車両キー１０から鍵情報を受信したか否かを判定する（ステップＳ３１３）。所定時間以内に車両キー１０から鍵情報を受信した場合、電子キー登録部６５Ｃは、受信した鍵情報を鍵情報６３Ｂとして記憶部６３に格納する（ステップＳ３１５）。そして、電子キー登録部６５Ｃは登録モードを終了する（ステップＳ３１７）。

次に、図１１を参照して、通信困難時の処理（その２）について説明する。図１１は、通信困難時の処理（その２）の流れの一例を示すフローチャートである。この処理は、上述した条件付きの登録モード（その２）を実行する処理である。なお、図１０を参照して説明した通信困難時の処理（その１）と同じ処理については、同一の符号を付して、詳細な説明は省略する。

電子キー登録部６５Ｃは、ステップＳ３０７において登録モードを実行した後、所定時間以内に車両キー１０から鍵情報を受信したか否かを判定する（ステップＳ３２１）。所定時間以内に車両キー１０から鍵情報を受信した場合、電子キー登録部６５Ｃは、受信した鍵情報を記憶部６３に仮登録する（ステップＳ３２３）。

登録モードを実行中において、実行キー登録部６５Ａは、診断機３０から実行リクエストが入力されたか否かを判定する（ステップＳ３２５）。診断機３０から実行リクエストが入力された場合、実行キー登録部６５Ａは、図９に示すステップＳ２０１に移行する。これにより、イモビライザ６０は、条件付きの登録モードを実行中（つまり、キャンセル条件を満たしていない状態）であっても、認証処理Ｐに移行することが可能であり、認証処理Ｐによる認証が成功した場合、直ちに鍵情報の仮登録を本登録に変更することができる。一方、診断機３０から実行リクエストが入力されない場合、キャンセル部６５Ｆは、キャンセル条件を満たしたか否かを判定する（ステップＳ３２７）。キャンセル部６５Ｆは、キャンセル条件を満たしたと判定するまで、ステップＳ３２５に戻って処理を繰り返す。

キャンセル条件を満たした場合、キャンセル部６５Ｆは、電子キー登録部６５Ｃにより一時的に登録された鍵情報を記憶部６４から削除する（ステップＳ３２９）。そして、電子キー登録部６５Ｃは、登録モードを終了する（ステップＳ３３１）。

以上説明した本実施形態の電子キー管理装置によれば、車両７０に搭載され、通信ユニット５０を用いて管理サーバ１００と通信するイモビライザ６０と接続するための接続部３１と、接続部３１を介して接続されたイモビライザ６０が通信ユニット５０を用いて管理サーバ１００と通信可能でなかった場合、実行キーの送信を、イモビライザ６０とは異なる通信部３６を利用して管理サーバ１００に要求する要求部３５Ｂとを備えることにより、イモビライザ６０は、管理サーバ１００と通信困難な環境であっても、所定モードを実行することができる。

また、接続部３１を介して接続されたイモビライザ６０が通信ユニット５０を用いて管理サーバ１００と通信可能でなかった場合、条件付きの登録モードあるいは条件付きの無効化モードを実行するようにする。これにより、通常の登録モードや無効化モードに比べてその効力が制限されるため、各モードを実行した操作者が悪意ある第三者であったとしても、電子キー１０の使用等が制限される。その結果、車両のセキュリティ性を向上させることができる。

＜第２実施形態＞
第２実施形態に係る電子キー管理システムは、第１実施形態に係る電子キー管理システム１の構成の一部を変更することで実現できる。以下、第１実施形態に係る電子キー管理システム１と同様な構成の説明については省略し、異なる点についてのみ説明する。なお、本実施形態において変更点のある構成については、符号の最後にＳを付す。

図１２は、管理サーバ１００Ｓの構成図である。管理サーバ１００Ｓは、登録部１５１、実行キー生成部１５２、および通信制御部１５４Ｓに加え、分割部１５３Ｓを備える。

分割部１５３Ｓは、実行キー生成部１５２により生成された実行キーＫに基づいて、第１実行キーＫ１と第２実行キーＫ２を生成する。分割部１５３Ｓは、例えば、実行キーＫの数字列（文字を含むものであってもよい）を前半と後半の二つに分割し、前半の数字列を第１実行キーＫ１とし、後半の数字列を第２実行キーＫ２とする。実行キーは、例えば、８桁数字のピンコードである。この場合、分割部１５３Ｓは、実行キーを４桁数字に分割し、前半の４桁を第１実行キーＫ１、後半の４桁を第２実行キーＫ２とする。

通信制御部１５４Ｓは、分割部１５３Ｓにより生成された第１実行キーＫ１と第２実行キーＫ２を、それぞれ、ディーラー端末４０とユーザ端末２０に送信する。以下、通信制御部１５４Ｓにより、第１実行キーＫ１がディーラー端末４０に送信され、第２実行キーＫ２がユーザ端末２０に送信される例について説明するが、各情報の送信先は逆であってもよい。例えば、通信制御部１５４Ｓは、実行キー生成部１５２により生成された実行キーＫに対応付けられているディーラーメールアドレスをアドレス管理情報１３１から読み出し、読み出したディーラーメールアドレスに第１実行キーＫ１を含むメールを送信する。また、通信制御部１５４は、実行キー生成部１５２により生成された実行キーＫに対応付けられているユーザメールアドレスをアドレス管理情報１３１から読み出し、読み出したユーザメールアドレスに第２実行キーＫ２を含むメールを送信する。販売員Ｂは、ディーラー端末４０およびユーザ端末２０の表示部を参照して、入力部３２に対して第１実行キーＫ１と第２実行キーＫ２とを入力する。診断機３０は、入力された第１実行キーＫ１と第２実行キーＫ２を、接続部３１を介してイモビライザ６０に出力する。

図示は省略するが、イモビライザ６０Ｓは、実行キー照合部６５ＢＳを含む。実行キー照合部６５ＢＳは、診断機３０から受信した実行キーＫｔ（ｍ）と、記憶部６３に格納された実行キー情報６３Ａである実行キーＫｉとに基づいて、認証処理Ｐを実行する。なお、実行キー照合部６５ＢＳは、分割部１５３Ｓによる分割方法を取得し、取得した分割方法に従い、診断機３０から入力した情報に基づく実行キーＫｔ（ｍ）を生成してもよい。例えば、実行キー照合部６５ＢＳは、診断機３０から受信した情報に基づいて、第１実行キーＫ１と第２実行キーＫ２とを連結した連結実行キーＫ１＋Ｋ２を生成する。実行キー照合部６５ＢＳは、生成した連結実行キーＫ１＋Ｋ２と、実行キー情報６３Ａが示す実行キーＫｉとが合致するか否かを判定する。実行キー照合部６５ＢＳは、両者が合致する場合（Ｋ１＋Ｋ２＝Ｋｉ）、診断機３０から受信した実行キーＫｔ（ｍ）を正規なものとして認証する（つまり、認証が成功したと判定する）。一方、照合により両者が合致しないと判定した場合、実行キー照合部６５ＢＳは、診断機３０から受信した実行キーＫｔ（ｍ）を正規なものとして認証しない（つまり、認証が成功しないと判定する）。なお、認証処理Ｑも同様である。

こうすることにより、イモビライザ６０は、正規所有者Ａに配信される第２実行キーＫ２なしに、登録モードあるいは無効化モードを実行することができない。よって、正規所有者の許可なしに電子キー１０の鍵情報がイモビライザ６０に登録され、登録された電子キー１０を用いて不正に車両７０が使用されることを防止することができる。その結果、車両のセキュリティ性を向上させることができる。

上記実施形態は、以下のように表現することができる。
車両に搭載され、車載通信機を用いて管理サーバと通信する車載認証装置と接続するための接続部と、
記憶装置と、
前記記憶装置に格納されたプログラムを実行するハードウェアプロセッサと、を備え、
前記ハードウェアプロセッサは、前記プログラムを実行することにより、
前記接続部を介して接続された車載認証装置が前記管理サーバと通信可能でなかったことを検知し、
前記通信可能でなかったことを検知した場合、前記車両の電子キーを前記車載認証装置に登録させる登録モード、或いは前記車載認証装置に登録されている前記電子キーを無効化する無効化モードに遷移する許可を得るための実行キーの送信を、前記車載通信機とは異なる通信機を利用して前記管理サーバに要求する、
ように構成されている電子キー管理システム補助装置。

以上、本発明を実施するための形態について実施形態を用いて説明したが、本発明はこうした実施形態に何等限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々の変形及び置換を加えることができる。

通信制御部１５４は、実行キーを送信する前に、正規所有者Ａと販売員Ｂによる本人確認を行うようにしてもよい。例えば、通信制御部１５４は、車両７０について電子キー１０の登録処理あるいは無効化処理の実行を許可するかどうかを確認する確認情報を、ディーラー端末４０とユーザ端末２０に送信する。確認情報には、車両７０の車体ナンバーや、リクエストを送信した日時等が含まれていてもよい。ディーラー端末４０とユーザ端末２０では、それぞれ、確認情報に基づく確認画面が表示され、確認画面には、登録処理あるいは無効化処理の実行を許可するかどうかを入力する許可／不許可ボタンが表示される。ディーラー端末４０とユーザ端末２０は、許可／不許可ボタンに対する操作内容を、管理サーバ１００に送信する。通信制御部１５４は、ディーラー端末４０とユーザ端末２０から、許可ボタンが操作されたことを示す情報を受信した場合、実行キーをイモビライザ６０に送信し、分割部１５３Ｓにより生成された第１実行キーと第２実行キーを、それぞれ、ディーラー端末４０とユーザ端末２０に送信する。

電子キー１０は、カードキーやユーザ端末２０等により代用されてもよい。カードキーの場合、イモビライザ６０は、車両７０に設けられたカードリーダを用いて、カードキーから鍵情報を受信する。ユーザ端末２０の場合、イモビライザ６０は、通信ユニット５０や車両７０に設けられた無線通信機器（例えば、Bluetooth（登録商標）unit）を用いて、ユーザ端末２０から鍵情報を受信する。

イモビライザ６０は、条件付きの登録モードあるいは条件付きの無効化モードを実行し、各モードの実行中において認証処理Ｐが実行されずに各モードが終了された場合、次に実行リクエストが入力された場合には、所定の条件を満たさなければ実行リクエストを管理サーバ１００に送信しないようにしてもよい。所定の条件には、例えば、所定時間が経過することや、正規所有者Ａや販売員Ｂが保持する秘密情報（パスワード）を入力すること等が含まれる。これにより、車両のセキュリティ性をより向上させることができる。

分割部１５３Ｓは、実行キーの数字列を先頭から順番に、交互に第１実行キーと第２実行キーに割り振ることにより、実行キーを分割してもよい。例えば、実行キーが「１２３４５６７８」である場合、分割部１５３Ｓは、第１実行キー「１３５７」と第２実行キー「２４６８」に分割してもよい。これに伴い、実行キー照合部６５Ｂは、第１実行キーと第２実行キーの数字の先頭から一つずつ交互に組み合わせることにより、実行キーを生成する。この例では、一文字ずつ交互に割り振ることで分割したが、分割部１５３Ｓは、二文字以上を交互に割り振ることで分割してもよく、一回前で割り振った数と異なる数で割り振ることで分割してもよい。前者の場合、例えば、第１実行キー「１２５６」と第２実行キー「３４７８」に割り振り、後者の場合、例えば、第１実行キー「１３４７」と第２実行キー「２５６８」に割り振る。実行キー照合部６５Ｂは、管理サーバ１００から、分割部１５３Ｓによる生成方法（実行キーに基づいて、第１実行キーと第２実行キーとを生成する方法）を示す情報を受信しておき、受信した情報に基づいて、第１実行キーと第２実行キーとを連結する。

１…電子キー管理システム、１０…電子キー、２０…ユーザ端末、３０…診断機、４０…ディーラー端末、５０…通信ユニット、６０…イモビライザ、１００…管理サーバ、３１…接続部、３２…入力部、３３…表示部、３４…記憶部、３４Ａ…実行キー情報、３５…制御部、３５Ａ…通信判定部、３５Ｂ…要求部、３５Ｃ…出力制御部、６１…接続部、６２…通信部、６３…記憶部、６５…制御部、６５Ａ…実行キー登録部、６５Ｂ…実行キー照合部、６５Ｃ…電子キー登録部、６５Ｄ…電子キー照合部、６５Ｅ…電子キー削除部、６５Ｆ…キャンセル部、１１０…通信部、１３０…記憶部、１５０…制御部、１５１…登録部、１５２…実行キー生成部、１５３Ｓ…分割部、１５４…通信制御部

Claims (13)

1. 車両に搭載され、車載通信機を用いて管理サーバと通信する車載認証装置と接続するための接続部と、
   前記接続部を介して接続された車載認証装置が前記車載通信機を用いて前記管理サーバと通信可能でなかった場合、前記車両の電子キーを前記車載認証装置に登録させる登録モード、或いは前記車載認証装置に登録されている前記電子キーを無効化する無効化モードに遷移する許可を得るための実行キーの送信を、前記車載通信機とは異なる通信機を利用して前記管理サーバに要求する要求部と、
   を備える電子キー管理システム補助装置。
2. 前記要求部は、
   前記登録モードあるいは前記無効化モードの実行を依頼するリクエストが前記接続部を介して前記車載認証装置に出力された後、前記リクエストを前記管理サーバに送信できなかったことを表す通知が前記接続部を介して前記車載認証装置から入力された場合、前記実行キーの送信を前記管理サーバに要求する、
   請求項１に記載の電子キー管理システム補助装置。
3. 操作者からの入力操作を受け付ける入力部と、
   前記入力部に対して入力された入力情報と、前記通信機により前記管理サーバから受信された前記実行キーとを、前記接続部を介して前記車載認証装置に出力する出力制御部と、をさらに備える
   請求項１あるいは２に記載の電子キー管理システム補助装置。
4. 請求項３に記載の電子キー管理システム補助装置と、
   前記車載通信機と、
   前記電子キー管理システム補助装置から入力された前記実行キーおよび前記入力情報に基づく第１の認証を行い、前記第１の認証が成功した場合、前記登録モードあるいは前記無効化モードを実行する実行部を備える前記車載認証装置と、
   を備える電子キー管理システム。
5. 前記実行部は、
   前記第１の認証が成功したことによる前記登録モードあるいは前記無効化モードが実行された場合、前記登録モードあるいは前記無効化モードを実行してから所定時間が経過したことを条件に、前記電子キーから受信した鍵情報に基づく登録あるいは無効化の処理を実行する、
   請求項４に記載の電子キー管理システム。
6. 前記所定時間は、
   前記電子キー管理システム補助装置から入力された前記入力情報と、前記車載通信機を用いて前記管理サーバから受信した前記実行キーとに基づく第２の認証が成功した場合よりも長い、
   請求項５に記載の電子キー管理システム。
7. 前記実行部は、
   前記所定時間が経過する前に前記第２の認証に成功した場合、直ちに前記電子キーから受信した鍵情報に基づく登録あるいは無効化の処理を実行する、
   請求項６に記載の電子キー管理システム。
8. 前記実行部は、
   前記第１の認証が成功したことによる前記登録モードあるいは前記無効化モードの実行中に前記電子キーから鍵情報を受信した場合、受信した前記鍵情報に基づく仮登録あるいは仮無効化の処理を実行し、
   前記実行部により前記仮登録あるいは仮無効化の処理が実行された後、所定のキャンセル条件を満たした場合、前記実行部により実行された処理が実行される前の状態に戻すキャンセル部をさらに備える、
   請求項４から７のうちいずれか一項に記載の電子キー管理システム。
9. 前記所定のキャンセル条件は、
   前記仮登録あるいは前記仮無効化の処理を実行してから所定時間が経過したことを含む、
   請求項８に記載の電子キー管理システム。
10. 前記所定のキャンセル条件は、
    前記仮登録あるいは前記仮無効化の処理を実行してから前記車両が備える駆動源が始動された回数が閾値以上となったことを含む、
    請求項８あるいは９に記載の電子キー管理システム。
11. 前記実行部は、
    前記電子キー管理システム補助装置から入力された前記入力情報と、前記車載通信機を用いて前記管理サーバから受信した前記実行キーとに基づく第３の認証を行い、
    前記キャンセル条件を満たす前に前記第３の認証が成功した場合、直ちに前記電子キーから受信した鍵情報に基づく登録あるいは無効化の処理を実行する、
    請求項８から１０のうちいずれか一項に記載の電子キー管理システム。
12. 車両に搭載され、車載通信機を用いて管理サーバと通信する車載認証装置と接続するための接続部を有する電子キー管理システム補助装置の制御コンピュータが、
    前記接続部を介して接続された車載認証装置が前記管理サーバと通信可能でなかったことを検知し、
    前記通信可能でなかったことを検知した場合、前記車両の電子キーを前記車載認証装置に登録させる登録モード、或いは前記車載認証装置に登録されている前記電子キーを無効化する無効化モードに遷移する許可を得るための実行キーの送信を、前記車載通信機とは異なる通信機を利用して前記管理サーバに要求する、
    方法。
13. 車両に搭載され、車載通信機を用いて管理サーバと通信する車載認証装置と接続するための接続部を有する電子キー管理システム補助装置の制御コンピュータに、
    前記接続部を介して接続された車載認証装置が前記管理サーバと通信可能でなかったことを検知させ、
    前記通信可能でなかったことを検知した場合、前記車両の電子キーを前記車載認証装置に登録させる登録モード、或いは前記車載認証装置に登録されている前記電子キーを無効化する無効化モードに遷移する許可を得るための実行キーの送信を、前記車載通信機とは異なる通信機を利用して前記管理サーバに要求させる、
    プログラム。

Images