JP2019523866A

JP2019523866A - 車両盗難防止システム

Info

Publication number: JP2019523866A
Application number: JP2018563045A
Authority: JP
Inventors: ウェグハウス、ラジャー; ジークマン、ダニエル
Original assignee: ヘラ・ゲーエムベーハー・ウント・コムパニー・カーゲーアーアー
Priority date: 2016-06-02
Filing date: 2016-06-02
Publication date: 2019-08-29
Also published as: DE112016006927T5; CN109155087B; US20190111891A1; CN109155087A; WO2017207050A1; US10576933B2

Abstract

ＵＩＤトランスポンダー（２０）と車両（１０）との間のデータ交換によりトランスポンダーを認証し、車両の３つの異なる第一位置に配置された少なくとも３つのアンテナを用いて車両に対するトランスポンダーの位置を三角測量し、第一認証条件においてトランスポンダーが権限のあるものと確認され、且つ、三角測量位置が第二認証条件（６０）を満たすときに、車両へのアクセスを許可する。さらに、三角測量位置に基づいて、車両の第二位置に配置された少なくとも一の第二アンテナ（１４）からトランスポンダーに対して、またはその逆に、所定の強度で送信される信号の受信強度についての評価値を決定し、これを実際の受信強度測定値と所定の精度範囲内で合致するか否かを決定することにより、第三認証条件を満たすか否かを決定し、第一および第二認証条件を満たすが第三認証条件を満たさないときにリレーアタックがあることを推認する。

Description

本発明は、自動車およびボートや航空機などの車両のハンズフリーアクセスおよび始動のシステムについてのセキュリティを高める方法に関する。

自動車の盗難防止は過去数十年にわたる問題である。当初は、純粋に機械的な自動車キーによって作動する純粋に機械的なスターターロックシステムであったが、１９９０年代には、いわゆる電子イモビライザーと組み合わされた。イモビライザーは、ユーザを電子的に識別する装置（いわゆるＵＩＤ）と、自動車、特に自動車のＥＣＵ（エンジン制御ユニット）に統合された通信手段とを有する。ＵＩＤと通信手段は、既存のトランスポンダー技術を用いてＩＤデータを交換し、ＵＩＤが自動車に適合した場合に限ってＥＣＵがユーザによるエンジン始動を許容する。

ＵＩＤとＥＣＵとの間の通信は近年ますます洗練されると共に安全性の高いものとなり、自動車キーの機械部分を単純に省略し、ユーザはポケットやバッグに入れて持ち運んだＵＩＤでドアを開け、エンジンを始動させることができるようになっている。もはや、キーを鍵穴に入れる必要はなく、自動車とＵＩＤとの間のワイヤレス通信が確立すると同時にエンジン始動が許容される。このようなシステムは一般にＰＥＰＳシステムと呼ばれる。ＰＥＰＳはパッシブエントリー／パッシブスタートを表している。一般に入手可能なＵＩＤの典型は、アクティブ式および／またはパッシブ式のＲＦＩＤトランスポンダーである。本明細書において我々はＵＩＤトランスポンダーという語句を用いる。ＵＩＤトランスポンダーはワイヤレス認証を可能にし、したがって、ＵＩＤトランスポンダーを取りに行ったり、あるいはＵＩＤトランスポンダーを何かの容器に入れたりする必要なしに、トランスポンダーをズボンのポケットやハンドバックなどに入れて携帯するユーザが自動車に入り込んでスタートさせることを可能にする。

しかしながら、この快適さにおける利点は、反面、盗難に対する保護を低下させる欠点を伴う。自動車のドアをアンロックしてエンジンをスタートさせるためには、ＵＩＤトランスポンダーと自動車との間の無線通信を可能にすれば十分である。自動車とＵＩＤトランスポンダーとの間に配置された単純なリレー（または一連のリレー）は、自動車とＵＩＤトランスポンダーとの間の通信を可能にし、盗難者が自動車の室内に入り込んでエンジンを始動させ、そのまま走り去ってしまうことを可能にする。この現象は「リレーアタック」として知られている。一見するとこれは中間者攻撃（man in the middle attack）に似ているが、中間者攻撃とは異なり、ＵＩＤトランスポンダーと自動車または対応する暗号化キーとの間の通信暗号化の種類が何であるかの知識を必要としない。リレーは単純に自動車からＵＩＤトランスポンダーに、またはその逆に、信号を送るにすぎない。したがって、自動車は、自身の無線信号に応答して受信した無線信号が正規のＵＩＤトランスポンダーから直接送信されてきたものであるか、あるいは権限を持たないリレーを経由したものであるかを識別することができない。一旦始動されたエンジンは、自動車がリレーの近接領域から離れてしまうと、安全性の理由から強制停止させることができず、盗難者が自動車を運転して、セキュリティシステムを交換または更新できる場所まで走り去ったり、単純に自動車を部品ごとに分解して売却することを阻止することができない。

リレーアタックを回避するための試みが多くの文献に公表されている。一つの試みは、米国特許公開第２０１４／００６７１６１Ａ１、米国特許第８９３００４５Ｂ２に記述されるように、自動車に対するＵＩＤトランスポンダーの相対位置を決定して、ドアをアンロックし、ＵＩＤトランスポンダーが自動車から所定の距離内に止まっている場合のみにドアのアンロックおよびエンジン始動を可能にするような制御を行うことである。距離は、ＵＩＤトランスポンダーと自動車との間の通信に用いられる無線信号の信号強度に基づいて三角法で測定することができる。しかしながら、信号強度は、自動車に近いＵＩＤトランスポンダー（および／またはＵＩＤトランスポンダーに近い自動車）をシミュレートするリレーによっても容易に変動し得る。さらに別の試みの一つが米国特許公開第２０１５／３０２６７３Ａ１に開示されており、加速度計によってＵＩＤトランスポンダーの加速度データを測定し、この加速度データを信号強度変化と比較することを提案している。加速度データが信号強度の変化にマッチしたときにのみ、自動車のアンロックおよび始動が許容される。

ドイツ特許公開第１０２００９０１４９７５Ａ１は、自動車から受信した信号に応答してＵＩＤトランスポンダーの超音波エミッターを作動させることを提案している。自動車は超音波信号を評価し、これにより自動車に近接した位置にあるＵＩＤトランスポンダーを特定する。自動車は、超音波信号にエンコードされる情報と通信して、超音波信号が権限のあるＵＩＤトランスポンダーに由来するものであるか単純にリレーに由来するものであるかを特定することができる。この手法は、単純なリレーではもはや自動車を盗難することができなかうなるので、盗難防止レベルを向上させる。欠点は、追加的に必要となる超音波エミッターおよびレシーバーに要するコストが嵩むことである。

本発明が解決しようとする課題は、高レベルの盗難防止を低コストで実現するＰＥＰＳシステムを提供することである。

この課題を解決する手段が独立請求項に記述されている。従属請求項は本発明の更なる改善・改良に関する。

この解決手段は、車両および関連システムに無線でアクセスする方法によって提供され、詳細は下記に記述される。「アクセス」または「アクセス提供」は、車両をアンロックしてその室内に入り込むことを可能にし、および／または、たとえば単純にスタートボタンを押すことによって燃焼エンジン（あれば）を始動させることによって車両をスタートさせ、および／または、たとえば電気モーター制御などの他の制御を動作させることを可能にすることを意味する。「無線」の語は、直接的な電気接触を必要としないあらゆる種類の通信を意味し、すなわちあらゆる種類の無新通信を意味する。無線通信は特定の周波数帯に限定されない。ＲＦＩＤトランスポンダーについての典型的な周波数は、１２５ｋＨｚ、１３４ｋＨｚ、２５０ｋＨｚ、３７５ｋＨｚ、５００ｋＨｚ、６２５ｋＨｚ、７５０ｋＨｚ、８７５ｋＨｚなどの長波から、１３．５６ＭＨｚの短波や、８６５〜８６９ＭＨｚ（欧州）および９５０ＭＨｚ（米国およびアジア）、更には２．４５ＧＨｚや５．８ＧＨｚなどのギガヘルツ帯域の周波数に至る。

ＵＩＤトランスポンダー、およびトランスポンダーが権限を持つトランスポンダーであることを特定するための方法は公知であり市販されている。ＵＩＤトランスポンダーは既述したようにＲＦＩＤトランスポンダーとも呼ばれる。これは、無線信号を受信するために一または複数のアンテナを備える。一般に、いわゆるアクティブ式のトランスポンダーとパッシブ式のトランスポンダーとに分類される。アクティブ式のＵＩＤトランスポンダーは、ＵＩＤトランスポンダーからの無線送信を可能にするためのエネルギー源（一般にバッテリ）を有する。対してパッシブ式のトランスポンダーは、車両の少なくとも一のアンテナによって供給される電磁場から必要なエネルギーを入手するので、バッテリを必ずしも必要としない。パッシブ式のトランスポンダーはまた、トランスポンダーのアンテナに供給される負荷を単純に変えることにより車両にデータ送信することができる。この変化は電磁場に影響を与えるので検出可能である。きわめて大雑把に言えば、ＵＩＤトランスポンダーは、一般的には通信を制御するように設計されたマイクロコントローラーであるコントローラを備えて、車両（より厳密に言えばコントローラ）との遠隔通信を可能にするための手段を有する。

本発明の方法は、ＵＩＤトランスポンダーと車両との間のデータ交換を含み、これによりＵＩＤトランスポンダーの権限を立証する。ＵＩＤトランスポンダーが権限あるものと特定されたときに、少なくとも３つの認証状態のうちの最初の一つを満足する。

この方法は、更に、車両の第一の位置に対して少なくとも３つの異なる位置に配置された少なくとも３つのアンテナを用いて、車両に対するＵＩＤトランスポンダーの相対位置を三角法で測定する工程を含む。この三角測量は、ＵＩＤトランスポンダー間で送受信される信号の通常の測定法に基づいて、または単純な信号強度測定に基づいて行うことができる。現時点で入手可能なトランスポンダーの多くは、既にデフォルトで、ＲＳＳＩ（受信信号強度インジケータ）の測定値を表示する機能を備えている。たとえば、ＵＩＤトランスポンダーは、それぞれ第一のアンテナの一つから送信された３つの信号の信号強度を決定することができる。理論的に言えばＵＩＤトランスポンダーの空間内位置を特定するためには４つの第一アンテナが必要であるが、３つのアンテナで２つの可能性のある位置が特定され、そのうちの一つはプロ―ジビリティチェック（尤度チェック）で除外することができるので、実際上は３つの第一アンテナで十分である。ＵＩＤトランスポンダーは、これらの信号強度を車両に返す通信を行い、各信号についてＵＩＤトランスポンダーが存在するであろう空間の表面を決定することができる。この決定は、対応する放出信号の強度（および設計によるアンテナのジオメトリーおよび車両のジオメトリー）に基づいて行うことができる。これらの空間表面はＩＳＯ表面（等値面）と呼ばれ、これらの表面上には（特定の第一アンテナから放出される）一つの所定の放出信号について該表面上のあらゆる位置において同じ受信信号強度が得られる。これらのＩＳＯ表面は交差しているので、ＩＳＯ表面同士の交点近くにＵＩＤトランスポンダーが位置するものと決定することができる。あるいは、ＵＩＤトランスポンダーはその位置を同様にして決定することができる。この場合、車両の座標系システムにおける第一アンテナの位置についての情報やアンテナの特性および放出信号強度などの情報を格納し、および／またはＵＩＤトランスポンダーに送信することが好ましい。代替的または追加的に、少なくとも３つの第一アンテナでＵＩＤトランスポンダーからの無線信号の信号強度を決定し、ＵＩＤトランスポンダーの位置を三角測量しても良い。

三角測量によって獲得した位置を用いて、ＵＩＤトランスポンダーが所定範囲内に位置するか否かを判定する。これは第二認証条件と考えることができ、ＵＩＤトランスポンダーが所定範囲内に位置するときに第二認証条件が満たされることになる。所定の位置範囲は、たとえば車両のドアハンドルの直前（たとえば半径数メートル）の扇形領域や、車両に囲まれたスペースなどとすることができる。所定位置に基づいて、ＵＩＤトランスポンダーを所持する人が車両近くや車室内にいることを推測できる。このようにして、第二認証条件により、（ＵＩＤトランスポンダーを通常の権限をもって使用されている場合には）ＵＩＤトランスポンダーを携帯している権限者が車両を間近に捉えていることを推測できる。

このようにして第一および第二認証条件が共に満たされている場合に、アクセスコントロールユニットは、通常の場合、車両に対するアクセスを許容する。しかしながら、リレーアタックを確実に排除するために、本発明方法は、好ましくは、三角測量により決定された位置に基づいて、少なくとも一の第二アンテナからＵＩＤトランスポンダーに送信され、または第二アンテナが車両の第二位置に設置されている場合はその反対に送信される所定強度の信号の受信強度の第一評価値を決定する。信号強度の第一評価値は、所定の一連の状況における受信信号強度についての予測値と考えることができる。この予測値は、ひな形やルックアップテーブルに格納された測定値（またはこれらの組み合わせ）に基づいて決定することができる。

さらに、所定の強度で一のＵＩＤトランスポンダーまたは少なくとも一の第二アンテナから送信され、他方で受信された信号の実際の受信信号強度を測定する。言い換えれば、予測信号強度を測定し、より形式的に言えば、予測値が得られるとの想定の下で測定が行なわれる。これにより予測値と実際の測定信号強度とが比較される。

次に、受信信号強度の評価値が測定受信信号強度の所定精度範囲内であるか否かを決定する。範囲内であるときは、第三認証条件が満たされている。受信信号強度の評価値が測定受信信号強度の所定精度範囲から外れるときは、第三認証条件を満たしていない。第一および第二認証条件を満たすが第三認証条件を満たさない場合は、リレーアタックの可能性があると考えられる。

たとえば、ＵＩＤトランスポンダーと少なくとも一の第一第二アンテナとの間の距離についての第一評価値を、ルックアップテーブルおよび／または（理論上または経験則上の）モデルに基づいて決定することができる。さらに、ＵＩＤトランスポンダーと少なくとも一の第一第二アンテナとの間の距離についての少なくとも一の第二評価値を決定することができる。この少なくとも一の第二評価値は、好ましくは、ＵＩＤトランスポンダーと少なくとも一の第二アンテナとの間で送受信される信号の信号強度測定および／または慣習的測定に基づく。これにより、リレーアタックの場合のように、第一と第二の距離評価値が等値にならないことを第三認証条件で評価することができる。

第二認証条件で既にリレーアタックに対するある程度の保護が提供されているが、リレーアタックの場合、盗難者がリレーによって少なくとも３つの第一アンテナの全ての信号をシミュレートして、一連の許容信号強度を既に見つけ出している可能性がある。これは、一つの信号の信号強度を（他の２つの信号強度についての典型的な初期値に基づいて）繰り返し変えていくことによって行うことができ、せいぜい数秒間で可能である。第三認証条件は、追加的なハードウェアに加えて第二アンテナ（群）とＵＩＤトランスポンダーの位置および第二評価値に基づく送信信号強度を知っていることが要求されるので、第三認証条件をリレーを用いてシミュレートすることは非常に困難である。オーソライズされた領域内のどこかに３つが位置することを単純に特定するだけでは不十分であり、さらに第四の値が既定の三角測量地点と厳密にマッチする必要がある。このことは、ＵＩＤトランスポンダーが第四のアンテナからの信号を受信し、第二の評価値がＵＩＤトランスポンダーによる第二アンテナからの信号の受信強度に基づくものであるとしても、ＵＩＤトランスポンダーの実際の位置を知らない限り、第二アンテナの信号をシミュレートできないことを意味している。何故ならば、シミュレートされた第二アンテナの信号強度を単純に比例計算しても、第一および第二の距離評価値について要求されるマッチングを与えることができないからである。第二アンテナの信号強度を正確にシミュレートするためには、ＵＩＤトランスポンダーの実際の位置についての正確な情報が要求される。この情報はリレーには与えられない。したがって、第三認証条件を満たさないときは、リレーアタックが検出されたと考えることができる。このようにして、（他のテストによってリレーアタックが排除されない限り）アクセスは許可されない。

リレーアタックを認識するための従来技術による提案に対して本発明が大きな利点とするところは、超音波モジュールなどの追加的なハードウェアを必要とせず、加速度計のようなものも必要としないことである。近代の車両は既に多数のアンテナを備えており、ＵＩＤトランスポンダーの位置を厳密に決定することができる。本発明は、単に既存のハードウェアをより効率的に使用するだけで実行可能である。

たとえば車両に対するＵＩＤトランスポンダーの空間内の軌跡を決定することによってセキュリティをより一層向上させることができる。これは、車両に対するＵＩＤトランスポンダーの位置を繰り返し三角測量することによって実行可能である。少なくとも第一および第二認証条件に加えてさらに別の認証条件（軌跡条件）を満たすときに、アクセスが許可される。軌跡条件は、決定された軌跡が、一連の所定ユースケースにおけるＵＩＤトランスポンダーの軌跡の所定範囲内にあるか否かをテストする。このようにして、信号強度を任意に変えて異なるＵＩＤトランスポンダーの位置をシミュレートすることによりリレーが許可された位置に対応する信号設定を見出したときに、起動条件テストが終了する。

追加的または代替的に、車両に対するＵＩＤトランスポンダーの位置を繰り返し三角測量することにより、および／または、ＵＩＤトランスポンダーと少なくとも一の第二アンテナとの間で送受信される信号の強度測定に基づいて、車両に対する時間関数としてＵＩＤトランスポンダー速度を決定することができる。少なくとも第一および第二認証条件に加えて、速度がさらに別の認証条件（速度条件）を満たす場合にのみ、アクセスが許可される。リレーが第一アンテナについて許容される一連の信号強度を実質的に任意に探索すれば、速度条件テストによってもリレーアタックを検出することが可能である。このときに、速度条件テストが終了する。

さらに、従来技術と同様に加速度計（ジャイロスコープ、ＭＥＭＳ加速度センサーなど）により、および／またはＵＩＤトランスポンダーの位置および／または速度を上述したようにして繰り返し決定することに基づいて、空間内でのＵＩＤ装置の加速度を決定することができる。この加速度は、たとえば加速度が軌跡および／または速度および／または所定の境界および／または許可されたユースケースに一致するか否かをテストすることにより、さらに別の認証条件（加速度条件）を設定することができる。

さらに好適にには、この方法は、ＵＩＤトランスポンダーにより第一／第二アンテナの少なくとも２つから送信された信号の磁場ベクトルの向きを測定し、磁場ベクトル方向がさらに別の認証条件（方位条件）をも満たす場合にのみアクセスを許可するようにしても良い。たとえば、ＵＩＤトランスポンダーの少なくとも一のパラメータに関連付けて基準方位値をルックアップテーブルに格納しておき、測定された方位が格納された方位と所定の精度で一致したときにのみ、方位条件を満たすものとする。パラメータは、たとえば、ＵＩＤトランスポンダーの少なくとも一の位置とすることができる。磁場ベクトルの方位は、空間内で３つの独立した直線の向きを持つ３つのアンテナによって測定することができる。かくして、リレーアタックが成功するためには、リレーが信号強度を適切にシミュレートしなければならないだけでなく、磁場ベクトルをもシミュレートしなければならず、これはさらに困難であり費用が嵩む。したがって、リレーアタックは（全くもって）非経済的なものとなる。

ＵＩＤトランスポンダーにより第一／第二アンテナの少なくとも２つから送信される信号の磁場ベクトルの方位を測定することは、磁場ベクトルの方位に基づいて車両に対するＵＩＤトランスポンダーの方位を決定することを可能にする。この方位はＵＩＤトランスポンダーの承認されたユースケースに基づく基準として用い、測定された方位および／または方位の変化を所定の方位および／または所定の方位変化と比較することができる。測定された方位および／または方位変化が対応する所定値と所定の範囲内で合致したときに、その方位基準が満たされ、少なくとも第一認証基準を満たしていることを条件として、アクセスが許可される。

リレーアタックが検知されたとき、すなわち、少なくとも第一条件を満たすが第三認証条件を満たさないときであっても、ＵＩＤトランスポンダーの存在が機械的接触（機械的キーロックテスト）を通じて車両によって認証され、またはＵＩＤトランスポンダーを特定する電子接続が確立しているときは、ＵＩＤトランスポンダーが明らかに車両の近くに存在する場合と同様に、アクセスを許可する。言い換えれば、この方法は、第三認証条件を満たさない場合であっても、車両との機械的および／または電気的接触を介してＵＩＤ装置の存在を認証したことに基づいて、および／または、ＵＩＤトランスポンダーに取り付けたセンサーの手動による作動に応答してＵＩＤトランスポンダーによって与えられる信号に基づいて、第一および第二認証条件が満たされている場合には、車両に対するアクセスを許可する。

リレーアタックが成功する可能性をさらに低減するために、第一および第二認証条件が満たされているが第三認証条件または上述の他の条件の一つが満たされていないときは、所定時間（第一、第二および第三認証条件のテストに要するサイクルより長い時間）の間、車両へのアクセスを拒否するようにすることができる。この所定時間すなわち遅延は、引き続いて検知されるリレーアタックの数に応じて長時間にすることが好ましく、これにより時間単位ごとのアテンプト数を限定することができる。たとえば、最初のアタック後の遅延時間が１秒であり、アタックが不成功に終わるごとに遅延時間が倍になるように設定した場合、リレーは、第二および／または第三認証条件にマッチする距離をシミュレートするために必要な一連の信号強度を見出そうとする９回目と１０回目の試みの間に約１７分間待たなければならない。

この方法を実行するためのシステムは、たとえば車両のＥＣＵに一体化されたメインコントローラ（アクセスコントロールユニットとも呼ばれる）を有する。このシステムは、更に、メインコントローラに接続された一連のアンテナを有する。上記においては常に車両に一体化されたものとして記述しているが、このシステムは当然のことながら別々に販売されるものであっても良い。ここにおいて「車両」の語は、ＵＩＤトランスポンダーの三角測量を可能にするように設計された第一アンテナ群（第一アンテナ）と、第二アンテナ群（少なくとも一のアンテナ、第二アンテナ）とにグループ分けされる一連のアンテナに接続される車両のアクセスコントロールユニットに置き換えることができる。一連のアンテナは少なくとも一の第二アンテナを有する。メインコントローラは第一および第二アンテナに接続され、第一および第二アンテナが受信した信号を処理し、および／または、第一および第二アンテナを介して信号を送出することによりデータ送信するように設計されている。

このシステムは、更に、アクセスコントロールユニットと無線通信できるように設計された少なくとも一のＵＩＤトランスポンダーを有する。ＵＩＤトランスポンダーは、第一および第二アンテナに無線信号を送信し、および／またはこれらから無線信号を受信できるように設計されている。ＵＩＤトランスポンダーは、少なくとも一のトランスポンダーアンテナと、アンテナを介してアクセスコントロールユニットすなわちメインコントローラとの間でデータ交換できるように設計されたトランスポンダーコントローラとを有する。このシステムは、トランスポンダー認証をテストする第一認証プロトコルに基づいて、上記に詳述した本発明方法を実行するように設計されている。ＵＩＤトランスポンダーが認証されたものであるとして特定されたとき、ＵＩＤトランスポンダーと第一アンテナとの間の送受信に基づく三角測量によってトランスポンダーの位置が測定される。実際にはメインコントローラが各第一アンテナを制御して所定の強度で（初期）信号を発信する。ＵＩＤトランスポンダーはこの信号を検出し、各第一アンテナについて受信信号強度を測定する。ＩＳＯ表面、すなわち各信号強度が各初期信号に応答し測定されるものと予測される表面は、各受信信号強度に関連付けられる。

ＩＳＯ表面は、ＵＩＤトランスポンダーの位置に関連して該位置を定義する一点で（最適には）交差する。この位置決定は、ＵＩＤトランスポンダーおよび／またはメインコントローラによって実行することができる。メインコントローラがＵＩＤトランスポンダーの位置を決定するように設計される場合、ＵＩＤトランスポンダーは、トランスポンダーアンテナを介して情報を伝送することにより受信信号強度を表す値をメインコントローラに送信するように設計される。メインコントローラは少なくとも一の第一アンテナまたは第二アンテナから信号強度情報を受信するように設計される。さらに、メインコントローラは少なくとも一の第二アンテナを介して第二の初期信号を送信するように設計され、ＵＩＤトランスポンダーは第二信号の受信信号強度すなわち第二信号強度を測定するように設計される。ここで、少なくとも一のコントローラが、第二信号強度が既に決定された位置を有するＩＳＯ表面に対応することを証明するように設計される。ＩＳＯ表面が球面である（実際にはそうではないが）との仮定の下で、これは、決定されたＵＩＤトランスポンダーの位置と演繹的に知られる第二アンテナの位置とに基づいて、ＵＩＤトランスポンダーと第二アンテナとの間の距離についての第一評価を決定し、受信した第二信号強度に基づいて当該距離についての第二評価を決定することを意味する。これら２つの評価値が所定の精度範囲内で等値であれば、第三認証条件を満たしている。

下記において本発明を例示として記述するが、本発明の一杯概念を限定するものではなく、あくまでも一実施例として図面を参照して記述するものである。
車両に対するアクセスを許可または拒否するための方法のフロー図である。

図１は車両へのアクセスを与えるためのＵＩＤトランスポンダー１０を示す。図示のＵＩＤトランスポンダー１０は、車両１０に対してヒーター始動、トランク開放、ドアアンロックなどの命令を能動的に送信するためのボタン１，２，３を有する。車両１０は、フロー図に示されるようにして車両へのアクセスを許可または拒否するためのコントローラすなわちアクセスコントロールユニット１５を有する。初期設定ではアクセスが拒否されている（ボックス４０）が、ＵＩＤトランスポンダー２０が車両のアンテナ１１〜１４（アンテナの数は必要に応じて変更可能）の範囲内にあると認識されると、直ちにある種のハンドシェイク機構によって通信プロトコルがスタートする（ボックス４５）。次いで、ボックス５０に進み、第一認証条件を実行する。このステップ５０において、ＵＩＤトランスポンダー２０と車両との間でデータ交換が行われ、ＵＩＤトランスポンダー２０が車両へのアクセスを許可する権限を持っていると認められるか、あるいは単にＵＩＤトランスポンダー２０が車両に合致するだけであるかを判定する。これは通常の「キーロック」認証である。第一認証条件を満たさないとき（ボックス５０：Ｎｏ）は、アクセスが拒否された状態（ボックス４０）が維持され、車両１０は他のトランスポンダーがハンドシェイク機構をスタートさせるのを待つ。

第一認証条件を満たすとき（ボックス５０：Ｙｅｓ）、ボックス５５に進み、車両１０に対するＵＩＤトランスポンダー２０の位置を決定する。この位置決定は、たとえば、ＵＩＤトランスポンダーと第一アンテナ群、たとえば第一アンテナ１１，１２，１３との間で送受される信号の強度測定に基いて三角測量することによって行うことができる。この位置によって第二認証条件の判定、すなわちＵＩＤトランスポンダーの位置が有効な位置であるか否かの判定を行う。有効な位置とは、一般に、車両に対するアクセスを許可することが端的に意味を持つような位置であり、たとえば、車両に近接する位置または車室内である。第二認証条件を満たさないとき（ボックス６０：Ｎｏ）は、アクセスが許可されず、ボックス４０に戻り、アクセスが拒否された状態（ボックス４０）が維持され、車両はトランスポンダーがアンテナ１１，１２，１３，１４の領域に入るのを待つ。第二認証条件を満たすとき（ボックス：Ｙｅｓ）は、ステップ６５および７０に進む。ステップ６５で、もう一つのアンテナ１４の信号の受信強度についての第一評価値を決定する。これは、該アンテナ１４（いわゆる第二アンテナ１４）から送信され、ＵＩＤトランスポンダー２０で受信される信号、またはその反対に送受信される信号について理論的に予測される信号強度を決定することを意味する。この決定において、ＵＩＤトランスポンダー２０がステップ５５で測定された場所に位置することを推論し、第二アンテナ１４の位置を設計によって演繹的に知ることができる。ステップ７０で、該アンテナ（いわゆる第二アンテナ１４）から送信され、ＵＩＤトランスポンダー２０によって受信される信号またはその反対に送受信される信号の実際の信号強度を測定する。自明なように、ステップ６５とステップ７０は順序を逆にして実行しても良いが、これらの両方が、ステップ８０での第三認証条件判定、すなわち、予測信号強度と測定信号強度とが所定の精度範囲内において同等であるか否かの判定のために必須である。その答えがＮＯであるとき（ボックス８０：Ｎｏ）、リレーアタックの可能性があると考えられ、ステップ９０に進む。ステップ９０において、少なくとも一の追加認証条件をテストしてリレーアタックを排除する。この追加認証条件を満たさないとき（ボックス９０：Ｎｏ）はボックス４０に戻る。ステップ９０は任意である。ステップ９０を実行しない場合は、第三認証条件を満たさないとき（ボックス８０：Ｎｏ）に直ちにボックス４０に戻る。実際のところ、これは、追加認証条件を設定しないことと同じであるから、追加認証条件を満たさないとき（ボックス９０:Ｎｏ）と同様に扱われる。

第三認証条件を満たすとき（ボックス８０：Ｙｅｓ）、リレーアタックの可能性はほぼないものと考えられるので、コントローラ１５は車両に対するアクセスを許可する。

任意に設定されるボックス９０に戻って、追加認証条件は、たとえば、ＵＩＤトランスポンダーの位置を繰り返し三角測量することに基づいてＵＩＤトランスポンダーの軌跡を決定し、該軌跡が既述したような所定の軌跡条件と合致するときにアクセスを許可するものであって良い。他の採用可能な追加認証条件としては、たとえば、既述したような速度条件、加速度条件および／または方位条件などを挙げることができる。

１スイッチボタン
２スイッチボタン
３スイッチボタン
１０車両
１１アンテナ（第一アンテナ）
１２アンテナ（第一アンテナ）
１３アンテナ（第一アンテナ）
１４アンテナ（第二アンテナ）
１５コントローラ
２０ＵＩＤトランスポンダー
４０初期状態：アクセス拒否、通信の開始を待つ
４５通信開始（ハンドシェイク）
５０第一認証条件テスト：ＵＩＤトランスポンダーの認証が証明されたか？
５１新たなトランスポンダーが車両のアクセスコントロールユニットとの通信を開始するのを待つ
５５ＵＩＤトランスポンダー位置の三角測量
６０第二認証条件テスト：三角測量されたＵＩＤトランスポンダー位置は有効な位置か？
６５三角測量位置に基づいて（予測信号強度値を決定する）信号の受信信号強度の第一評価値を決定する
７０予測信号強度値に対応する信号の受信信号強度を測定する
８０第三認証条件テスト：受信信号強度の評価値が受信信号強度の測定値と所定の精度範囲内で同一であるか？
８５車両アクセス許可
９０リレーアタックを排除することを可能にする他の認証条件を満たすか？

Claims

車両（１０）に無線アクセスする方法であって、
ＵＩＤトランスポンダー（２０）と車両（１０）との間でデータ交換することにより、ＵＩＤトランスポンダー（２０）の一般認証を第一認証条件（５０）として認証し、
車両（１０）の３つの異なる第一位置に配置された少なくとも３つのアンテナ（１１，１２，１３）を用いて、車両（１０）に対するＵＩＤトランスポンダー（２０）の位置を三角測量により決定し、
第一認証条件（５０）においてＵＩＤトランスポンダー（２０）が権限のあるＵＩＤトランスポンダー（２０）であると確認され、且つ、前記三角測量による位置が第二認証条件（６０）を満たすときに、車両（１０）へのアクセスを許可する方法において、
前記三角測量による位置に基づいて、車両（１０）の第二位置に配置された少なくとも一の第二アンテナ（１４）からＵＩＤトランスポンダー（２０）に対して、またはその逆に、所定の強度で送信される信号の受信強度についての第一評価値を決定し、
一のＵＩＤトランスポンダー（２０）または前記少なくとも一の第二アンテナから所定の強度で送信された信号の受信強度を測定し、
受信信号強度についての前記評価値が受信信号強度の測定値と所定の精度範囲内で合致するか否かを決定することにより、第三認証条件（８０）を満たすか否かを決定し、
第一および第二認証条件を満たすが第三認証条件を満たさないときにリレーアタックの試みがあると判定することを特徴とする方法。
さらに、車両（１０）に対するＵＩＤトランスポンダー（２０）の位置を繰り返し三角測量することによりＵＩＤトランスポンダー（２０）の軌跡を決定し、この軌跡がさらに別の認証条件を満たすときにのみアクセスを許可することを特徴とする、請求項１または２の方法。
さらに、車両（１０）に対するＵＩＤトランスポンダー（２０）の位置を繰り返し三角測量することにより、および／または、ＵＩＤトランスポンダー（２０）と前記少なくとも一の第二アンテナ（１４）との間で送受信される信号の強度を測定することにより、車両（１０）に対するＵＩＤトランスポンダー（２０）の時間関数として速度を決定し、この速度がさらに別の認証条件を満たすときにのみアクセスを許可することを特徴とする、請求項１または２の方法。
さらに、ＵＩＤ装置の空間内の加速度を測定し、この加速度が前記軌跡および／または前記速度に対応するか否かをテストし、これによりさらに別の認証条件を定義することを特徴とする、請求項２または３の方法。
さらに、ＵＩＤトランスポンダー（２０）により第一および第二アンテナ（１１，１２，１３，１４）のうちの少なくとも２つのアンテナから送信された信号の磁場ベクトルの方位を検出し、この磁場ベクトルの方位がさらに別の認証条件を満たすときにのみアクセスを許可することを特徴とする、請求項１ないし４のいずれか一の方法。
さらに、ＵＩＤトランスポンダー（２０）により第一および第二アンテナ（１１，１２，１３，１４）のうちの少なくとも２つのアンテナから発信された信号の磁場ベクトルの方位を検出し、この磁場ベクトルの方位に基づいて車両（１０）に対するＵＩＤトランスポンダー（２０）の方位を決定し、この決定された方位がさらに別の認証条件（９０）を満たすときにのみアクセスを許可することを特徴とする、請求項１ないし５のいずれか一の方法。
さらに、第一および第二認証条件（５０，６０）を満たすが第三認証条件（８０）を満たさない場合であっても、少なくとも一のさらに別の認証条件（９０）を満たすときには車両（１０）へのアクセスを許可することを特徴とする、請求項１ないし６のいずれか一の方法。
さらに、第三認証条件（８０）を満たさないが、車両（１０）との機械的および／または電気的接触を介してＵＩＤトランスポンダー（２０）の存在を認証し、および／または、ＵＩＤトランスポンダー（２０）に取り付けたセンサーの手動による作動に応答してＵＩＤトランスポンダー（２０）によって与えられる信号に基づいて、第一および第二認証条件（５０，６０）を満たすことが確認されたときには、車両（１０）へのアクセスを許可することを特徴とする、請求項１ないし７のいずれか一の方法。
さらに、第一および第二認証条件（５０，６０）は満たしているが第三条件（８０）を満たさないという状況に基づいて、車両（１０）に対するアクセスを所定時間の間拒否することを特徴とする、請求項１ないし８のいずれか一の方法。
第一および第二認証条件（５０，６０）のみを満たすことにより車両（１０）にアクセスしようとする試みの回数に応じて前記所定時間を増大させることを特徴とする、請求項９の方法。
一連のアンテナ（１１，１２，１３，１４）から信号を受信し、および／またはこれらのアンテナ（１１，１２，１３，１４）の少なくとも一を介して信号を発信するように設計されたメインコントローラと、少なくとも一のＵＩＤコントローラを備えるＵＩＤトランスポンダー（２０）とを有してなり、請求項１ないし１０のいずれか一の方法にしたがって車両（１０）へのアクセスを許可または拒否するように設計されたことを特徴とするシステム。