JP2021189849A - 情報処理装置、情報処理方法、およびプログラム - Google Patents

Abstract

【課題】電子鍵を利用する車両システムにおいて、車両譲渡時のセキュリティを向上させる。【解決手段】携帯装置から取得した電子鍵に基づいて前記携帯装置を認証する車両と通信可能な情報処理装置。二台以上の前記携帯装置に対して発行された前記電子鍵の使用状況を取得し、前記使用状況が所定の条件を満たす場合に、前記二台以上の携帯装置の少なくともいずれかに対して行われる前記認証を無効化する。【選択図】図１

Description

本開示は、電子鍵を利用する情報処理装置に関する。

携帯端末によって施解錠を行うことが可能な自動車が増えている。
従来、自動車を譲渡する際は、物理キーを受け渡せば足りたが、電子鍵を利用する自動車の所有者を変更する場合、当該電子鍵を適切に管理する必要が生じる。これに関連して、特許文献１には、車両の所有者を変更する場合に、当該車両が利用する暗号鍵を変更するシステムが開示されている。

特開２０１８−１９５９３２号公報

しかし、車両の譲渡時において鍵の変更を行わず、前の所有者が電子鍵を消去しなかった場合、前の所有者が当該車両にアクセスできてしまうという問題が生じる。

本開示は上記の課題を考慮してなされたものであり、電子鍵を利用する車両システムにおいて、車両譲渡時のセキュリティを向上させることを目的とする。

本開示の第一の態様に係る情報処理装置は、
携帯装置から取得した電子鍵に基づいて前記携帯装置を認証する車両と通信可能な情報処理装置であって、二台以上の前記携帯装置に対して発行された前記電子鍵の使用状況を取得することと、前記使用状況が所定の条件を満たす場合に、前記二台以上の携帯装置の少なくともいずれかに対して行われる前記認証を無効化することと、を実行する制御部を有することを特徴とする。

また、本開示の第二の態様に係る情報処理装置は、
携帯装置から取得した電子鍵に基づいて前記携帯装置を認証する車両と通信可能な情報処理装置であって、前記車両の位置情報に基づいて、前記車両の運用拠点を判定することと、前記車両の運用拠点が第一のエリアから第二のエリアに移動したことを判定した場合に、前記第一のエリアにおいて利用された実績のある第一の携帯装置に対して行われる前記認証を無効化することと、を実行する制御部を有することを特徴とする。

また、本開示の第三の態様に係る情報処理方法は、
携帯装置から取得した電子鍵に基づいて前記携帯装置を認証する車両と通信可能な情報処理装置が行う情報処理方法であって、二台以上の前記携帯装置に対して発行された前記電子鍵の使用状況を取得するステップと、前記車両の位置情報に基づいて、前記車両の運用拠点を判定するステップと、前記使用状況が所定の条件を満たす場合、または、前記車両の運用拠点が第一のエリアから第二のエリアに移動したことを判定した場合に、前記二台以上の携帯装置の少なくともいずれかに対して行われる前記認証を無効化するステップと、を含むことを特徴とする。

また、他の態様として、上記の情報処理方法をコンピュータに実行させるためのプログ
ラム、または、該プログラムを非一時的に記憶したコンピュータ可読記憶媒体が挙げられる。

本発明によれば、電子鍵を利用する車両システムにおいて、車両譲渡時のセキュリティを向上させることができる。

第一の実施形態に係る認証システムの概要図。 システムに含まれる構成要素の一例を概略的に示したブロック図。 サーバ装置が生成する実績データの例を示した図。 各構成要素間で送受信されるデータのフロー図。 第一の実施形態においてサーバ装置が行う無効化処理のフローチャート。 無効化処理を行う条件を説明する図。 第三の実施形態においてサーバ装置が行う無効化処理のフローチャート。 車両の運用拠点を説明する図。

本開示の一態様に係る情報処理装置は、電子鍵を用いて施解錠が可能な車両と通信可能な装置である。

具体的には、二台以上の前記携帯装置に対して発行された前記電子鍵の使用状況を取得することと、前記使用状況が所定の条件を満たす場合に、前記二台以上の携帯装置の少なくともいずれかに対して行われる前記認証を無効化することと、を実行する制御部を有することを特徴とする。

携帯装置は、電子鍵を用いて車両から認証を受ける装置である。携帯装置は、スマートフォンなどの小型のコンピュータ（携帯端末）であってもよいし、ＩＣカード等であってもよい。車両は、電子鍵によって携帯装置を認証し、認証の結果に基づいて、ドアの施解錠やエンジンの始動制御などを行う。
制御部は、二台以上の携帯装置に対して発行された電子鍵の使用状況を取得する。電子鍵の使用状況は、携帯装置から取得してもよいし、車両から取得してもよい。また、複数の携帯装置に発行される電子鍵は、共通であってもよいし、それぞれ異なるものであってもよい。また、制御部は、電子鍵の使用状況が所定の条件を満たす場合に、複数の携帯装置の少なくともいずれかに対して行われる認証を無効化する。

例えば、電子鍵を車両に送信する携帯装置が、ある時点を境に変わった場合、車両のオーナーが変わったことが推定できる。また、複数の電子鍵が発行されている場合であって、車両の解錠に使用する電子鍵がある時点を境に変わった場合、同様に車両のオーナーが変わったことが推定できる。情報処理装置は、このような場合に、旧オーナーに関連付いた携帯装置に対して認証を行わせなくする措置を講ずる。
かかる構成によると、車両が譲渡された場合において、旧オーナーによる当該車両へのアクセスを防ぐことができる。

なお、情報処理装置は、複数の車両を統括する装置であってもよいし、それぞれの車両の構成要素であってもよい。情報処理装置が車両の構成要素である場合、認証を行う機能を当該情報処理装置が有していてもよい。

また、前記二台以上の携帯装置は、第一の携帯装置を含み、前記制御部は、過去の第一の期間において、前記第一の携帯装置に対して発行された第一の電子鍵の使用実績が無い
場合に、前記第一の電子鍵を無効化することを特徴としてもよい。
また、前記二台以上の携帯装置は、第二の携帯装置をさらに含み、前記制御部は、前記第一の期間において、前記第一の電子鍵の使用実績が無く、前記第二の携帯装置に対して発行された第二の電子鍵の使用実績がある場合に、前記第一の電子鍵を無効化することを特徴としてもよい。
また、前記制御部は、前記第一の期間において、前記第一の電子鍵の使用実績が無く、前記第二の電子鍵の使用実績があり、かつ、前記第一の期間よりも前の第二の期間において、前記第一の電子鍵の使用実績があり、前記第二の電子鍵の使用実績が無い場合に、前記第一の電子鍵を無効化することを特徴としてもよい。

すなわち、（１）過去の第一の期間において、第一の電子鍵が使用されていない、（２）第一の期間において、第一の電子鍵が使用されておらず、代わりに第二の電子鍵が使用されている、（３）使用される電子鍵が第一の電子鍵から第二の電子鍵に変わった、のいずれかに該当する場合、第一の電子鍵を無効化してもよい。
かかる場合、第一の電子鍵を利用するユーザから、第二の電子鍵を利用するユーザへ車両が譲渡されたことが推定できるためである。

また、前記制御部は、前記車両から、前記第一の電子鍵に対応する認証情報を削除することで、前記第一の電子鍵を無効化することを特徴としてもよい。
かかる構成によると、第一の電子鍵のみを無効化することができる。

また、前記二台以上の携帯装置は、第一の携帯装置を含み、前記制御部は、過去の第一の期間において、前記第一の携帯装置による前記電子鍵の使用実績が無い場合に、前記第一の携帯装置に対して行われる前記認証を無効化することを特徴としてもよい。
また、前記二台以上の携帯装置は、第二の携帯装置をさらに含み、前記制御部は、前記第一の期間において、前記第一の携帯装置による前記電子鍵の使用実績が無く、前記第二の携帯装置による前記電子鍵の使用実績がある場合に、前記第一の携帯装置に対して行われる前記認証を無効化することを特徴としてもよい。
また、前記制御部は、前記第一の期間において、前記第一の携帯装置による前記電子鍵の使用実績が無く、前記第二の携帯装置による前記電子鍵の使用実績があり、かつ、前記第一の期間よりも前の第二の期間において、前記第一の携帯装置による前記電子鍵の使用実績があり、前記第二の携帯装置による前記電子鍵の使用実績が無い場合に、前記第一の携帯装置に対して行われる前記認証を無効化することを特徴としてもよい。

複数の携帯装置に対して、それぞれ異なる電子鍵が発行されない場合、前述したような電子鍵の使用実績ではなく、各携帯装置の使用実績によって、認証の無効化を実施してもよい。すなわち、（１）過去の第一の期間において、第一の携帯装置が使用されていない、（２）第一の期間において、第一の携帯装置が使用されておらず、代わりに第二の携帯装置が使用されている、（３）使用される携帯装置が第一の携帯装置から第二の携帯装置に変わった、のいずれかに該当する場合、第一の携帯装置に対して行われる認証を無効化してもよい。

また、前記制御部は、前記二台以上の携帯装置に対して前記電子鍵を発行する処理を行い、かつ、前記第一の携帯装置に対して行われる前記認証を無効化すると決定した場合に、前記第一の携帯装置に対する前記電子鍵の発行を停止することを特徴としてもよい。
電子鍵が永続的なものではない場合（例えば、ワンタイムキー等である場合）、認証を無効化する方法の一つに、対象の携帯装置に対する電子鍵の発行を停止するという方法がある。

また、前記制御部は、前記第一の携帯装置に対して行われる前記認証を無効化すると決
定した場合に、前記車両に、前記第一の携帯装置からのアクセスを拒否させることを特徴としてもよい。
例えば、端末識別番号、電話番号、ハードウェア識別子、物理ネットワークアドレスといった、携帯装置に固有な情報に基づいて、当該携帯装置からの接続を遮断することで、認証を無効化することができる。

また、本開示の別態様に係る情報処理装置は、
前記車両の位置情報に基づいて、前記車両の運用拠点を判定することと、前記車両の運用拠点が第一のエリアから第二のエリアに移動したことを判定した場合に、前記第一のエリアにおいて利用された実績のある第一の携帯装置に対して行われる前記認証を無効化することと、を実行する制御部を有することを特徴とする。

車両の位置情報に基づいて、当該車両の運用拠点が変わったことを推定することができる。また、当該車両の運用拠点が変わった場合、当該車両が譲渡されたことが推定できる。さらに、以前のエリアにおいて利用された実績のある第一の携帯装置は、旧オーナーに関連付いた装置であることが推定できる。よって、第一の携帯装置に対する認証を無効化することで、セキュリティを確保することができる。

また、前記制御部は、前記車両のユーザから同意を得たことを条件として、前記認証の無効化を行うことを特徴としてもよい。
車両の譲渡が行われた旨をユーザに確認することで、使用する可能性のある携帯装置、または電子鍵を拒絶してしまうことを防ぐことができる。

以下、図面に基づいて、本開示の実施の形態を説明する。以下の実施形態の構成は例示であり、本開示は実施形態の構成に限定されない。

（第一の実施形態）
第一の実施形態に係る認証システムの概要について、図１を参照しながら説明する。本実施形態に係るシステムは、サーバ装置１００と、ユーザが所持する携帯端末２００と、車両に設置された車載装置３００と、を含んで構成される。

本実施形態に係るシステムでは、サーバ装置１００が、携帯端末２００に対して電子鍵を発行する。また、携帯端末２００が、車載装置３００に対して電子鍵を送信し、認証を依頼する。車載装置３００は、電子鍵を用いて携帯端末２００の認証を実行する。認証が成功すると、ドアの施解錠や、エンジンの始動が可能になる。

本実施形態では、車載装置３００が設置された車両が、旧ユーザから新ユーザへ譲渡される場合を想定して説明を行う。車両の旧ユーザが所有する携帯端末を、携帯端末２００Ａとし、新ユーザが所有する携帯端末を、携帯端末２００Ｂとする。携帯端末２００Ａを旧端末とも称し、携帯端末２００Ｂを新端末とも称する。

車両の譲渡を行う場合、旧端末から電子鍵を消去し、新端末に、新しく発行された電子鍵を格納する必要がある。しかし、これを行わない場合、旧端末によって車両に対するアクセスが可能なままとなってしまう問題が生じる。
本実施形態に係るシステムでは、これに対応するため、サーバ装置１００が、電子鍵の使用状況を監視し、車両の譲渡が行われたと推定される場合に、車載装置３００による、旧端末に対する認証を無効化する。

システムの構成要素について、詳しく説明する。
図２は、図１に示したサーバ装置１００、携帯端末２００、および車載装置３００の構
成の一例を概略的に示したブロック図である。

サーバ装置１００は、携帯端末２００からの求めに応じて電子鍵を発行する装置である。サーバ装置１００はまた、携帯端末２００による電子鍵の使用実績を取得し、これに基づいて、電子鍵の無効化処理を行う。

サーバ装置１００は、汎用のコンピュータにより構成することができる。すなわち、サーバ装置１００は、ＣＰＵやＧＰＵ等のプロセッサ、ＲＡＭやＲＯＭ等の主記憶装置、ＥＰＲＯＭ、ハードディスクドライブ、リムーバブルメディア等の補助記憶装置を有するコンピュータとして構成することができる。なお、リムーバブルメディアは、例えば、ＵＳＢメモリ、あるいは、ＣＤやＤＶＤのようなディスク記録媒体であってもよい。補助記憶装置には、オペレーティングシステム（ＯＳ）、各種プログラム、各種テーブル等が格納され、そこに格納されたプログラムを実行することによって、後述するような、所定の目的に合致した各機能を実現することができる。ただし、一部または全部の機能はＡＳＩＣやＦＰＧＡのようなハードウェア回路によって実現されてもよい。

サーバ装置１００は、通信部１０１、制御部１０２、および記憶部１０３を有して構成される。
通信部１０１は、サーバ装置１００をネットワークに接続するための通信手段である。本実施形態では、通信部１０１は、４ＧやＬＴＥ等の移動体通信サービスを利用して、ネットワーク経由で携帯端末２００および車載装置３００と通信を行うことができる。

制御部１０２は、サーバ装置１００の制御を司る手段である。制御部１０２は、例えば、ＣＰＵによって構成される。
制御部１０２は、機能モジュールとして、電子鍵発行部１０２１および無効判定部１０２２を有している。各機能モジュールは、ＲＯＭ等の記憶手段に記憶されたプログラムをＣＰＵによって実行することで実現してもよい。

電子鍵発行部１０２１は、携帯端末２００からの求めに応じて電子鍵を発行する。電子鍵は、携帯端末２００が車載装置３００から認証を受けるためのデジタルデータである。
電子鍵発行部１０２１は、携帯端末２００から電子鍵の発行要求を受信した場合に、当該携帯端末２００に対応する電子鍵を発行する。電子鍵は、予め記憶されたものを取得してもよいし、動的に生成してもよい。例えば、所定の時間帯においてのみ有効な電子鍵や、使用回数が指定された電子鍵（例えば、ワンタイムキー等）、所定の携帯端末２００においてのみ使用できる電子鍵などを生成することもできる。
なお、携帯端末２００が複数の車載装置３００にアクセスする場合、電子鍵発行部１０２１は、対象の車載装置３００ごとに複数の電子鍵を携帯端末２００に対して発行することができる。

無効判定部１０２２は、電子鍵の使用実績に基づいて、車両が、携帯端末２００の所有者の元を離れたことを推定し、対応する携帯端末２００が利用する電子鍵の無効化を行う。具体的な処理については後述する。

電子鍵の使用実績を判定する処理について説明する。
本実施形態では、無効判定部１０２２は、携帯端末２００から送信された実績データに基づいて、電子鍵の使用実績を判定する。
図３は、実績データの例である。実績データは、車載装置３００が携帯端末２００を認証した実績を示すデータである。実績データは、日時、携帯端末２００の識別子（端末ＩＤ）、車載装置３００の識別子（装置ＩＤ）、利用された電子鍵の識別子（鍵ＩＤ）を互いに関連付けたデータである。なお、実績データは、認証の結果（成功または失敗、失敗
の場合はエラーコード等）を含んでいてもよい。

記憶部１０３は、情報を記憶する手段であり、ＲＡＭ、磁気ディスクやフラッシュメモリなどの記憶媒体により構成される。記憶部１０３には、制御部１０２にて実行される各種プログラム、データ等が記憶される。また、記憶部１０３には、電子鍵を生成するための各種のデータ（認証関連データ）、前述した実績データ等が記憶される。

次に、携帯端末２００について説明する。
携帯端末２００は、例えばスマートフォン、携帯電話、タブレット端末、個人情報端末、ウェアラブルコンピュータ（スマートウォッチ等）といった小型のコンピュータである。携帯端末２００は、通信部２０１、制御部２０２、記憶部２０３、近距離通信部２０４、および入出力部２０５を有して構成される。

通信部２０１は、通信部１０１と同様に、ネットワーク経由でサーバ装置１００と通信を行うための通信インタフェースである。

制御部２０２は、携帯端末２００の制御を司る手段である。制御部２０２は、例えば、マイクロコンピュータによって構成される。制御部２０２は、後述する記憶部２０３に記憶されたプログラムをＣＰＵによって実行することでこれらの機能を実現してもよい。

制御部２０２は、機能モジュールとして認証要求部２０２１および実績データ生成部２０２２を有している。各機能モジュールは、記憶手段（ＲＯＭ等）に記憶されたプログラムをＣＰＵによって実行することで実現してもよい。

認証要求部２０２１は、サーバ装置１００から電子鍵を取得する処理と、車載装置３００と通信を行い、施解錠を依頼する処理とを実行する。

認証要求部２０２１は、第一に、電子鍵を取得する処理を行う。本実施形態では、サーバ装置１００が、携帯端末２００の要求に応じて、電子鍵を含む鍵データを生成し、通信部１０１を介して携帯端末２００へ送信する。
認証要求部２０２１は、第二に、ユーザが行った操作に基づいて、施錠または解錠を行うための要求を生成し、車載装置３００に送信する。例えば、認証要求部２０２１は、後述する入出力部２０５（タッチパネルディスプレイ等）に、施解錠を行うためのインタフェース画面を出力し、ユーザによって行われた操作に基づいて、施錠または解錠を要求するデータ（施解錠要求）を生成し、車載装置３００に送信する。

なお、ユーザが行う操作は、タッチパネルディスプレイを介したものに限られない。例えば、ハードウェアスイッチ等によるものであってもよい。
なお、携帯端末２００が電子鍵を有していない場合、操作画面からの施錠操作および解錠操作は不可能となる。
携帯端末２００が取得する電子鍵は、固定キーであってもよいし、ワンタイムキーであってもよい。いずれの場合も、電子鍵に対応する認証情報が、車載装置３００に事前に記憶される。

実績データ生成部２０２２は、車載装置３００による認証が成功し、施解錠が実行された場合に、施解錠を行った実績を示すデータ（実績データ）を生成し、サーバ装置１００へ送信する処理を実行する。

記憶部２０３は、情報を記憶する手段であり、ＲＡＭ、磁気ディスクやフラッシュメモリなどの記憶媒体により構成される。記憶部２０３には、サーバ装置１００から送信され
た鍵データ、実績データ生成部２０２２が生成した実績データ、および、制御部２０２にて実行される各種プログラム、データ等が記憶される。

近距離通信部２０４は、車載装置３００との間で近距離無線通信を行うためのインタフェースである。近距離通信部２０４は、所定の無線通信規格を用いて、近距離（数ｃｍ程度）における通信を行う。
本実施形態では、近距離通信部２０４は、ＮＦＣ規格（Near Field Communication）によるデータ通信を行う。なお、本実施形態ではＮＦＣを例示するが、他の無線通信規格も利用可能である。例えば、Ｂｌｕｅｔｏｏｔｈ（登録商標）、ＵＷＢ（Ultra Wideband）、Ｗｉ−Ｆｉ（登録商標）などを利用することもできる。

入出力部２０５は、ユーザが行った入力操作を受け付け、ユーザに対して情報を提示する手段である。具体的には、タッチパネルとその制御手段、液晶ディスプレイとその制御手段から構成される。タッチパネルおよび液晶ディスプレイは、本実施形態では一つのタッチパネルディスプレイからなる。

次に、車載装置３００について説明する。
車載装置３００は、携帯端末２００と近距離無線通信を行って当該携帯端末２００を認証する機能と、携帯端末２００を認証した結果に基づいて、電子ロックの施解錠を行う機能を有している。車載装置３００は、通信部３０１、制御部３０２、記憶部３０３、および近距離通信部３０４を有して構成される。

通信部３０１は、通信部１０１と同一の通信規格によって、サーバ装置１００との間で通信を行う手段である。
近距離通信部３０４は、近距離通信部２０４と同一の通信規格によって、携帯端末２００との間で通信を行う手段である。

制御部３０２は、近距離通信部３０４を介して携帯端末２００と近距離無線通信を行い、携帯端末２００を認証する制御と、認証結果に基づいて電子ロックの施解錠を行う制御を行うモジュールである。制御部３０２は、例えば、マイクロコンピュータによって構成される。

制御部３０２は、機能モジュールとして認証部３０２１および鍵制御部３０２２を有している。各機能モジュールは、記憶手段（ＲＯＭ等）に記憶されたプログラムをＣＰＵによって実行することで実現してもよい。

認証部３０２１は、携帯端末２００から送信された電子鍵に基づいて、携帯端末２００の認証を行う。具体的には、記憶部３０３に事前に記憶された認証情報と、携帯端末２００から送信された電子鍵とを突き合わせ、これらが整合した場合に、認証成功と判断する。双方が整合しない場合、認証失敗と判断する。認証部３０２１が携帯端末２００の認証に成功した場合、施解錠を行うための指令が、後述する鍵制御部３０２２へ送信される。
なお、認証部３０２１が行う認証の方式は、認証情報同士を単純に比較して同一性を検証する方式であってもよいし、非対称暗号を用いた方式であってもよい。
鍵制御部３０２２は、認証部３０２１から送信された指令に基づいて、電子ロック（かんぬき）を制御する。

記憶部３０３は、情報を記憶する手段であり、ＲＡＭ、磁気ディスクやフラッシュメモリなどの記憶媒体により構成される。記憶部３０３には、携帯端末２００から送信された電子鍵と照合するための認証情報や、制御部３０２にて実行される各種プログラム、データ等が記憶される。

次に、ユーザが車両を施解錠する際の処理について説明する。図６は、各構成要素間で送受信されるデータのフロー図である。

まず、携帯端末２００が、サーバ装置１００に対して、電子鍵の発行を要求するデータ（鍵要求）を送信する（ステップＳ１１）。当該ステップでは、以下の情報が同時に送信される。
（１）鍵要求
（２）携帯端末２００の識別子
（３）携帯端末２００の真正性を証明するためのデータ
携帯端末２００の真正性を証明するためのデータは、パスワードであってもよいし、生体情報などであってもよい。また、これらの情報をハッシュ化したものであってもよい。
電子鍵発行部１０２１は、ステップＳ１２で携帯端末２００を認証したうえで、当該携帯端末２００に固有な電子鍵を生成ないし取得し、携帯端末２００に送信する（ステップＳ１３）。

携帯端末２００のユーザが、入出力部２０５を介して車載装置３００にアクセスする操作を行うと、携帯端末２００（認証要求部２０２１）が、車載装置３００に対して電子鍵を送信する（ステップＳ１４）。この際、具体的な処理（例えば、施錠または解錠）を要求するデータ（施解錠要求）を同時に送信してもよい。

ステップＳ１５では、車載装置３００（認証部３０２１）が、携帯端末２００から送信された電子鍵と、事前に記憶された認証情報とを照合し、認証処理を行う。また、認証に成功した場合に、要求された処理（施解錠処理）を実行する。例えば、鍵制御部３０２２が、電子ロックを制御して施錠または解錠を実施する。

車載装置３００が有する鍵制御部３０２２は、施錠または解錠が完了した後で、携帯端末２００に対して処理が完了した旨の通知（完了通知）を送信する（ステップＳ１６）。これにより、携帯端末２００のタッチパネルスクリーン上に、施錠または解錠が完了した旨の通知が出力される。なお、端末認証情報がワンタイムキーである場合、当該タイミングで当該ワンタイムキーを無効化してもよい。

ステップＳ１７では、携帯端末２００が、自端末の識別子、車載装置３００の識別子、および電子鍵の識別子を含むデータ（実績データ）を生成し、サーバ装置１００に送信する。実績データは、車載装置３００によって携帯端末２００が認証された実績を示すデータである。サーバ装置（無効判定部１０２２）は、受信した実績データを記憶部１０３に格納する。実績データには、車載装置３００に対して行われたアクション（施錠または解錠）を示すデータが含まれていてもよい。

次に、サーバ装置１００が、電子鍵を無効化する処理について説明する。図７は、サーバ装置１００（無効判定部１０２２）が行う処理のフローチャートである。当該処理は、所定の周期で実行される。
まず、ステップＳ２１で、記憶された実績データに基づいて、電子鍵の使用状況を取得する。これにより、図６に示したように、電子鍵が使用された履歴が時系列で取得される。

次に、ステップＳ２２で、電子鍵の使用状況が所定の条件を充足するか否かを判定する。本ステップでは、以下の条件を充足する電子鍵の組がある場合に、車両の施解錠に利用される携帯端末が変更されたと判定する。
（条件１）現在を起点とする過去の第一の期間（符号６０１）において、電子鍵Ａが使用
されていない
（条件２）第一の期間において、電子鍵Ｂが使用されている
（条件３）第一の期間より前の第二の期間（符号６０２）において、電子鍵Ａが使用されている
（条件４）第二の期間において、電子鍵Ｂが使用されていない
本例では、電子鍵Ａを使用する携帯端末が旧端末であり、電子鍵Ｂを使用する携帯端末が新端末であると判定する。すなわち、電子鍵Ａを無効化すべきであると判定する。

第一の期間および第二の期間の長さは設計値とすることができるが、電子鍵を無効化する判定を行うための合理的な期間（例えば、週または月単位）であることが好ましい。
また、第一の期間と第二の期間は連続していなくてもよい。例えば、車両を受け渡す際に、二つの電子鍵が混在して使用される期間が生じる可能性があるため、第一の期間と第二の期間をある程度（例えば、一日程度）離してもよい。

ステップＳ２２で肯定判定となった場合、車載装置３００と通信を行い、旧端末が使用する電子鍵に対応づいた認証情報を、車載装置３００から削除させる。

以上に説明した処理によると、ある携帯端末に関連付いた電子鍵が、所定の期間において使用されていない場合に、当該電子鍵を自動的に無効化することができる。さらに、所定のタイミングの前後で使用される電子鍵が変わったことを条件として無効化処理を行うため、車両のオーナーチェンジを適切に判定することができる。

なお、本実施形態の説明では、条件１〜４の４つを例示したが、必ずしもこれらを全て併用する必要はない。例えば、「条件１のみ」、または、「条件１と条件２のみ」によって判定を行ってもよい。

（第二の実施形態）
第一の実施形態では、複数の携帯端末２００に対してそれぞれ異なる電子鍵を発行し、各電子鍵の使用状況を判定した。これに対し、第二の実施形態は、複数の携帯端末２００に対して同一の電子鍵を発行し、それぞれの携帯端末の使用状況を判定する実施形態である。

第二の実施形態では、ステップＳ２１で、電子鍵の使用状況ではなく、携帯端末２００の使用状況を取得し、ステップＳ２２で、携帯端末別に条件判定を行う。例えば、図６の符号６０１で示す期間において、携帯端末２００Ｂのみが使用されており、符号６０２で示す期間において、携帯端末２００Ａのみが使用されている場合、携帯端末２００Ａが旧端末であり、携帯端末２００Ｂが新端末であると判定することができる。

この場合、携帯端末２００Ａによる、車載装置３００へのアクセスを禁止する処理を行う。例えば、無効判定部１０２２が、認証部３０２１に対して、携帯端末２００Ａに固有な情報（例えば、ハードウェア識別子、物理ネットワークアドレス等）を送信し、当該携帯端末２００Ａに対する接続または認証を拒否するよう指示する。

第二の実施形態によると、同一の電子鍵を複数の携帯端末２００が利用する場合であっても、旧端末による認証を無効化することができる。
なお、第二の実施形態では、車載装置３００に対して、携帯端末２００Ａに対する接続または認証を拒否させたが、携帯端末２００Ａに対する電子鍵の発行自体を停止してもよい。電子鍵が恒久的なものでない場合、このようにしても、携帯端末２００Ａに対する認証を無効化することができる。

（第三の実施形態）
第三の実施形態は、車両の位置情報に基づいて、当該車両が運用される拠点（運用拠点）が変化したことを判定し、旧拠点において使用されていた携帯端末または電子鍵を無効化する実施形態である。運用拠点とは、例えば、車両が通常の運用において保管される場所（例えば、自宅の駐車場）である。

第三の実施形態では、携帯端末２００（実績データ生成部２０２２）が、位置情報を取得可能に構成される。位置情報は、例えば、内蔵されたＧＰＳモジュールによって取得することができる。また、実績データ生成部２０２２が、取得した位置情報を実績データに付加してサーバ装置１００へ送信する。

図７は、第三の実施形態において、無効判定部１０２２が行う処理のフローチャートである。図示した処理は、図５に示した処理の代わりに実行される。
まず、ステップＳ２４で、実績データに基づいて、電子鍵が使用された実績のあるエリアを示すエリア情報を生成する。図８は、エリア情報の例である。図中の黒丸は、実績データに含まれる位置情報に対応する。すなわち、図示した地点で、車載装置３００が携帯端末２００を認証したことを意味する。

ここで、例えば、実績データに含まれる複数の位置情報を統合し、クラスタを生成する。ここで生成されるクラスタは、電子鍵が使用された実績のあるエリアを表すものとなる。例えば、ユーザＡからユーザＢに車両が譲渡された場合、符号８０１で示したエリア（エリアＡとする）と、符号８０２で示したエリア（エリアＢとする）を含むエリア情報が生成される。

そして、ステップＳ２５で、生成されたエリアに基づいて、車両の運用拠点が変化したことを判定する。本ステップでは、以下の条件を充足するエリアの組が存在する場合に、車両の運用拠点がエリアＡからエリアＢに変わったと判定する。
（条件２−１）第一の期間（符号６０１）において、エリアＡ内で認証が行われていない（条件２−２）第一の期間において、エリアＢ内で認証が行われている
（条件２−３）第二の期間（符号６０２）において、エリアＡ内で認証が行われている
（条件２−４）第二の期間において、エリアＢ内で認証が行われていない

車両の運用拠点が変化したと判定された場合、ステップＳ２６で、旧エリアで使用されていた携帯端末に対応する認証情報を、車載装置３００から削除する。具体的には、実績データを参照して、エリアＡにおける使用実績のある携帯端末２００Ａと、当該携帯端末が使用していた電子鍵を特定し、当該電子鍵に対応する認証情報を車載装置３００から削除する。または、旧エリアにおいて使用実績のある携帯端末２００Ａについて、車載装置３００へのアクセスを禁止する措置をとる。

第三の実施形態によると、電子鍵が使用されたエリアに基づいて、車両の譲渡が発生したことを判定することができる。

なお、前述した条件（２−１）〜（２−４）を満たす場合であっても、使用された携帯端末が同じである場合、無効化処理は行わないことが好ましい。例えば、エリアＡにおいて携帯端末２００Ｂが利用された一定の実績がある場合や、エリアＢにおいて携帯端末２００Ａが利用された一定の実績がある場合、電子鍵の無効化処理を行わないようにしてもよい。このような場合、ユーザの転居などが考えられるためである。

また、ステップＳ２４の処理において、車両の運用拠点とは関係のないエリアが生成される場合がある。例えば、ユーザが、自宅から離れた場所にある施設に頻繁に通っていた
場合、当該施設を含むエリアが生成される場合がある。このような場合、電子鍵を利用した頻度に基づいてフィルタリングを行うようにしてもよい。例えば、ある期間において電子鍵を使用した頻度が所定値以下（例えば、一週間で一回以下）であるエリアについては、運用拠点ではないと判断し削除してもよい。

（第三の実施形態の変形例）
第三の実施形態では、電子鍵を使用した実績に基づいて車両の運用拠点を判定したが、車両の運用拠点は、当該車両の位置情報のみに基づいて判定してもよい。
例えば、車載装置３００に、位置情報を取得し、当該位置情報をサーバ装置１００に所定のタイミングで送信させる機能を持たせる。所定のタイミングは、例えば、周期的なタイミングであってもよいし、車両が解錠されたタイミング、イグニッションがオンになったタイミングなどであってもよい。
そして、サーバ装置１００が、取得した位置情報を車両と関連付けて記憶する。蓄積された位置情報を用いてエリア情報を生成する方法は、第三の実施形態と同様である。
かかる方法によっても、車両の運用拠点が変化したことを判定することができる。

（変形例）
上記の実施形態はあくまでも一例であって、本発明はその要旨を逸脱しない範囲内で適宜変更して実施しうる。
例えば、本開示において説明した処理や手段は、技術的な矛盾が生じない限りにおいて、自由に組み合わせて実施することができる。

また、実施形態の説明では、電子鍵を発行するサーバ装置１００が無効化処理を行ったが、車載装置３００が無効化処理を行うようにしてもよい。この場合、制御部３０２が無効判定部１０２２の機能を果たす。なお、制御部３０２は、携帯端末２００から実績データを取得してもよいし、実績データを自ら生成してもよい。

また、実施形態の説明では、車載装置３００を例示したが、携帯端末２００を認証する機能を有していれば、車両に搭載された装置以外を利用することもできる。

また、実施形態の説明では、サーバ装置１００が携帯端末２００から実績データを受信したが、電子鍵を用いて認証が行われた旨を示すデータを取得することができれば、当該データの送信元は携帯端末２００でなくてもよい。例えば、車載装置３００が実績データを生成し、送信してもよい。

また、１つの装置が行うものとして説明した処理が、複数の装置によって分担して実行されてもよい。あるいは、異なる装置が行うものとして説明した処理が、１つの装置によって実行されても構わない。コンピュータシステムにおいて、各機能をどのようなハードウェア構成（サーバ構成）によって実現するかは柔軟に変更可能である。

本開示は、上記の実施形態で説明した機能を実装したコンピュータプログラムをコンピュータに供給し、当該コンピュータが有する１つ以上のプロセッサがプログラムを読み出して実行することによっても実現可能である。このようなコンピュータプログラムは、コンピュータのシステムバスに接続可能な非一時的なコンピュータ可読記憶媒体によってコンピュータに提供されてもよいし、ネットワークを介してコンピュータに提供されてもよい。非一時的なコンピュータ可読記憶媒体は、例えば、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクドライブ（ＨＤＤ）等）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤディスク・ブルーレイディスク等）など任意のタイプのディスク、読み込み専用メモリ（ＲＯＭ）、ランダムアクセスメモリ（ＲＡＭ）、ＥＰＲＯＭ、ＥＥＰＲＯＭ、磁気カード、フラッシュメモリ、光学式カード、電子的命令を格納するために適した任意のタ
イプの媒体を含む。

１００・・・サーバ装置
１０１，２０１，３０１・・・通信部
１０２，２０２，３０２・・・制御部
１０３，２０３，３０３・・・記憶部
２００・・・携帯端末
２０５・・・入出力部
２０４，３０４・・・近距離通信部
３００・・・車載装置

Claims (20)

1. 携帯装置から取得した電子鍵に基づいて前記携帯装置を認証する車両と通信可能な情報処理装置であって、
   二台以上の前記携帯装置に対して発行された前記電子鍵の使用状況を取得することと、
   前記使用状況が所定の条件を満たす場合に、前記二台以上の携帯装置の少なくともいずれかに対して行われる前記認証を無効化することと、
   を実行する制御部を有する、情報処理装置。
2. 前記二台以上の携帯装置は、第一の携帯装置を含み、
   前記制御部は、過去の第一の期間において、前記第一の携帯装置に対して発行された第一の電子鍵の使用実績が無い場合に、前記第一の電子鍵を無効化する、
   請求項１に記載の情報処理装置。
3. 前記二台以上の携帯装置は、第二の携帯装置をさらに含み、
   前記制御部は、前記第一の期間において、前記第一の電子鍵の使用実績が無く、前記第二の携帯装置に対して発行された第二の電子鍵の使用実績がある場合に、前記第一の電子鍵を無効化する、
   請求項２に記載の情報処理装置。
4. 前記制御部は、前記第一の期間において、前記第一の電子鍵の使用実績が無く、前記第二の電子鍵の使用実績があり、かつ、前記第一の期間よりも前の第二の期間において、前記第一の電子鍵の使用実績があり、前記第二の電子鍵の使用実績が無い場合に、前記第一の電子鍵を無効化する、
   請求項３に記載の情報処理装置。
5. 前記制御部は、前記車両から、前記第一の電子鍵に対応する認証情報を削除することで、前記第一の電子鍵を無効化する、
   請求項２から４のいずれか１項に記載の情報処理装置。
6. 前記二台以上の携帯装置は、第一の携帯装置を含み、
   前記制御部は、過去の第一の期間において、前記第一の携帯装置による前記電子鍵の使用実績が無い場合に、前記第一の携帯装置に対して行われる前記認証を無効化する、
   請求項１に記載の情報処理装置。
7. 前記二台以上の携帯装置は、第二の携帯装置をさらに含み、
   前記制御部は、前記第一の期間において、前記第一の携帯装置による前記電子鍵の使用実績が無く、前記第二の携帯装置による前記電子鍵の使用実績がある場合に、前記第一の携帯装置に対して行われる前記認証を無効化する、
   請求項６に記載の情報処理装置。
8. 前記制御部は、前記第一の期間において、前記第一の携帯装置による前記電子鍵の使用実績が無く、前記第二の携帯装置による前記電子鍵の使用実績があり、かつ、前記第一の期間よりも前の第二の期間において、前記第一の携帯装置による前記電子鍵の使用実績があり、前記第二の携帯装置による前記電子鍵の使用実績が無い場合に、前記第一の携帯装置に対して行われる前記認証を無効化する、
   請求項７に記載の情報処理装置。
9. 前記制御部は、前記二台以上の携帯装置に対して前記電子鍵を発行する処理を行い、かつ、前記第一の携帯装置に対して行われる前記認証を無効化すると決定した場合に、前記
   第一の携帯装置に対する前記電子鍵の発行を停止する、
   請求項６から８のいずれか１項に記載の情報処理装置。
10. 前記制御部は、前記第一の携帯装置に対して行われる前記認証を無効化すると決定した場合に、前記車両に、前記第一の携帯装置からのアクセスを拒否させる、
    請求項６から９のいずれか１項に記載の情報処理装置。
11. 携帯装置から取得した電子鍵に基づいて前記携帯装置を認証する車両と通信可能な情報処理装置であって、
    前記車両の位置情報に基づいて、前記車両の運用拠点を判定することと、
    前記車両の運用拠点が第一のエリアから第二のエリアに移動したことを判定した場合に、前記第一のエリアにおいて利用された実績のある第一の携帯装置に対して行われる前記認証を無効化することと、
    を実行する制御部を有する、情報処理装置。
12. 前記制御部は、前記第一の携帯装置に対して行われる前記認証を無効化すると決定した場合に、前記車両から、前記第一の携帯装置が有する第一の電子鍵に対応する認証情報を削除する、
    請求項１１に記載の情報処理装置。
13. 前記制御部は、前記第一の携帯装置に対して行われる前記認証を無効化すると決定した場合に、前記車両に、前記第一の携帯装置からのアクセスを拒否させる、
    請求項１１に記載の情報処理装置。
14. 前記制御部は、前記車両のユーザから同意を得たことを条件として、前記認証の無効化を行う、
    請求項１から１３のいずれか１項に記載の情報処理装置。
15. 携帯装置から取得した電子鍵に基づいて前記携帯装置を認証する車両と通信可能な情報処理装置が行う情報処理方法であって、
    二台以上の前記携帯装置に対して発行された前記電子鍵の使用状況を取得するステップと、
    前記車両の位置情報に基づいて、前記車両の運用拠点を判定するステップと、
    前記使用状況が所定の条件を満たす場合、または、前記車両の運用拠点が第一のエリアから第二のエリアに移動したことを判定した場合に、
    前記二台以上の携帯装置の少なくともいずれかに対して行われる前記認証を無効化するステップと、
    を含む、情報処理方法。
16. 前記二台以上の携帯装置は、第一の携帯装置および第二の携帯装置を含み、
    過去の第一の期間において、前記第一の携帯装置に対して発行された第一の電子鍵の使用実績が無く、前記第二の携帯装置に対して発行された第二の電子鍵の使用実績がある場合に、前記第一の電子鍵を無効化する、
    請求項１５に記載の情報処理方法。
17. 前記二台以上の携帯装置は、第一の携帯装置および第二の携帯装置を含み、
    過去の第一の期間において、前記第一の携帯装置による前記電子鍵の使用実績が無く、前記第二の携帯装置による前記電子鍵の使用実績がある場合に、前記第一の携帯装置に対して行われる前記認証を無効化する、
    請求項１５に記載の情報処理方法。
18. 前記車両の運用拠点が第一のエリアから第二のエリアに移動したことを判定した場合に、前記第一のエリアにおいて利用された実績のある第一の携帯装置に対して行われる前記認証を無効化する、
    請求項１５に記載の情報処理方法。
19. 前記車両のユーザから同意を得たことを条件として、前記認証の無効化を行う、
    請求項１５から１８のいずれか１項に記載の情報処理方法。
20. 請求項１５から１９のいずれか１項に記載の情報処理方法をコンピュータに実行させるためのプログラム。

Images