JP2024013356A - ロック制御装置、車両用デジタルキーシステム - Google Patents

Abstract

【課題】待機中の消費電力を低減可能なロック制御装置及び車両用デジタルキーシステムを提供する。【解決手段】車両用デジタルキーシステムＳｙｓは、携帯デバイス１、車載システム２及びＤＫＳ（デジタルキーサーバ）３を含む。車載システムは、認証ＥＣＵを含む。ＤＫＳは、携帯デバイスからコード発行要求を受信したことに基づいて、車両Ｈｖの認証ＥＣＵに、多段階認証を構成する認証ステップごとの認証方式を指定する検証パッケージを認証ＥＣＵに送信する。認証ＥＣＵは、待機中（駐車中）、常時／間欠的にセルラー通信機能をオンに設定することにより、ＤＫＳからデータセットを受信し、データセットに含まれる検証パッケージを受信した場合には、当該パッケージに示される第１認証ステップに使用される認証センサを有効化し、検証パッケージを受信していない場合には各認証センサを節電状態に設定する。【選択図】図１

Description

本開示は、ユーザが認証されていることを条件として開錠／施錠を実施する技術に関する。

特許文献１－２には、ユーザを認証できていることを条件として車両を開錠する車載システムにおいて、複数種類の認証装置を備える構成が開示されている。

特開２０２０－６６８６０号公報 特開２０２１－１７９１６９号公報

車両にはユーザを認証するための多様な認証センサが搭載されうる。例えば車両には、認証センサとして、ユーザの携帯デバイスから送信される認証用のコードを受信するための通信装置や、カメラ、マイク、指紋リーダ、静脈センサなどが搭載されうる。車両に複数の認証センサが搭載されている構成において、待機中に複数の認証センサをすべて駆動させていると消費電力が増大しうる。

本開示は、上記の検討又は着眼点に基づいて成されたものであり、その目的の１つは、待機中の消費電力を低減可能なロック制御装置、車両用デジタルキーシステムを提供することにある。

ここに開示されるロック制御装置は、所定の方式でユーザを認証するための情報を取得する第１認証センサと、第１認証センサとは異なる方式でユーザを認証するための情報を取得する第２認証センサの、それぞれと接続されて使用されるロック制御装置であって、第１認証センサの異常を検出する異常検出部（Ｇ２）と、第１認証センサ及び第２認証センサの作動を制御する制御部（Ｇ１）と、を備え、制御部は、第１認証センサの異常が検出されていない場合、少なくとも第１認証センサを用いた認証処理が成功するまでは、第２認証センサを起動させないように構成されている。

以上の構成によれば、第２認証センサが起動する頻度が抑制されるため、消費電力を抑制可能となる。

また、本開示の車両用デジタルキーシステムは、複数の認証方式の少なくとも何れか１つを用いて車両にアクセスしようとしている人物を認証可能に構成されている車載装置（４）と、車両のユーザに携帯される情報処理端末である携帯デバイス（１）と、携帯デバイス及び車載装置とデータ通信可能に構成されているサーバ（３）と、を含む車両用デジタルキーシステムであって、車載装置は、複数の認証方式のそれぞれに対応する、複数の認証センサ（６ｘ）の動作を制御する制御部（Ｇ１）を備え、携帯デバイスは、ユーザ操作に基づいて認証を開始するための信号である操作開始信号をサーバに送信する操作応答部（Ｆ１）を備え、サーバは、車載装置又は携帯デバイスとの通信により、使用不能な認証方式である使用不可方式と使用可能な認証方式である使用可能方式についての情報を収集するステータス管理部（Ｈ１）と、携帯デバイスから操作開始信号を受信したことに基づいて、使用可能方式のなかから、実際に認証処理に使用する認証方式である採用方式を選択する選択部（Ｈ２１）と、選択部が選択した少なくとも１つの採用方式についての情報を含む命令セットを車載装置に向けて送信する送信処理部（Ｈ２５）と、を備え、制御部は、命令セットに示される採用方式に対応する認証センサは起動させる一方、採用方式ではない認証方式である不採用方式に対応する認証センサは起動させないように構成されている。
上記構成によれば、車両が備える複数の認証センサのうちの一部は、起動されにくくなる。故に、消費電力を低減可能となる。

なお、特許請求の範囲に記載した括弧内の符号は、一つの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、本開示の技術的範囲を限定するものではない。

車両用デジタルキーシステムの全体像を示す図である。 携帯デバイスの構成を示すブロック図である。 携帯制御部の機能ブロック図である。 携帯デバイスの表示画面の一例を示す図である。 携帯デバイスの表示画面の一例を示す図である。 認証パッケージの内容を説明するための図である。 認証ステップごとのガイド画像の一例を示す図である。 車載システムの構成を示すブロック図である。 認証ＥＣＵの機能ブロック図である。 ＤＫＳの構成を示すブロック図である。 データ処理部の機能ブロック図である。 車両のアンロックに向けた、ＤＫＳ、携帯デバイス、及び認証ＥＣＵの相互作用について説明するためのシーケンス図である。 ＢＬＥ認証の手順の一例を示す図である。 認証エラーが発生した際の携帯デバイスの表示画面の一例を示す図である。 認証エラー発生時のシステムの作動を説明するためのフローチャートである。 車両がセルラー圏外に存在する場合の認証ＥＣＵの作動を説明するためのフローチャートである。 車両がセルラー圏外に存在する場合のＤＫＳの作動を説明するためのフローチャートである。

以下、本開示の車両用デジタルキーシステムＳｙｓについて図を用いて説明する。車両用デジタルキーシステムＳｙｓは、車両Ｈｖを利用するためのコードである認証コードを携帯デバイス１に配布することにより、ユーザが専用キーを持たずとも車両Ｈｖへのアクセスを可能とするためのシステムである。

なお、本開示における専用キーとは、車両Ｈｖを操作するための専用の電子キーである。専用キーは、車両Ｈｖの購入時に、車両Ｈｖのオーナであることの証、又は、実体を有するマスターキーとして、車両Ｈｖとともにオーナに提供される。専用キーは車両Ｈｖの付属物の１つと解することができる。専用キーは、車両用携帯機、キーフォブ、キーカード、カードキー、アクセスキーなどと呼ばれうる。

車両用デジタルキーシステムＳｙｓは、図１に示すように、携帯デバイス１、車載システム２、デジタルキーサーバ（ＤＫＳ：Digital Key Server）３を含む。車載システム２は、認証ＥＣＵ４を含む。ＥＣＵはElectronic Control Unitの略であって、電子制御装置を指す。

携帯デバイス１は、ユーザによって所持／携帯されうる汎用的な情報処理端末である。車載システム２は、車両Ｈｖに搭載されてあって、ユーザを認証済みであることを条件として、車両Ｈｖに対するユーザの位置、あるいは、ユーザの操作内容に応じた車両制御を実行するシステムである。ここでの車両制御とは、ドアの施錠／開錠、電源オン／オフ、エンジン始動などが含まれうる。当該車載システム２はスマートエントリシステム、あるいは、パッシブエントリパッシブスタート（ＰＥＰＳ）システムなどと呼ばれる。ＤＫＳ３は、車両Ｈｖの外部に配置されたサーバである。

携帯デバイス１、車載システム２及びＤＫＳ３は、無線基地局８及び広域通信ネットワーク９を介し、互いにデータ通信可能に構成されている。ＤＫＳ３は、携帯デバイス１からの要求に基づき、携帯デバイス１に対して車両Ｈｖを使用するための認証コードを送信する。また、ＤＫＳ３は車載システム２と相互通信することで、車載システム２が備える認証センサ６ｘの動作状態を間接的に制御する。装置間のデータ通信は、例えば、ＴＬＳ（Transport Layer Security）を用いた暗号通信によって実施されうる。

なお、図１に示す無線基地局８は、例えばセルラー通信用の基地局である。セルラー通信とは、例えば４Ｇ／５Ｇ規格に準拠した無線通信を指す。なお、無線基地局８は、Ｗｉ－Ｆｉ（登録商標）用のアクセスポイントや路側機であってもよい。広域通信ネットワーク９は、例えばインターネットである。

また、車載システム２と携帯デバイス１は、近距離無線通信を実施可能に構成されている。ここでの近距離無線通信とは、実質的な通信可能距離が例えば５ｍから３０ｍ、最大でも１００ｍ程度となる所定の近距離無線通信規格に準拠した通信を指す。近距離無線通信の規格としては、例えばBluetooth（登録商標）や、Wi-Fi（登録商標）、ZigBee（登録商標）、ＵＷＢ－ＩＲ（Ultra Wide Band - Impulse Radio）、EnOcean（登録商標）、Wi-SUN（登録商標）等を採用することができる。Bluetooth規格には、ＢＬＥ（Bluetooth Low Energy）や、Bluetooth Classicなどが含まれる。Ｗｉ－Ｆｉ規格としても、ＩＥＥＥ８０２．１１ｎや、ＩＥＥＥ８０２．１１ａｃ、ＩＥＥＥ８０２．１１ａｘ（いわゆるＷｉ－Ｆｉ６）など、多様な規格を採用可能である。尚、ＩＥＥＥ（登録商標）は、Institute of Electrical and Electronics Engineersの略であり、米国電気電子学会を指す。

ここでは車載システム２と携帯デバイス１は、ＢＬＥ規格に準拠した無線通信であるＢＬＥ通信を実施可能に構成されている場合を例にとって各部の作動を説明する。以下におけるＢＬＥ通信との記載は、多様な近距離無線通信方式に置き換えて実施することができる。

加えて、車載システム２と携帯デバイス１は、ＮＦＣ（Near Field Communication）の規格に従った無線通信であるＮＦＣ通信を実施可能に構成されている。ここでのＮＦＣ通信とは、通信可能な距離が数ｃｍから数十ｃｍ程度となる通信を指す。ＮＦＣ通信は、近接場通信、非接触通信、あるいは、タッチ通信と呼ぶことができる。ＮＦＣ通信は、ＢＬＥ通信よりも通信可能な距離が十分に小さい（例えば１０分の１以下の）通信方式に相当する。ＮＦＣ通信を実現するための具体的な通信規格としては、例えばISO/IEC 14443やISO/IEC 18092等の多様な規格を採用することができる。近接場通信は、Type-F規格に適合するものであっても良いし、Type-A又はType-B規格に適合するものであってもよい。Type-F規格は、いわゆるFeliCa（登録商標）に相当する。

なお、本開示のユーザとは、車両用デジタルキーシステムＳｙｓが提供するサービスの利用者を指す。車両用デジタルキーシステムＳｙｓが提供するサービスを利用するためのアカウントを作成済みの人物、換言すれば、後述するデジタルキーアプリ１０４をインストール済みの携帯デバイス１の所有者がユーザに相当する。当然、ＤＫＳ３が管理する車両やユーザは複数存在しうる。また、携帯デバイス１も複数存在しうる。複数のユーザにはそれぞれユーザＩＤが設定されている。複数の携帯デバイス１のそれぞれにはデバイスＩＤが設定されている。ユーザＩＤはＤＫＳ３が複数のユーザを識別するための管理番号であって、ユーザごとに異なる値が設定されている。デバイスＩＤは、携帯デバイス１を特定するための識別番号である。

以下では、主として１つの車両Ｈｖ及び１人のユーザに焦点を当てて、車両用デジタルキーシステムＳｙｓの説明を行う。つまり、以降におけるユーザとは車両Ｈｖの利用権限を有する任意の１つの人物である。以下の説明は、車両とユーザの組み合わせごとに適用可能である。

＜ユーザの認証方式について＞
車載システム２は、複数種類の方式でユーザを認証可能に構成されている。例えば車載システム２は、ＢＬＥ認証、ＮＦＣ認証、画像認証、及び、音声認証といった、４種類の認証方式に対応している。なお、携帯デバイス１はユーザに紐づくため、携帯デバイス１を認証することは、ユーザを認証することに相当する。すなわち、ユーザの認証は携帯デバイス１の認証によっても実現されうる。本開示におけるユーザ認証は、適宜、デバイス認証と読み替えることもできる。

ＢＬＥ認証は、車載システム２が携帯デバイス１とＢＬＥ通信を実施することでユーザを認証する方式を指す。例えばＢＬＥ認証は、携帯デバイス１が車載システム２に向けて認証コードをＢＬＥ通信で送信するステップと、車載システム２が受信コードの正当性を検証するステップとを含みうる。ここでの受信コードとは、車載システム２において、携帯デバイス１から受信した認証コードを指す。受信コードの正当性を検証するステップは、事前に車載システム２に登録されている携帯デバイス１用の暗号鍵を用いて受信コードを復号したコードが、車載システム２が保持する検証コードと一致しているか否かを判定することを含む。

暗号鍵は、車両Ｈｖにアクセスしようとしている人物の正当性を検証するための符号であって、携帯デバイス１ごとに異なる値が設定されている。例えば暗号鍵は、ユーザがシステムに登録したユーザＩＤ、又は、携帯デバイス１のデバイスＩＤを所定のハッシュ関数に入力して得られる出力値である。暗号鍵は、車載システム２とＤＫＳ３のそれぞれに保存されている。検証コードは、認証処理ごとにＤＫＳ３から車載システム２に配信されうる。検証コードは、車載システム２に事前登録されていても良い。

ＮＦＣ認証は、車載システム２が携帯デバイス１とＢＬＥ通信を実施することでユーザを認証する方式を指す。携帯デバイス１がＮＦＣ通信で車載システム２に向けて認証コードを送信するステップと、車載システム２が受信コードの正当性を検証するステップとを含みうる。画像認証は、携帯デバイス１が認証コードを示す画像を表示するステップと、車載システム２が車載カメラで当該画像を読み取り、読み取った画像が示す認証コードの正当性を検証するステップを含みうる。認証コードを示す画像（以降、コード画像）とは、例えばバーコード等の１次元コード、又は、ＱＲコード（登録商標）等の２次元コードである。コード画像は、３色以上の色の２次元配列パターンを併用してなるマルチカラーコードとして実現されていても良い。コード画像は、記録された情報の公開及び非公開を設定可能なセキュアなＳＱＲＣ（登録商標）であってもよい。

音声認証は、携帯デバイス１がスピーカからコードトーンを出力するステップと、車載システム２が車載マイクで当該コードトーンを集音し、コードトーンのパターンが示す認証コードの正当性を検証するステップを含みうる。コードトーンは、認証コードを所定の方式で変換してなる連続音である。コードトーンは、例えば、認証コードを構成する複数の文字（数字／文字／記号）のそれぞれを、文字ごとに異なる音に変換した上でそれらをつなげた合成信号音に相当する。コードトーンは、例えば認証コードをＤＴＭＦ（Dual-Tone Multi-Frequency）を用いて変換された音パターンに対応する。

＜携帯端末の構成及び機能について＞
ここではまず携帯デバイス１が備える構成／機能について図２を用いて説明する。携帯デバイス１としては、例えば、スマートフォンや、タブレット端末、ウェアラブルデバイスなどを採用することができる。ウェアラブルデバイスは、ユーザの身体に装着されて使用されるデバイスであって、リストバンド型、腕時計型、指輪型、メガネ型、イヤホン型など、多様な形状のものを採用可能である。ウェアラブルデバイスには、ヒアラブルデバイスも含まれうる。

携帯デバイス１は、携帯制御部１０、ディスプレイ１１、タッチパネル１２、生体認証装置１３、スピーカ１４、ＮＦＣ通信部１６、ＢＬＥ通信部１５、及びセルラー通信部１７を備える。

携帯制御部１０は、携帯デバイス１全体の動作を制御するモジュールである。携帯制御部１０は、ディスプレイ１１、タッチパネル１２、生体認証装置１３、ＮＦＣ通信部１６、ＢＬＥ通信部１５、及びセルラー通信部１７のそれぞれと相互通信可能に構成されている。携帯制御部１０は、例えばデバイスプロセッサ１０１、メモリ１０２、ストレージ１０３等を備えた、コンピュータとして構成されている。デバイスプロセッサ１０１は、例えばＣＰＵ（Central Processing Unit）である。メモリ１０２は例えばＲＡＭ（Random Access Memory）などの揮発性の記憶媒体である。デバイスプロセッサ１０１は、メモリ１０２へのアクセスにより、後述する各機能部の機能を実現するための種々の処理を実行する。ストレージ１０３は、フラッシュメモリ等の不揮発性の記憶媒体を含む構成である。

また、携帯制御部１０は、アプリケーションソフトウェア（以降、アプリ）としてデジタルキーアプリ１０４を備える。デジタルキーアプリ１０４は、ユーザの認証や、認証コードの取得／保存、車載システム２との通信等をセキュアに行うためのアプリケーションソフトウェアである。デジタルキーアプリ１０４は、例えばストレージ１０３などにインストールされている。以降に於けるデジタルキーアプリ１０４との記載は、携帯制御部１０あるいはデバイスプロセッサ１０１と読み替えることができる。携帯制御部１０／デジタルキーアプリ１０４の機能については後述する。

ディスプレイ１１は、例えば液晶ディスプレイや有機ＥＬディスプレイである。ディスプレイ１１は携帯制御部１０からの入力信号に応じた画像を表示する。タッチパネル１２は、静電容量式のタッチパネルであって、ディスプレイ１１に積層されている。タッチパネル１２及びディスプレイ１１は、ユーザがデジタルキーアプリ１０４に指示を入力したり、携帯デバイス１と車載システム２とをペアリングしたりするためのインターフェースに相当する。タッチパネル１２は入力装置である。タッチパネル１２が出力する信号は、携帯デバイス１に対するユーザの操作に対応する。以降では、タッチパネル１２の出力信号を操作信号とも記載する。

生体認証装置１３は、例えばユーザの指紋や顔画像などを用いて、ユーザを認証する装置である。生体認証装置１３は、手や指の静脈パターンや、虹彩パターンを用いてユーザを認証する装置であってもよい。生体認証装置１３は、耳穴の形状によって決まる音の反射パターンを利用して装着者を識別（認証）する耳音響認証装置であってもよい。加えて、生体認証装置１３は、例えば声紋など、発話音声の特徴を用いて認証を行う装置であってもよい。ユーザの認証結果は、携帯制御部１０に提供される。スピーカ１４は、携帯制御部１０から入力された電気信号に基づいて音を出力する。本開示の音には、効果音や通知音、音声、メロディ、音楽などが含まれうる。

ＮＦＣ通信部１６は、ＮＦＣ通信を実施するための通信モジュールである。ＢＬＥ通信部１５は、ＢＬＥ通信を実施するための通信モジュールである。セルラー通信部１７は、セルラー通信を実施するための通信モジュールである。セルラー通信部１７は、例えばＬＴＥ等の無線通信プロトコルにおけるデータリンクレイヤ及び物理レイヤを担当する通信モジュールである。セルラー通信部１７は、無線基地局８からの信号の受信状況、例えばセルラー圏外か否かなどを示すデータを携帯制御部１０に提供する。本開示におけるセルラー圏外とは無線基地局８の通信エリア外、換言すれば広域通信ネットワーク９に接続不能な状況を指す。本開示では無線基地局８からの信号を受信可能なエリアをセルラー圏内とも記載する。節電等のためにセルラー通信機能がオフに設定されている場合を除けば、車両Ｈｖがセルラー圏内に存在する場合、車載システム２はオンライン状態となりうる。

種々の通信モジュールは、送受信の対象とする周波数帯の電波を送受信可能なアンテナや、通信を制御するマイクロコンピュータである通信マイコン、変復調回路などを備える。なお、携帯デバイス１は、ＤＫＳ３との通信手段として、Ｗｉ－Ｆｉ通信を実施するための通信モジュールであるＷｉ－Ｆｉ通信部を備えていても良い。

携帯制御部１０は、セルラー通信又はＷｉ－Ｆｉ通信にて携帯デバイス１が広域通信ネットワーク９に接続された、いわゆるオンラインの状態にある場合、ＤＫＳ３と種々のデータ通信を行う。

携帯制御部１０は、デバイスプロセッサ１０１がデジタルキーアプリ１０４を実行することで発現される機能部として図３に示すように操作応答部Ｆ１、コード管理部Ｆ２、認証案内部Ｆ３、認証実行部Ｆ４、及び報告部Ｆ５を備える。各種機能部は、デジタルキーアプリ１０４がユーザ（操作者）を認証している状態において有効となりうる。

デジタルキーアプリ１０４によるユーザの認証（ログイン）は、デジタルキーアプリ１０４に対して所定のユーザＩＤとパスワードを入力することによって行われうる。デジタルキーアプリ１０４によるユーザ認証は、生体認証装置１３を用いて実施されても良い。デジタルキーアプリ１０４は、車両用デジタルキーシステムＳｙｓの一部であるため、デジタルキーアプリ１０４にユーザがログインしている状態は、車両用デジタルキーシステムＳｙｓにユーザがログインしている状態に対応する。なお、ログイン状態はログインから所定の有効期限が過ぎた場合に解除され、デジタルキーアプリ１０４はユーザの再認証が必要なログアウト（ログオフ）状態に遷移してもよい。

また、携帯制御部１０は携帯記憶部１０５を備える。携帯記憶部１０５は、デジタルキーアプリ１０４が使用する種々のデータが格納される記憶領域である。携帯記憶部１０５は、メモリ１０２又はストレージ１０３が備える記憶領域を用いて実現される。

操作応答部Ｆ１は、携帯デバイス１に対するユーザの操作に応じた処理を実施する。操作応答部Ｆ１は、ディスプレイ１１に表示するボタンに対するユーザの選択操作や、音声入力データに基づいて、ユーザの指示内容を取得する。例えば操作応答部Ｆ１は、図４に例示する操作開始ボタンＢ１１が押下されたことに応答して、ＤＫＳ３に向けてコード発行要求を送信する。操作開始ボタンＢ１１は、車両Ｈｖの操作（開錠等）を開始するためのボタンである。コード発行要求は、認証コードの送信を要求する無線信号である。ここでの無線信号は、メッセージ、フレーム、パケットなどと読み替える事ができる。コード発行要求が操作開始信号に相当する。

図４は、デジタルキーアプリ１０４のホーム画面の一例である。ホーム画面は、アプリ起動／ログイン後に表示される画面であって、ユーザ操作の待ち受け画面に相当しうる。ホーム画面は、ログイン状態を示すログイン状態通知画像Ｅ１や、車両Ｈｖの現在の状態を示す画面を表示するための状態確認ボタンＢ１２などを含みうる。また、操作応答部Ｆ１は、操作開始ボタンＢ１１の押下に呼応して、図５に例示する操作画面を表示しうる。操作画面は、開錠ボタンＢ２１や、施錠ボタンＢ２２、始動ボタンＢ２３などを備えうる。開錠ボタンＢ２１は、開錠を指示するためのボタンであり、施錠ボタンＢ２２は施錠を指示するためのボタンである。始動ボタンＢ２３は走行用電源をオンに切り替えるためのボタンである。走行用電源とは、車両Ｈｖが走行するための電源であって、車両がエンジン車である場合にはイグニッション電源を指す。車両Ｈｖが電気自動車やハイブリッド車である場合、システムメインリレーが走行用電源に相当する。

図５では車両Ｈｖが現在施錠されてあって、施錠ボタンＢ２２や始動ボタンＢ２３が選択不能な態様で表示している場合を例示している。選択不能な態様とは、例えばグレーアウトやトーンダウンなどを指す。選択不能な選択肢は非表示であっても良い。開錠ボタンＢ２１や、施錠ボタンＢ２２、始動ボタンＢ２３などの制御ボタンＢ２ｘはホーム画面に設けられていても良い。画面構成は適宜変更可能である。操作応答部Ｆ１は、開錠ボタンＢ２１などの制御ボタンＢ２ｘが押下されたことに基づいてコード発行要求を送信しても良い。ホーム画面に制御ボタンＢ２ｘが配置されていても良い。また、ホーム画面には認証コードの発行を要求するためのボタンである認証開始ボタンが用意されていても良い。その場合、操作応答部Ｆ１は認証開始ボタンが押下されたことに基づいてコード発行要求を送信しても良い。

コード管理部Ｆ２は、ＤＫＳ３から受信した認証パッケージを展開（解凍／復号）して認証案内部Ｆ３に提供する。認証パッケージは、少なくとも１つの認証コードと、認証処理の実行手順を示す順序指定データとを含む。本実施形態では一例として、車載システム２は、複数の段階（認証ステップ）を含む、いわゆる多段階認証にてユーザを認証するように構成されている。例えば車載システム２は、３つの認証ステップを含む、３段階認証を実施するように構成されている。認証ステップごとに、認証方式及び認証コードの少なくとも何れか一方は異なる。認証パッケージは、例えば図６に示すように、各認証ステップで使用される認証方式と認証コードとを示すデータセットとして構成されている。認証パッケージは、１つの局面において携帯デバイス１に向けて認証処理の実施手順を指示するデータセットと解することができる。認証パッケージは、携帯デバイス向け命令セットと呼ぶこともできる。

認証案内部Ｆ３は、認証パッケージで指定された手順に従って認証処理の実施にかかる操作を案内する。認証処理の実施ガイドは、画像又は音声を用いて実施されうる。例えば認証処理の実施順序が、ＢＬＥ認証、ＮＦＣ認証、画像認証の順に設定されている場合、図７に示す画像が順に表示される。

認証実行部Ｆ４は、車載システム２との認証コードの送受信にかかる実体的な処理を実施する機能モジュールである。例えば認証実行部Ｆ４は、ＢＬＥ認証を実施するフェーズにおいては、認証コードを収容した送信フレームを生成してＢＬＥ通信部１５に出力する。ＢＬＥ通信で車載システム２に向けて送信する認証コードは、基本的にはＤＫＳ３からＢＬＥ認証用のコードとして受信した認証コードである。

認証実行部Ｆ４は、ＮＦＣ認証を実施するフェーズにおいては、ＮＦＣ認証用にＤＫＳ３から受信した認証コードを収容した送信フレームを生成してＮＦＣ通信部１６に送出する。認証実行部Ｆ４は、画像認証を実施するフェーズにおいては、画像認証用にＤＫＳ３から受信した認証コードをもとに、コード画像を生成し、ディスプレイ１１に表示させる。認証実行部Ｆ４は、音声認証を実施するフェーズにおいては、音声認証用にＤＫＳ３から受信した認証コードをもとに電気的なコードトーン信号を生成してスピーカ１４に送出する。

報告部Ｆ５は、一連の認証処理が備えるステップ毎の照合結果をＤＫＳ３に報告する。また、或る認証方式でのコード照合が失敗した場合には、対応する車載設備（認証センサ）に不具合が生じていることを示すメッセージをＤＫＳ３に送信する。

＜車載システム２の構成及び機能について＞
ここでは車載システム２の構成及び機能について説明する。図８に示すように車載システム２は、認証ＥＣＵ４、セルラー通信部５１、連携ＥＣＵ５２、制御対象５３、ＢＬＥ通信部６１、ＮＦＣ通信部６２、カメラ６３、及びマイク６４を備える。

認証ＥＣＵ４は、セルラー通信部５１、連携ＥＣＵ５２、ＢＬＥ通信部６１、ＮＦＣ通信部６２、カメラ６３、及びマイク６４のそれぞれと車両内ネットワークを介して相互通信可能に接続されている。連携ＥＣＵ５２は制御対象５３と通信可能に接続されている。車両内ネットワークは、車両Ｈｖ内に構築されている通信ネットワークである。車両内ネットワークの規格としては、Controller Area Network（ＣＡＮ：登録商標）や、Ethernet（登録商標）、FlexRay（登録商標）など、多様な規格を採用可能である。なお、セルラー通信部５１などの一部のデバイスは、車両内ネットワークを介さずに、認証ＥＣＵ４と専用線で接続されていてもよい。装置同士の接続形態は適宜変更可能である。

認証ＥＣＵ４は、ＢＬＥ通信部６１等との協働により、ユーザを認証するＥＣＵである。また、認証ＥＣＵ４は、ユーザの認証が成功していることを条件として、ドアの開錠や走行用電源オンなどといった所定の車両制御を連携ＥＣＵ５２との協働により実施する。認証ＥＣＵ４は、走行用電源がオフである間も車載バッテリから供給される電力により、ユーザを認証するための機能を維持する。

当該認証ＥＣＵ４は、コンピュータを用いて実現されている。すなわち、認証ＥＣＵ４は、認証プロセッサ４１、メモリ４２、ストレージ４３、Ｉ／Ｏ４４、及びこれらの構成を接続するバスラインなどを備えている。認証プロセッサ４１は、例えばＣＰＵである。認証プロセッサ４１は、メモリ４２へのアクセスにより、後述する各機能部の機能を実現するための種々の処理を実行する。ストレージ４３には、車両Ｈｖにアクセスするユーザの認証処理にかかるプログラムである車両用認証プログラムが格納されている。Ｉ／Ｏ４４は、他装置と通信するための回路モジュールである。認証ＥＣＵ４の機能の詳細は後述する。認証ＥＣＵ４がロック制御装置及び車載装置に相当する。

セルラー通信部５１はセルラー通信を実施するための通信モジュールである。セルラー通信部５１は、認証ＥＣＵ４から入力されたデータをＤＫＳ３に送信したり、ＤＫＳ３からの受信データを認証ＥＣＵ４に出力したりする。セルラー通信部５１は、無線基地局８からの信号を受信できているか否か、すなわちセルラー圏内に存在するか否かを示す接続状況信号を認証ＥＣＵ４に出力する。セルラー通信部５１は、走行用電源がオフである間も車載バッテリから供給される電力により、無線基地局８からの信号を受信可能な、いわゆる待受状態を維持してもよい。待受状態は、ＤＫＳ３からのＩＰ－ＰＵＳＨ通知を受信可能な状態に相当する。セルラー通信部５１の動作状態は認証ＥＣＵ４によって制御されても良い。なお、車載システム２は、セルラー通信部５１の代わりに、又は、セルラー通信部５１と合わせて、Ｗｉ－Ｆｉ通信用のモジュールを備えていても良い。

連携ＥＣＵ５２は、認証ＥＣＵ４に接続されている任意のＥＣＵである。連携ＥＣＵ５２は複数存在しても良い。連携ＥＣＵ５２は、例えばボディＥＣＵや電源ＥＣＵ、ディスプレイＥＣＵである。ボディＥＣＵは、ドアロックモータなどのボディ系アクチュエータを制御するＥＣＵである。電源ＥＣＵは、車両Ｈｖに搭載された走行用電源のオンオフ状態を制御するＥＣＵである。ディスプレイＥＣＵは、車載ディスプレイの表示を制御するＥＣＵである。

連携ＥＣＵ５２は、認証ＥＣＵ４からの要求に基づき、制御対象５３を制御する。制御対象５３は、連携ＥＣＵ５２が制御可能なアクチュエータ／電装設備である。制御対象５３は、例えば、ドアロックモータや、車載ディスプレイ、スピーカ、車載照明装置、空調装置などであってもよい。なお、ドアロックモータは、各ドアのロック機構の状態（施錠、開錠）を切り替えるためのモータである。車載照明装置は、ヘッドライトや、車内灯、ウェルカムランプなどであってもよい。車載ディスプレイは、車内に配置された液晶／有機ＥＬディスプレイ、車両のサイドウィンドウや路面に画像を投影するプロジェクタなどであってもよい。なお、一部の制御対象５３は、連携ＥＣＵ５２を介さずに、認証ＥＣＵ４が直接的に制御可能に構成されていても良い。

ＢＬＥ通信部６１は、ＢＬＥ通信を実施するための通信モジュールである。ＢＬＥ通信部６１は、例えばセンターコンソールや、車内の天井部、フロント／リアガラスの上端部、Ｃピラーなどに配置されている。ＢＬＥ通信部６１の動作状態は、認証ＥＣＵ４によって制御される。ＢＬＥ通信部６１は、携帯デバイス１からＢＬＥ通信にて認証コードを取得（受信）するためのリーダとしての機能を有している。

ＮＦＣ通信部６２はＮＦＣ通信を実施するための通信モジュールである。ＮＦＣ通信部６２は、携帯デバイス１から認証コードを取得（受信）するためのリーダとしての機能を有している。ＮＦＣ通信部６２としては、例えば車外用の通信モジュールと、車内用のモジュールとが設けられうる。車外用のＮＦＣ通信部６２は、施開錠制御に向けた認証を行うための構成に相当する。車内用のＮＦＣ通信部６２は、走行用電源のオンオフ制御に向けた認証を行うための構成に相当する。車外用のＮＦＣ通信部６２は、運転席側の外側ドアハンドル、サイドミラー、又は、Ａ／Ｂ／Ｃピラーに設けられていてもよい。車室内用のＮＦＣ通信部６２は、インストゥルメントパネルやセンターコンソールなどに設けられていても良い。各ＮＦＣ通信部６２の動作状態は、認証ＥＣＵ４によって制御される。

カメラ６３は、光学カメラである。カメラ６３は、携帯デバイス１に表示されているコード画像を読み取るための装置に相当する。例えば車載システム２は、車外用のカメラ６３と、車内用のカメラ６３とを備えていてもよい。各カメラ６３の動作は認証ＥＣＵ４からの信号に基づき駆動する。なお、車外用のカメラ６３は、例えば運転席側のＢピラーや、ルーフ縁部、サイドミラーなどに配置されている。車内用のカメラ６３は、例えば光軸が運転席のヘッドレストが存在する方向に向いた姿勢にて、ステアリングコラムカバーや、フロントウィンドウの上端部等に設置されている。カメラ６３が取得した画像データは、認証ＥＣＵ４に提供される。

マイク６４は、音を電気信号に変換して認証ＥＣＵ４に提供する装置である。マイク６４は携帯デバイス１が出力したコードトーンを集音し、電気信号（デジタルデータ）に変換して認証ＥＣＵ４に出力する役割を担う。車載システム２は、車外用のマイク６４と、車内用のマイク６４とを備えていてもよい。車外用のマイク６４は、運転席側のＢピラーやサイドミラーなどに配置されうる。車内用のマイク６４は、インストゥルメントパネルやステアリングホイールなど、運転席周りに配置されうる。

ＢＬＥ通信部６１、ＮＦＣ通信部６２、カメラ６３、及びマイク６４は、ユーザを認証するための情報（ここでは認証コード）を取得するための装置として機能しうる。故に本開示では、ＢＬＥ通信部６１、ＮＦＣ通信部６２、カメラ６３、及びマイク６４をまとめて認証センサ６ｘとも記載する。

なお、認証ＥＣＵ４には、上述したセンサ／スイッチ／ＥＣＵ以外にも、多様なデバイスが直接的に又は間接的に接続される。例えば認証ＥＣＵ４には、カーテシスイッチや、シフトポジションセンサなどの出力信号が入力されうる。カーテシスイッチは、ドアの開閉状態を示す信号を出力するスイッチである。シフトポジションセンサは現在のシフトポジションを示す信号を出力するセンサである。

認証ＥＣＵ４は、図９に示すように機能部として、センサ制御部Ｇ１、センサ診断部Ｇ２、通信制御部Ｇ３、認証処理部Ｇ４、及び制御要求部Ｇ５を備える。これらの機能部は例えば認証プロセッサ４１が車両用認証プログラムを実行することによって実現される。

また、認証ＥＣＵ４は、ユーザ認証にかかるデータを記憶するための車両記憶部４５を備える。車両記憶部４５は、ストレージ４３又はメモリ４２が備える記憶領域を用いて実現される。車両記憶部４５は、暗号鍵記憶部４５１を備える。暗号鍵記憶部４５１は、暗号鍵が保存される記憶領域である。本開示に記載の暗号鍵とは、車載システム２がユーザを認証するためのコードであり、認証用暗号鍵と呼ぶことができる。

センサ制御部Ｇ１は、各種認証センサ６ｘの作動（アクティブ／スリープ）を制御するソフトウェアモジュールである。認証センサ６ｘがアクティブな状態とは、認証コードを示す無線信号／画像／音を取得可能な状態に相当する。アクティブな状態は、通常状態と呼ぶこともできる。スリープ状態とは、アクティブな状態に比べて機能が制限された状態、例えば信号の送受信が不能な状態を指す。スリープ状態は、電源がオフに設定された状態であってもよい。スリープ状態は、アクティブな状態よりも消費電力を抑制可能な状態であればよい。スリープ状態は、オフ状態、あるいは、非アクティブ状態と呼ぶこともできる。スリープ状態が節電状態に相当する。認証センサ６ｘを起動させることは、スリープ状態からアクティブな状態に遷移させることに相当する。

センサ制御部Ｇ１は、車両Ｈｖが駐車されている間は、以下で述べる起動条件が充足していない場合には（つまり基本的には）、各認証センサ６ｘをスリープ状態に設定する。認証ＥＣＵ４は、駐車中は最優先センサですら基本的にスリープ状態を維持させる。センサ制御部Ｇ１は、例えばＤＫＳ３から配信される検証パッケージで指定されている手順に従って、認証センサ６ｘを順に起動させる。センサ制御部Ｇ１は、複数の認証ステップのうちの１つ前のステップが完了するごとに、次のステップに対応する認証センサ６ｘを起動させる。なお、起動させる認証センサ６ｘは認証処理部Ｇ４によって選択される。センサ制御部Ｇ１は、認証処理部Ｇ４からの指示に基づいて、スリープ状態の認証センサ６ｘを起動させたり、アクティブな認証センサ６ｘをスリープさせたりする。

センサ診断部Ｇ２は、各認証センサ６ｘと通信することによって、各認証センサ６ｘが正常に機能するかを判断する構成である。正常に機能するか否かは、例えばウォッチドッグタイマ方式や宿題回答方式など、多様な方式で実施される。センサ診断部Ｇ２は、ケーブル断線やコネクタ外れ等により認証センサ６ｘと通信できない場合に、当該認証センサ６ｘに不具合が生じていると判断しても良い。

また、センサ診断部Ｇ２は、認証センサ６ｘの種類に応じた方法で認証センサ６ｘを診断しても良い。例えばセンサ診断部Ｇ２は、カメラ６３から提供される画像の一部の画素が常に一定の値であることに基づいて、カメラ６３の異常を検出しても良い。また、マイク６４から入力されるノイズレベルが所定値以上であることに基づいて、周囲を騒音環境と見なし、マイク６４を用いた認証は一時的に正常に機能しないと判断しても良い。センサが正常に機能しない場合／不具合が生じている場合には、センサ自体は正常であっても、ノイズによって認証処理が失敗しやすい場合を含めることができる。

センサ診断部Ｇ２の診断結果は、メモリ４２に保存され、例えば通信制御部Ｇ３によってＤＫＳ３に送信される。なおセンサ診断部Ｇ２は、定期的に認証センサ６ｘを診断しても良いし、特定のイベント検出時に診断しても良い。特定のイベントとは、走行用電源の電源がオンからオフに、あるいは、オフからオンに切り替わったタイミングなどを採用可能である。センサ診断部Ｇ２が異常検出部に相当する。なお、携帯デバイス１やＤＫＳ３が異常検出部としての機能を備えていても良い。

通信制御部Ｇ３は、セルラー通信部５１の動作（アクティブ／非アクティブ）を制御する。セルラー通信部５１がアクティブな状態とは、例えば待受状態など、無線基地局８と通信するための機能が稼働している状態に相当する。セルラー通信部５１が非アクティブな状態とは、無線基地局８からの信号を受信できない状態であって、受信機能がオフに設定された状態に相当する。セルラー通信部５１が非アクティブな状態は、セルラー通信部５１の電源をオフにした状態であってもよい。通信制御部Ｇ３は、セルラー通信部５１から入力される接続状況信号に基づき、駐車中のセルラー通信部５１の動作の制御方針を変更しても良い。

例えば通信制御部Ｇ３は、車両が駐車された地点がセルラー圏外である場合、それ以降、セルラー通信部５１の電源をオフにしてもよい。駐車地点がセルラー圏外であるか否かは、走行用電源がオンからオフに切り替えられた時点において最後に入力された接続状況信号に基づいて特定可能である。走行用電源がオフの状態が駐車されている状態に相当する。

一方、通信制御部Ｇ３は、駐車地点がセルラー圏内である場合には、駐車中もセルラー通信部５１を待受状態で作動させ続ける。他の態様として、通信制御部Ｇ３は、車両が駐車された地点がセルラー圏内である場合、セルラー通信部５１を低消費電力モードで動作させてもよい。低消費電力モードは、間欠的に（一時的に）起動させ、無線基地局８に接続させるモードである。

間欠的にセルラー通信部５１をアクティブ化することで、駐車中においてもＤＫＳ３から検証パッケージを受信可能となる。セルラー通信部５１をアクティブ状態に復帰させることは、ＤＫＳ３に、車両Ｈｖ向けのデータ（メッセージ）がないかを問い合わせることに対応する。

低消費電力モードにおいてセルラー通信部５１がアクティブ状態に復帰する間隔である復帰間隔は１秒や３秒、１０秒などとすることができる。復帰間隔は、走行用電源がオンからオフに設定されてからの経過時間である駐車経過時間に応じて変更されても良い。通信制御部Ｇ３は、駐車経過時間が長くなるほど復帰間隔を長くしても良い。例えば通信制御部Ｇ３は、駐車経過時間が所定値（３０分）未満である場合には復帰間隔を１秒や２秒、３秒に設定する一方、駐車経過時間が所定値以上である場合には復帰間隔を５秒や１０秒、１５秒などに設定しても良い。

さらに通信制御部Ｇ３は、バッテリ電圧に応じて復帰間隔を変更してもよい。駐車経過時間が長くなるほどバッテリ電圧の値も低下していくため、バッテリ電圧値を駐車経過時間の指標として代用可能である。例えば通信制御部Ｇ３は、バッテリ電圧が所定値（１２．０Ｖ）以上である場合には復帰間隔を１秒や２秒、３秒に設定する一方、バッテリ電圧が所定値未満である場合には復帰間隔を５秒や１０秒、１５秒などに設定しても良い。

通信制御部Ｇ３は、セルラー通信部５１との協働により、ＤＫＳ３とのデータ通信にかかる処理も実施する。通信制御部Ｇ３は、例えば各認証センサ６ｘが正常に動作するか、不具合が生じているかを示す通信パケットであるセンサ状態報告をＤＫＳ３に送信してもよい。また、通信制御部Ｇ３は、認証処理の結果を示す通信パケットである認証結果報告をＤＫＳ３に送信してもよい。さらに、通信制御部Ｇ３は、走行用電源がオン／オフに切り替わった場合に、その旨を示す信号をＤＫＳ３に送信してもよい。その他、通信制御部Ｇ３はセルラー通信部５１との協働により、現在位置や、室内温度、バッテリ残量／ガソリン残量などをＤＫＳ３に送信しても良い。通信制御部Ｇ３は、車両Ｈｖの現在の状況（いわゆる現況）を示すデータをＤＫＳ３に送信しうる。

また、通信制御部Ｇ３はＤＫＳ３から検証パッケージを受信して認証処理部Ｇ４に送信する。検証パッケージは、認証処理の実行手順を示す順序指定データと、各認証ステップで使用される認証コード／あるいは当該認証コードのもととなった検証コードを含む。通信制御部Ｇ３はＤＫＳ３から暗号鍵を受信して暗号鍵記憶部４５１に保存する処理も実施する。

認証処理部Ｇ４は、検証パッケージで指定される手順にて多段階認証を実施する。認証処理部Ｇ４は、サブ機能部として、復号部Ｇ４１と照合部Ｇ４２を備える。復号部Ｇ４１は、認証センサ６ｘを介して取得した認証コードである受信コードを、暗号鍵記憶部４５１に保存されている暗号鍵を用いて復号する構成である。照合部Ｇ４２は、受信コードを復号部Ｇ４１が復号してなる復号済み受信コードと、ＤＫＳ３から取得している検証コードとを比較する構成である。以下では復号済み受信コードを受信コードとも記載する。受信コードと検証コードが一致しない場合、認証処理部Ｇ４は認証失敗と判断する。受信コードと検証コードとの比較（コード照合）は、認証ステップ毎に実施される。認証処理部Ｇ４は、すべてのステップでのコード照合が成功したことに基づいて、ユーザ認証成功と判断する。認証処理部Ｇ４の作動の詳細は別途後述する。

制御要求部Ｇ５は、ユーザの認証が成功したことに基づいて、ユーザ操作に応じた車両制御を連携ＥＣＵ５２と協働して実施する構成である。例えばユーザから開錠ボタンＢ２１が押下されたことを示す信号をセルラー通信又はＢＬＥ通信で受信した場合には、連携ＥＣＵ５２としてのボディＥＣＵに対してドアを開錠するように要求する。ボディＥＣＵは認証ＥＣＵ４からの要求に基づきドアロックモータを制御してドアをアンロック状態に切り替える。施錠や走行用電源のオンオフ切り替え、空調機能オンなどの他の車両制御も同様に、制御要求部Ｇ５は、連携ＥＣＵ５２との協働により実施しうる。なお、他の実施形態としては、認証ＥＣＵ４自身が直接的に制御対象５３を制御することで、ユーザ操作に応じた制御を実施可能に構成されていても良い。

＜ＤＫＳの構成及び機能について＞
ここではＤＫＳ３の構成及び機能について説明する。ＤＫＳ３は図１０に示すように、データ処理部３０、ネットワーク接続装置３１、及び車両ＤＢ３２を備える。ＤＢは、データベース（Database）の略である。

データ処理部３０は、ネットワーク接続装置３１から入力される信号／データに基づき多様な処理を実行する。データ処理部３０はネットワーク接続装置３１及び車両ＤＢ３２のそれぞれと相互通信可能に接続されている。データ処理部３０は、サーバプロセッサ３０１、メモリ３０２、ストレージ３０３を用いて構成されている。サーバプロセッサ３０１は、各種演算処理を実行する演算コアであって、例えばＣＰＵやＧＰＵなどを用いて実現されている。ストレージ３０３には、車両管理プログラムが格納されている。サーバプロセッサ３０１が当該車両管理プログラムを実行することにより、後述する種々の機能部が実現される。なお、サーバプロセッサ３０１が車両管理プログラムを実行することは、当該プログラムに対応する方法である車両管理方法が実行されることに対応する。

ネットワーク接続装置３１は、広域通信ネットワーク９に接続するための通信モジュールである。ネットワーク接続装置３１は、例えば光ファイバなどを用いて広域通信ネットワーク９を構成する通信設備と相互通信可能に構成されている。これにより、携帯デバイス１がオンライン状態である場合、ＤＫＳ３は携帯デバイス１とデータ通信可能となる。同様に、車載システム２がオンライン状態にある場合、ＤＫＳ３は車載システム２ともデータ通信を実施する。

車両ＤＢ３２は、車両用デジタルキーシステムＳｙｓが管理する車両についての情報が登録されるデータベースであって、車載システム２についての情報が保存されている。車載システム２についての情報には、例えば、車両Ｈｖの車両ＩＤや、搭載センサデータ、ステータスデータ、ユーザデータ、暗号鍵などが含まれる。

車両ＩＤは、車両Ｈｖに割り当てられた、車両ごとに固有の識別番号である。搭載センサデータは、車両Ｈｖが備える認証センサ６ｘの組み合わせ、換言すれば、車載システム２／認証ＥＣＵ４が実施可能な認証方式の組み合わせを示すデータである。なお、車載システム２は認証ＥＣＵ４を中心とするシステムである。以下の説明における車載システム２との記載は認証ＥＣＵ４に適宜読み替える事ができる。

ステータスデータは、車両Ｈｖがセルラー圏内にあるか否かに関する情報を含む。また、ステータスデータは、車両Ｈｖが備える認証センサ６ｘの状態、すなわち正常に機能するか、不具合が生じているかを示すセンサ状態情報を含む。ステータスデータには、車載システム２が実施可能な認証方式ごとの利用可否情報を含む。認証方式の利用可否情報は、当該認証方式を実際に車載システム２が利用（実施）可能か否かを示すデータであって、センサ状態情報と連動して更新されうる。

その他、ステータスデータは、駐車経過時間や、車載システム２が次回オンライン状態となるまでの残り時間、現在位置、室内温度、バッテリ残量／ガソリン残量などを含んでいても良い。ステータスデータを構成する種々の項目の値は以降に説明するように、認証ＥＣＵ４又は携帯デバイス１との通信によって随時更新されうる。また、車両ＤＢ３２には、各種情報の更新日時等の情報も保存されうる。

ユーザデータは、車両Ｈｖのユーザについての情報であって、例えばユーザＩＤや、パスワード、連絡先としての電話番号、メールアドレス、デバイスＩＤなどを含む。ユーザＩＤとパスワードは、ユーザを認証するためのデータセットである。ユーザＩＤとパスワードは、例えばアカウント作成時にユーザによって登録される。

暗号鍵は、例えばアカウント作成時に生成され、暗号鍵記憶部３２１に保存される。暗号鍵記憶部３２１は、車両ＤＢ３２において暗号鍵が保存される領域である。また、ＤＫＳ３は、生成した暗号鍵をセルラー通信により車載システム２に配信する。これにより、１人のユーザ／１つの携帯デバイス１に対応する同一の暗号鍵がＤＫＳ３と認証ＥＣＵ４のそれぞれに保管されることとなる。なお、ＤＫＳ３から認証ＥＣＵ４への暗号鍵の送付手段は、セルラー通信に限定されない。ＤＫＳ３は、携帯デバイス１を介して暗号鍵を認証ＥＣＵ４に配信しても良い。認証ＥＣＵ４への暗号鍵の登録は、ディーラショップ等で取り扱われる、専用の登録ツールを用いて実施されても良い。

車両ＤＢ３２は書き換え可能な不揮発性の記憶媒体を用いて実現されている。また、車両ＤＢ３２はサーバプロセッサ３０１によるデータの書き込み、読出、削除等が実施可能に構成されている。なお、車両ＤＢ３２は、ＤＫＳ３とは物理的に独立した別のサーバが備えていても良い。また、ＤＫＳ３は、複数のサーバに分けて実施されても良い。サーバ毎の役割分担／機能配置は適宜変更可能である。

データ処理部３０は、機能部として図１１に示すように、ステータス管理部Ｈ１と認証要求応答部Ｈ２を備える。

ステータス管理部Ｈ１は、車載システム２との通信により、車載システム２のステータスデータを更新する。例えばステータス管理部Ｈ１は、車載システム２からの報告に基づき走行用電源の状態（オン／オフ）を示すデータを更新する。また、ステータス管理部Ｈ１は、車載システム２からの報告に基づき、認証センサ６ｘごとの状態（正常／異常）を示すセンサ状態情報を更新する。例えば車載システム２からカメラ６３の不具合が報告された場合、カメラ６３を用いた認証方式は利用不可に設定する。ステータス管理部Ｈ１は、不具合が報告されていた認証センサ６ｘが正常に機能することの報告を車載システム２から受信した場合には、当該認証センサ６ｘを用いた認証方式を利用可能に設定し直す。このようにステータス管理部Ｈ１は、車載システム２が備える認証センサ６ｘの状態に応じて、車載システム２が対応している認証方式のうち、利用可能な認証方式と利用不可な認証方式を管理する役割を担う。なお、利用可否情報が利用可能に設定されている認証方式が使用可能方式に、利用可否情報が利用不可に設定されている認証方式が使用不可方式に相当する。

また、ステータス管理部Ｈ１は、車両Ｈｖがセルラー圏内に存在するか否かを判断し、その結果を車両ＤＢ３２に保存する。例えばＤＫＳ３は定期的に車載システム２と疎通確認を実施する。疎通確認の実施間隔は１０秒や３０秒、１分などとすることができる。ステータス管理部Ｈ１は、一定時間（例えば９０秒）以上、車載システム２と通信不能である場合に、車載システム２はセルラー圏外に位置していると判定する。なお、同様の手法によりステータス管理部Ｈ１は、携帯デバイス１がセルラー圏内に存在するか否かを把握しても良い。

認証要求応答部Ｈ２は、携帯デバイス１からコード発行要求を受信したことに基づいて認証パッケージ及び検証パッケージを生成して各装置に送信する処理を実行する機能ブロックである。認証要求応答部Ｈ２は、サブ機能ブロックとして、選択部Ｈ２１、順序決定部Ｈ２２、検証コード生成部Ｈ２３、暗号化部Ｈ２４、及び配信処理部Ｈ２５を備える。選択部Ｈ２１は、利用可能な認証方式のうち、実際の認証処理に使用する認証方式を選択する。

前述の通り、車載システム２は一例として、３段階認証によってユーザを認証するように構成されている。この場合、選択部Ｈ２１は、利用可能な認証方式の中から、認証方式ごとに予め設定されている優先度に基づいて、３段階認証に使用する認証方式である採用方式を３つ選択する。認証方式ごとの優先度は、ユーザによって設定変更可能に構成されていても良い。本開示では優先度が最も高い最優先センサとも称する。最優先センサが第１認証センサに相当する。また、優先度が２番目に高い認証センサ６ｘを準優先センサとも称する。準優先センサが第２認証センサに相当する。なお、採用方式以外の認証方式が不採用方式に相当する。仮に３段階認証の内容がＢＬＥ認証、ＮＦＣ認証、及び画像認証である場合、音声認証が不採用方式となりうる。

なお、認証ステップ数に対し、利用可能な認証方式の数が不足する場合、選択部Ｈ２１は、１つの認証方式を複数回選択しても良い。例えば利用可能な認証方式がＢＬＥ認証と画像認証しかない場合には、ＢＬＥ認証又は画像認証のどちらかを２回選択しても良い。

順序決定部Ｈ２２は、選択部Ｈ２１にて選択された認証方式の実行順を決定する機能部である。実施順は、前述の優先度に従って決定されても良い。選択部Ｈ２１と順序決定部Ｈ２２が協働することにより、多段階認証の内容が決定される。なお順序決定部Ｈ２２は、選択部Ｈ２１と統合されていても良い。

検証コード生成部Ｈ２３は、各認証ステップで使用される検証コードを発行する。すなわち、検証コード生成部Ｈ２３は、第１認証ステップ用の検証コードと、第２認証ステップ用の検証コードと、第３認証ステップ用の検証コードと、をそれぞれ作成する。検証コードは、発行ごとに異なる値である。検証コードは、例えば発行時点でのエポック秒や、発行回数のカウント値、又は乱数とすることができる。さらに、検証コードは、所定の初期値から発行回数を減算した値であってもよい。検証コードは、認証コードのシードに相当する。

暗号化部Ｈ２４は、検証コード生成部Ｈ２３が生成した検証コードを暗号鍵で暗号化する構成である。検証コードを暗号鍵で暗号化したものが認証コードに相当する。認証コード及び検証コードは、１回使用されると破棄される、いわゆる使い捨てのキーコード（ワンタイムキー）に相当する。

配信処理部Ｈ２５は、以上のサブ機能部が決定／作成したデータをもとに、認証パッケージ及び検証パッケージをそれぞれ作成する。そして、認証パッケージを携帯デバイス１に配信するとともに、検証パッケージを車載システム２に配信する。検証パッケージが、命令セット、特に車両向け命令セットに相当する。配信処理部Ｈ２５が送信処理部に相当する。

その他、データ処理部３０は、ネットワーク接続装置３１から入力されるデータに基づいてユーザの新規登録、削除、登録内容の変更を実施する機能を備えうる。ユーザの新規登録／削除とはアカウントの発行／削除に対応する。新規登録、削除、登録内容の変更にかかるユーザ操作／指示は、例えば携帯デバイス１及びネットワーク接続装置３１を介して取得する。

＜車両開錠に向けた各デバイスの作動について＞
ここではユーザがデジタルキーアプリ１０４を用いて車両Ｈｖを開錠する際の携帯デバイス１、ＤＫＳ３、及び認証ＥＣＵ４の作動について図１２を用いて説明する。なお、以下のステップの実施主体としての携帯デバイス１との記載は適宜、携帯制御部１０／デジタルキーアプリ１０４／操作応答部Ｆ１／コード管理部Ｆ２／認証案内部Ｆ３／認証実行部Ｆ４／報告部Ｆ５と読み替え可能である。また、ＤＫＳ３との記載は、データ処理部３０／認証要求応答部Ｈ２／選択部Ｈ２１／順序決定部Ｈ２２／検証コード生成部Ｈ２３／暗号化部Ｈ２４／配信処理部Ｈ２５に読み替え可能である。さらに、認証ＥＣＵ４との記載は、認証プロセッサ４１／センサ制御部Ｇ１／センサ診断部Ｇ２／通信制御部Ｇ３／認証処理部Ｇ４／制御要求部Ｇ５と読み替え可能である。

デジタルキーアプリ１０４を用いた開錠に向けたシーケンスは、携帯デバイス１に対するユーザ操作をトリガとして開始される。ユーザが携帯デバイス１を操作開始ボタンＢ１１を押下すると、携帯デバイス１がＤＫＳ３に向けてコード発行要求を送信する（Ｓ１１）。当該ステップＳ１１は、携帯デバイス１がユーザ操作に基づいてＤＫＳ３に向けてコード発行要求を送信するステップに相当する。

ＤＫＳ３は、携帯デバイス１からのコード発行要求を受信したことに基づいて、認証パッケージ及び検証パッケージの生成にかかるシーケンスを実行する。すなわち、認証方式の選択（Ｓ１２）、実施順の決定（Ｓ１３）、各認証ステップ用の検証コードの生成（Ｓ１４）を実施する。ステップＳ１４で生成された認証ステップごとの検証コードは、暗号化部Ｈ２４によって暗号化され、認証コードとなる。

ステップＳ１５は、以上の工程で決定された各認証ステップの内容と認証コードを含むデータセットを認証パッケージとして携帯デバイス１に送信するステップである。携帯デバイス１は、認証パッケージを受信したことに基づいて、認証ガイドを開始する。例えば１段階目の認証方式に対応する案内画面を表示する。

ステップＳ１６は、各認証ステップの認証方式と検証コードとを含むデータセットである検証パッケージを生成して車両Ｈｖに向けて送信するステップである。なお、車載システム２は駐車中もセルラー通信部５１を待ち受け状態で稼働させ、オンライン状態を維持する。故に、車載システム２は車両Ｈｖが駐車されている待機中も、ＤＫＳ３からの検証パッケージを受信可能である。なお、前述の通り、車載システム２は、待機中、間欠的にオンライン状態となるように設定されていても良い。その場合、車載システム２はオンライン状態になったタイミングで、ＤＫＳ３が発行した検証パッケージを受信しうる。

認証ＥＣＵ４は、検証パッケージを受信すると、当該パッケージに示されるデータに基づいて認証処理（多段階認証）にかかるシーケンスを開始する。ここでは認証ＥＣＵ４が多段階の認証処理として、ＢＬＥ認証、ＮＦＣ認証、及び画像認証を実施するものとするが、認証処理の内容は状況や設定に応じて適宜変更されうる。本開示では、ｎ段階目（ｎは自然数）の認証ステップをｎ次認証とも記載する。例えば１次認証とは１段階目の認証処理を指す。また、本開示ではｎ次認証に対応する認証センサ６ｘを第ｎセンサとも記載する。例えば第１センサとは１次認証に対応する認証センサ６ｘを指す。或る認証方式に対応する認証センサ６ｘとは、携帯デバイス１から送信／表示／音声出力される認証コードを、受信／読み取り／聞き取りするためのデバイスを指す。

認証ＥＣＵ４は、１次認証としてＢＬＥ認証が設定されている場合、認証パッケージの受信をトリガとして、ＢＬＥ通信部６１をアクティブ状態に移行させ（Ｓ１７）、ＢＬＥ認証を実施する（ステップＳ１８）。ＢＬＥ認証は、例えば図１３に示すように、ステップＳ４０～Ｓ４４を含みうる。ステップＳ４０は、携帯デバイス１とＢＬＥ通信リンクを確立するステップである。通信リンクを確立するための詳細なシーケンスはＢＬＥ規格に準拠して実施されうる。

Ｓ４１は、認証ＥＣＵ４が携帯デバイス１に向けて認証コードの送信を要求するＢＬＥ信号を送信するステップである。携帯デバイス１は、認証ＥＣＵ４からのコード要求を受信したことに基づいて、ＤＫＳ３から受信したＢＬＥ認証用の認証コードを認証ＥＣＵ４に向けて返送する（Ｓ４２）。

認証ＥＣＵ４は、携帯デバイス１から認証コードを受信すると、当該コードをローカル保存されている暗号鍵を用いて復号し、受信コードを生成する（Ｓ４３）。そして照合部Ｇ４２が受信コードを、ＤＫＳ３から受信したＢＬＥ認証用の検証コードと比較する（Ｓ４４）。当該コード比較（照合）処理の結果として２つのコードが一致する場合、認証処理部Ｇ４は１次認証が成功したとみなす。一方、両者が不一致となった場合、認証処理部Ｇ４は認証失敗と判定する。当該判定結果はメモリ４２などに保存されて、以降の処理で参照される。このようにＢＬＥ認証は、コード要求ステップ（Ｓ４１）と、コード返送ステップ（Ｓ４２）と、コード照合ステップ（Ｓ４４）とを含みうる。認証ＥＣＵ４は、ＢＬＥ認証処理が完了するとＢＬＥ通信部６１をスリープ状態に移行させる（ステップＳ１９）。

ステップＳ２０は、１次認証の結果をＤＫＳ３及び携帯デバイス１に通知するステップである。携帯デバイス１への通知は、セルラー通信で実施されても良い。また、携帯デバイス１は、ＤＫＳ３から１次認証の結果を取得しても良い。ＤＫＳ３は、携帯デバイス１から１次認証の結果を受信してもよい。

ＤＫＳ３は、認証ＥＣＵ４からの通知を受けて１次認証にかかる認証センサ６ｘ（ここではＢＬＥ通信部６１）が正常に動作していることを確認した日時を更新する（Ｓ２１）。なお、ＤＫＳ３は、ＢＬＥ認証が失敗したことを示す通知を受信した場合には、ＢＬＥ通信部６１に不具合が生じている可能性があると判断し、所定期間、ＢＬＥ認証の利用可否情報を利用不能に設定する。利用不能の設定を維持する期間は例えば５分や１０分、３０分などとすることができる。

また、携帯デバイス１は、認証ＥＣＵ４からの通知を受けて表示画面を制御する（Ｓ２２）。例えば認証成功の通知を受信した場合には２次認証用のガイド画像を表示する。また、携帯デバイス１は、ＤＫＳ３／認証ＥＣＵ４から認証失敗の通知を受信した場合には、認証が失敗したことを示す画像を表示する。なお、認証処理が失敗した場合、携帯デバイス１がＤＫＳ３に向けて、１次認証に使用したセンサ（例えばＢＬＥ通信部）に不具合があることを通知しても良い。

認証ＥＣＵ４は、１次認証（ＢＬＥ認証）が失敗した場合、例えば図示しないスピーカから認証が失敗したことを示す通知音を出力した後にスタンバイ状態に戻る。スタンバイ状態は、検証パッケージを受信する前の状態である。

認証ＥＣＵ４は、１次認証（ＢＬＥ認証）が成功した場合、２次認証にかかるシーケンスを実施する。例えば２次認証としてＮＦＣ認証が設定されている場合、認証ＥＣＵ４はＮＦＣ通信部６２を起動させ（Ｓ２３）、ＮＦＣ認証を実施する（Ｓ２４）。ＮＦＣ認証も、ＢＬＥ認証と同様に、コード要求ステップと、コード返送ステップと、コード照合ステップとを含みうる。認証ＥＣＵ４は、ＮＦＣ認証処理が完了するとＮＦＣ通信部６２をスリープ状態に移行させる（Ｓ２５）。

ステップＳ２６は、２次認証（ＮＦＣ認証）の結果をＤＫＳ３及び携帯デバイス１に通知するステップである。ＤＫＳ３は、認証ＥＣＵ４からの通知を受けて２次認証にかかる認証センサ６ｘ（ＮＦＣ通信部６２）が正常に動作していることを確認した日時を更新する（Ｓ２７）。ＤＫＳ３は、ＮＦＣ認証が失敗したことを示す通知を受信した場合には、ＮＦＣ通信部６２に不具合が生じている可能性があると判断し、所定期間、ＮＦＣ認証の利用可否情報を利用不能に設定する。

また、携帯デバイス１は、認証ＥＣＵ４からの２次認証の結果通知を受けて表示画面を制御する（Ｓ２８）。例えば認証成功の通知を受信した場合には３次認証用のガイド画像を表示する。また、認証失敗通知を受信した場合には、認証が失敗したことを示す画像を表示する。認証ＥＣＵ４は、２次認証が失敗した場合、１次認証が失敗した場合と同様に、スピーカから認証が失敗したことを示す通知音を出力した後にスタンバイ状態に戻る。

認証ＥＣＵ４は、２次認証が成功した場合、３次認証にかかるシーケンスを実施する。例えば３次認証として画像認証が設定されている場合、認証ＥＣＵ４はカメラ６３を起動させ（Ｓ２９）、画像認証を実施する（Ｓ３０）。画像認証は、カメラ画像からコード画像を抽出するステップと、コード画像を解析することで認証コードを取得するステップと、当該認証コードを復号してなる受信コードを検証コードと照合するステップとを含む。なお、カメラ６３を起動してから所定時間（例えば３０秒）が経過してもコード画像を読み取れなかった場合、認証ＥＣＵ４は画像認証が失敗したと判断してもよい。認証ＥＣＵ４は、画像認証が完了するとカメラ６３をスリープ状態に移行させる（Ｓ３１）。

Ｓ３２は、３次認証（画像認証）の結果をＤＫＳ３及び携帯デバイス１に通知するステップである。ＤＫＳ３は、認証ＥＣＵ４からの通知を受けて３次認証にかかる認証センサ６ｘ（カメラ６３）が正常に動作していることを確認した日時を更新する（Ｓ３３）。ＤＫＳ３は、画像認証が失敗したことを示す通知を受信した場合には、カメラ６３に不具合が生じている可能性があると判断し、所定期間、画像認証の利用可否情報を利用不能に設定してもよい。

また、携帯デバイス１は、認証ＥＣＵ４からの３次認証の結果通知を受けて表示画面を制御する（Ｓ３４）。例えば３次認証成功の通知を受信した場合には、多段階認証が成功したことを示す画像を表示してもよい。また、携帯デバイス１は、認証失敗通知を受信した場合には、認証が失敗したことを示す画像を表示する。認証ＥＣＵ４は、３次認証が失敗した場合、１次認証が失敗した場合と同様に、スピーカから認証が失敗したことを示す通知音を出力した後にスタンバイ状態に戻る。

なお、１次／２次／３次認証の内容は、音声認証であっても良い。仮に３次認証が音声認証に設定されている場合、認証ＥＣＵ４は、２次認証が成功したことに基づいてマイク６４を起動させた後に、音声認証を実施し、マイク６４をオフにする。

認証ＥＣＵ４は、各認証ステップがすべて成功したことに基づいて、ユーザ操作に応じた制御（ここでは開錠）を実施する（Ｓ３５）。開錠完了後、認証ＥＣＵ４は、ＤＫＳ３や携帯デバイス１に向けて指定された制御が完了したことを通知する（Ｓ３６）。当該通知に基づいてＤＫＳ３は車両Ｈｖのステータス情報を更新するとともに、携帯デバイス１は表示画面を切り替える。例えばアンロックが成功したことを示す画像をディスプレイ１１に表示する。

また、携帯デバイス１は、認証ＥＣＵ４又はＤＫＳ３からの通知に基づき、車両Ｈｖがアンロックされたことを登録するためのボタンである開錠完了ボタンをディスプレイ１１に表示しても良い。ユーザは、実際に車両Ｈｖがアンロックできていることを確認した場合に開錠確認ボタンを押下しうる。携帯デバイス１は開錠確認ボタンが押下されたことに基づいて、ＤＫＳ３に確認済み信号を送信しても良い。確認済み信号は、車両Ｈｖが開錠されたことをユーザが確認したことをＤＫＳ３に通知する信号である。ＤＫＳ３は、確認済み信号を受信したことに基づいて、車両Ｈｖが開錠状態にあるとの登録を確定してもよい。

＜認証失敗時の補足＞
携帯デバイス１は、或る認証ステップでの照合が失敗したことに基づいてリトライ要求を送信してもよい。リトライ要求は、失敗方式を示す情報を含むコード発行要求に相当する。失敗方式は、認証エラーが生じた認証ステップに対応する認証方式である。リトライ要求はエラーメッセージに相当する。

携帯デバイス１は、リトライ要求を多段階認証の途中で認証エラーが生じたことに基づいて自動的に送信しても良いし、ユーザ操作に基づいて送信しても良い。例えば携帯デバイス１は、多段階認証の途中で認証エラーが生じたことに基づいて、リトライ要求を送信するためのリトライボタンＢ４１を、図１４に例示するようにディスプレイ１１に表示しても良い。携帯デバイス１は、当該リトライボタンＢ４１が押下されたことに基づいて、リトライ要求を送信しても良い。

ＤＫＳ３はリトライ要求を受信した場合、リトライ要求に示されている失敗方式以外を用いない、新たな認証手順を決定する。具体的には、ＤＫＳ３は、失敗方式を一時的に利用不可に設定した上で、利用可能な認証方式の中からステップごとの認証方式を選択することにより、新規の３段階認証手順を決定する。

図１５は上記作動に対応する処理フローを示す。図１５に示すステップＳ５１は、携帯デバイス１／認証ＥＣＵ４が、或るステップでの認証が成功したか否かを判定するステップであり、ステップＳ５２は携帯デバイス１が、認証エラー発生に基づいてリトライ要求をＤＫＳ３に送信するステップである。ステップＳ５３はＤＫＳ３が、失敗方式に対応する認証センサ６ｘの利用可否状態を利用不可に登録するステップである。本開示では利用不可に設定されている認証方式に対応する認証センサ６ｘを不具合センサとも称する。逆に、利用可能な認証方式に対応する認証センサ６ｘを健全センサとも称する。ステップＳ５４はＤＫＳ３が、利用可能な認証方式／健全センサを用いた多段階認証の手順を再決定し、認証パッケージ及び検証パッケージを再配信するステップである。

なお、利用不可に設定されている認証方式／認証センサ６ｘの数によっては、利用可能な認証方式が１つだけとなることも起こりうる。ＤＫＳ３は、利用可能な認証方式が１つだけであっても、当該認証方式を３回行う形式で３段階認証を行ってもよい。多段階認証は、同じ認証方式を複数回実施するものであってもよい。その場合には認証ステップごとに検証コード及び認証コードは異なっていることが好ましい。

＜上記構成の効果＞
上記の構成によれば、認証ＥＣＵ４は複数種類の認証センサ６ｘのうち、次に実施予定の認証方式に対応する認証センサ６ｘのみを起動させ、その他の認証センサ６ｘはスリープさせる。また、デジタルキーアプリ１０４が制御実行にかかるユーザ操作を受け付けていない状態においては各認証センサ６ｘをスリープさせる。このようにユーザの認証に必要な認証センサ６ｘを限定的にアクティブにする構成によれば、各認証センサ６ｘを常に稼働させる構成に比べて消費電力を抑制できる。

また、２段階目以降の認証ステップで使用する認証センサ６ｘは１次認証が成功した場合に起動させる。１次認証が失敗した場合には２次認証用のセンサや３次認証用のセンサは起動されない。当該構成によればより一層節電可能となる。

さらに、上記構成によれば複数の認証センサ６ｘを順番に用いてユーザを認証可能となる。多段階認証にてユーザの正当性／正真性を検証する構成によれば、車両Ｈｖのセキュリティを高めることができる。

さらに上記構成においては、ＤＫＳ３が認証センサ６ｘのステータスを管理し、利用可能な認証センサ６ｘを用いて多段階認証に使用する方式／センサを選択する。当該構成によれば、使用不能な認証センサ６ｘを用いた認証方式の実施を指示するおそれを低減できる。ひいてはユーザの利便性を損なうおそれを低減できる。

上記のＤＫＳ３は、利用不能な認証センサ６ｘの情報を、認証処理の結果に基づいて更新しうる。例えばＤＫＳ３は、携帯デバイス１から受信するデータに基づいて利用不能な認証センサ６ｘ／認証方式を登録する。当該構成によればセンサ診断部Ｇ２では検出困難な理由による不具合が生じていることをＤＫＳ３は検知可能となる。センサ診断部Ｇ２では検出困難な不具合とは、例えばアンテナの破損や、ペアリングの不成立、プロトコルの不整合、レンズの汚損、振動板の損傷などが挙げられる。

＜車両がセルラー圏外に存在する場合の作動についての補足＞
認証ＥＣＵ４には、セルラー圏外に車両Ｈｖが存在するときのための（つまり圏外用）の認証手順及び検証コードが事前に登録されていても良い。便宜上、事前設定されている圏外用の認証手順を圏外用認証手順と称する。

圏外用認証手順は、所定のタイミングでＤＫＳ３により設定される。例えばＤＫＳ３は、車載システム２がオンライン状態である状況において、利用可能な認証方式の組み合わせに変更が生じたタイミングで圏外用認証手順を再設計し、圏外用検証パッケージとして認証ＥＣＵ４に配信する。圏外用検証パッケージは、認証ステップごとの検証コードを含む。圏外用検証パッケージは、車両記憶部４５などに保存されうる。

また、認証ＥＣＵ４は、セルラー圏外に存在するか否かで図１６に示すように作動を変更しても良い。すなわち、認証ＥＣＵ４は、車両Ｈｖがセルラー圏内に駐車されている場合には（Ｓ６１ ＹＥＳ）、ＤＫＳ３からの指示、すなわち検証パッケージの受信を待機する（Ｓ６９）。つまり、車両Ｈｖがセルラー圏内に駐車されている場合、認証ＥＣＵ４はＤＫＳ３から指示を受信するまで、各認証センサ６ｘをスリープ状態に設定し続ける。

一方、認証ＥＣＵ４は、ＤＫＳ３からの車両Ｈｖがセルラー圏外に駐車されている場合（Ｓ６１ ＮＯ）圏外用認証手順の第１センサを間欠的に起動させる（Ｓ６２）。第１センサの起動周期は、１０秒や３０秒、１分などに設定されうる。

そして、第１センサを起動させた結果として携帯デバイス１から認証コードを取得し、１次認証が成功した場合には（Ｓ６３ ＹＥＳ）、圏外用認証手順に従って２次認証、３次認証にかかる処理を順に実行する（Ｓ６４）。

ＤＫＳ３は、車両Ｈｖがセルラー圏外に存在する状況において携帯デバイス１からコード発行要求を受信した場合には（図１７ Ｓ７１ ＮＯ）、圏外用認証手順に対応する認証パッケージである圏外用パッケージを生成して携帯デバイス１に配信する（Ｓ７２）。また、携帯デバイス１からコード発行要求を受信した際に、車両Ｈｖがセルラー圏内に存在する場合には（Ｓ７１ ＹＥＳ）、車両ＤＢ３２に登録されている認証方式ごとの利用可否情報に応じた認証パッケージを生成して携帯デバイス１に配信する（Ｓ７２）。携帯デバイス１は、受信した認証パッケージで指定されている認証手順に応じた操作案内画像を表示しうる。なお、圏外用パッケージは、非常用認証データセットあるいは非常用デバイス向け命令セットと呼ぶこともできる。ここでの非常とは、車載システム２がセルラー圏外にある場合を指す。圏外用との記載は非常用と読み換え可能である。

上記構成は次の課題に着眼して創出されたものである。すなわち、車両Ｈｖがセルラー圏外にある場合、認証ＥＣＵ４はＤＫＳ３からの検証パッケージを受信できない。そのため、認証ＥＣＵ４は、検証パッケージの受信をトリガとする第１センサの起動を実施できない。そのような課題に対し、上記構成によれば、セルラー圏外に車両Ｈｖが存在する場合、第１センサが間欠的に動作し、１次認証が試行される。よって、無線設備がない地下駐車場やトンネル内などのセルラー圏外に車両Ｈｖが存在する場合であっても、ユーザはデジタルキーアプリ１０４を用いて車両Ｈｖにアクセス可能となる。

ところで、ユーザ、ひいては携帯デバイス１は、車両Ｈｖとともに移動しうるため、車両Ｈｖがセルラー圏外に位置する場合には、携帯デバイス１もまたセルラー圏外に位置する可能性が高い。故に、ＤＫＳ３は、車両Ｈｖに向けて圏外用検証パッケージを送信する際には、それに対応する圏外用認証パッケージを携帯デバイス１にも送信してもよい。圏外用認証パッケージは、セルラー圏外である場合の認証手順を示すデータと、各認証ステップ用の認証コードを含むデータセットである。圏外用認証パッケージは、携帯記憶部１０５に保存されうる。

なお、認証ＥＣＵ４は、セルラー圏外に入る前に圏外用検証パッケージを受信していなくともよい。センサ制御部Ｇ１としての認証ＥＣＵ４は、車両Ｈｖがセルラー圏外に駐車されている場合、特定の１つ又は複数の認証センサ６ｘを間欠的に動作させてもよい。当該構成によれば、認証ＥＣＵ４は、圏外用検証パッケージがなくとも、携帯デバイス１から送信される認証コードを受信可能となりうる。車両Ｈｖがセルラー圏外にある状況において実施された認証処理の結果や制御結果は、車両Ｈｖがセルラー圏内に復帰した際に、認証ＥＣＵ４によりＤＫＳ３に種々の結果を報告してもよい。

＜準優先センサを起動させる条件についての補足＞
また、第１センサや第２センサは事前に設定されている優先度に応じて定まる。故に、最優先センサに異常が検出されていない場合、第１センサは基本的に最優先センサで一定となる。第２センサも同様である。故に、上記の認証ＥＣＵ４は、最優先センサに異常が検出されていない場合、最優先センサを用いた認証が成功したことを条件として準優先センサを起動させうる。換言すれば、上記の認証ＥＣＵ４は、第１センサとしての最優先センサの異常が検出されていない場合、少なくとも第１センサを用いた認証処理が成功するまでは、第２センサを起動させない。もちろん、上記の認証ＥＣＵ４は、最優先センサに異常が検出されている場合には、準優先センサを第１センサとして起動させることがある。

このような認証ＥＣＵ４によれば、準優先センサが起動する頻度は、最優先センサの起動頻度よりも小さくなる。よって、仮に準優先センサがカメラ６３など、相対的に消費電力が大きい認証センサ６ｘであっても、システム全体としての消費電力を抑制可能となる。また、上記事情を翻せば、最優先センサは複数の認証センサ６ｘの中で起動頻度が多くなりうる。最優先センサとしてはＢＬＥ通信部６１など、起動や待機状態の維持に要する消費電力が小さい認証センサ６ｘが選択されることが好ましい。あるいは、ユーザの利便性向上の観点から、起動時間が最も短い認証センサ６ｘが最優先センサに設定されていてもよい。

以上、本開示の実施形態を説明したが、本開示は上述の実施形態に限定されるものではなく、以降で述べる種々の変形例も本開示の技術的範囲に含まれ、さらに、下記以外にも要旨を逸脱しない範囲内で種々変更して実施することができる。例えば下記の種々の補足や変形例などは、技術的な矛盾が生じない範囲において適宜組み合わせて実施することができる。なお、以上で述べた部材と同一の機能を有する部材については、同一の符号を付し、その説明を省略することがある。また、構成の一部のみに言及している場合、他の部分については上記説明を適用することができる。

＜変形例（１）＞
以上では認証ＥＣＵ４は、ＢＬＥ通信部６１を、ＢＬＥ認証実行時以外はスリープさせる態様について述べたが、これに限らない。認証ＥＣＵ４は、ＢＬＥ通信部６１に関しては、携帯デバイス１との直接通信用のパスとして、ＢＬＥ認証の完了後も動作させ続けても良い。例えば認証ＥＣＵ４は、検証パッケージの受信／圏外用の１次認証成功をトリガにＢＬＥ通信部６１を起動させたのち、制御が完了するまで／ユーザ操作が終了するまで、ＢＬＥ通信部６１をアクティブにし続けしてもよい。当該構成においては、認証ＥＣＵ４は、各認証ステップの結果をＢＬＥ通信で直接的に携帯デバイス１に通知しても良い。このような構成によれば、携帯デバイス１と認証ＥＣＵ４と直接通信可能となるため、セルラー通信量を抑制可能となる。また、セルラー圏外に車両Ｈｖが駐車されている場合であっても、認証ＥＣＵ４は各認証ステップの結果を携帯デバイス１に通知可能となる。

＜変形例（２）＞
ユーザが設定したセキュリティレベルに応じて認証ステップ数は変更されてもよい。セキュリティレベルが１（低）に設定されている場合、認証ＥＣＵ４は１段階認証／１要素認証で開錠等の制御を実施しても良い。セキュリティレベルが２（中）に設定されている場合、認証ＥＣＵ４は２段階認証／２要素認証で開錠等の制御を実施しても良い。セキュリティレベルが３（高）に設定されている場合、認証ＥＣＵ４は３段階または４段階認証で制御を実施しても良い。セキュリティレベルの設定数は３段階に限らず、２段階や４段以上であってもよい。

セキュリティレベルは、システム管理者によって設定されても良い。車両Ｈｖがシェアカーやレンタカーなどのサービスカーである場合、当該サービスの提供者／管理者によってセキュリティレベルは設定されても良い。また、制御内容に応じて認証ステップ数は変更されても良い。開錠時の認証ステップ数は２とする一方、施錠時の認証ステップ数は１であってもよい。施錠及び開錠は、ＢＬＥ認証のみで実施可能に構成されていても良い。開錠時の認証ステップ数が２以下である場合、走行用電源をオンに切り替える際に、１段階認証又は２段階認証を追加で実施しても良い。

＜変形例（３）＞
認証ＥＣＵ４は、セルラー通信で認証コードの送受信を行う、セルラー認証を実施可能に構成されていてもよい。上記実施例では、画像認証としてコード画像を用いる態様について述べたが、画像認証の内容は、ユーザの顔画像を用いるものであってもよい。つまり、画像認証は顔認証に相当するものであってもよい。もちろん、認証ＥＣＵ４は、コード画像ベースの認証と、顔画像ベースの認証の両方に対応していても良い。音声認証もまた、コードトーンを用いる方式に限らず、ユーザの声の特徴を用いて認証する、いわゆる声認証であってもよい。認証ＥＣＵ４は、認証コードによらずに、ユーザの生体情報を用いる認証方式を実施可能に構成されていても良い。

さらに、車載システム２及び認証ＥＣＵ４は、指紋認証や静脈認証、耳音響認証に対応していても良い。なお、指紋認証用の認証センサ６ｘとは、指紋を読み取る指紋リーダである。指紋リーダは、静電容量式、光学式、超音波式の何れのタイプであってもよい。静脈認証に対応する認証センサ６ｘとは、いわゆる静脈スキャナ／静脈センサであって、赤外線を用いて手又は指の静脈パターンを読み取る装置を指す。耳音響認証用の認証センサ６ｘとは、耳に装着される、ヒアラブルデバイス／ヒアリングデバイスを指す。なお、ヒアラブルデバイスは、装着者の認証結果を認証ＥＣＵ４にＢＬＥ通信で送信しうる。ヒアラブルデバイスの耳音響認証結果は、携帯デバイス１経由で車載システム２に転送されてもよい。

認証ＥＣＵ４は、第１センサとしてのＢＬＥ通信部６１が故障していることを条件として、他の認証センサ６ｘを臨時的に第１センサとして採用するように構成されていても良い。ＤＫＳ３はデフォルトの第１センサに不具合が検知されている場合には、携帯デバイス１に対して優先度が２番目に高い認証センサ６ｘを用いるように案内しても良い。

＜変形例（４）＞
以上ではＤＫＳ３が暗号鍵を発行するものとしたがこれに限らない。暗号鍵の発行機能は、認証ＥＣＵ４が備えていても良い。その場合には、認証ＥＣＵ４が、静止した暗号鍵をＤＫＳ３にアップロードしてもよい。

以上ではＤＫＳ３が多段階認証を自動設計する態様について述べたが、デジタルキーアプリ１０４がユーザ操作に基づいて多段階認証の実施手順を決定し、ＤＫＳ３に送信しても良い。当該構成によれば、ユーザの好みに応じた手順で多段階認証が実施可能となる。なお、ＤＫＳ３及び認証ＥＣＵ４には、多段階認証の構成として、認証方式の組み合わせが異なるいくつかの認証パターンをユーザによって事前に登録されていても良い。ＤＫＳ３／認証ＥＣＵ４は第１パターンで使用される複数の認証センサ６ｘの何れかに不具合が検出されている場合には第２パターンを採用するように構成されていてもよい。

＜変形例（５）＞
携帯デバイス１は、車載システム２とＢＬＥ通信リンクが確立したタイミングで、コード発行要求を送信してもよい。また、認証ＥＣＵ４は、携帯デバイス１とのＢＬＥ通信リンクが確立している状況で、車両Ｈｖへのユーザ操作を検出した場合に、携帯デバイス１に向けてコード取得要求をＢＬＥ通信で送信しても良い。コード取得要求は、ＤＫＳ３から認証パッケージを取得するように要求する信号である。携帯デバイス１は、認証ＥＣＵ４からコード取得要求を受信したことに基づいて、コード発行要求をＤＫＳ３に送信するように構成されていても良い。これに伴い、認証ＥＣＵ４は、携帯デバイス１とのＢＬＥ通信リンクが確立している状況で、車両Ｈｖへのユーザ操作を検出した場合に、ＢＬＥ通信の接続対象に応じた検証パッケージをＤＫＳ３からダウンロードするように構成されていても良い。

＜本開示を適用可能な車両について＞
車両Ｈｖは、一例として個人によって所有される車両である。もちろん、車両Ｈｖは会社組織が保有する社用車や、公的機関が保有する公用車であってもよい。さらに、車両Ｈｖは、貸出サービス又はシェアリングサービスに供される車両であってもよい。車両Ｈｖは例えば電動車、より具体的にはプラグインハイブリッド車である。電動車の概念には、電気自動車の他、燃料電池車やハイブリッド車も含まれる。本開示はエンジン車にも適用可能である。本開示は四輪自動車に限らず、トレーラや、二輪自動車、三輪自動車等、道路上を走行可能な多様な車両に搭載可能である。原動機付き自転車も二輪自動車に含めることができる。

＜付言（１）＞
本開示には以下の技術的思想も含まれる。
＜技術的思想１＞
所定の方式でユーザを認証するための情報を取得する第１認証センサと、前記第１認証センサとは異なる方式で前記ユーザを認証するための情報を取得する第２認証センサの、それぞれと接続されて使用されるロック制御装置であって、
前記第１認証センサの異常を検出する異常検出部（Ｇ２）と、
前記第１認証センサ及び前記第２認証センサの作動を制御する制御部（Ｇ１）と、を備え、
前記制御部は、
前記第１認証センサの異常が検出されていない場合、少なくとも前記第１認証センサを用いた認証処理が成功するまでは、前記第２認証センサを起動させないように構成されているロック制御装置。

＜技術的思想２＞
前記制御部は、前記第１認証センサの異常が検出されている場合、又は、前記第１認証センサを用いた認証処理が成功した場合には、前記第２認証センサを動作させる、技術的思想１に記載のロック制御装置。

＜技術的思想３＞
広域通信ネットワークに無線接続するための通信部（５１）と接続されて使用される、技術的思想１又は２に記載のロック制御装置であって、
前記広域通信ネットワークを介して所定のサーバから命令セットを受信していない場合には前記第１認証センサおよび前記第２認証センサを節電状態に設定する一方、
前記広域通信ネットワークを介して前記サーバから前記命令セットを受信したことに基づいて前記第１認証センサを前記節電状態から通常状態に復帰させるロック制御装置。

＜技術的思想４＞
広域通信ネットワークに無線接続するための通信部（５１）と接続されて使用される、技術的思想１から３の何れか１つに記載のロック制御装置であって、
前記通信部の動作を制御するとともに、前記通信部における信号の受信状況に基づいて前記通信部が前記広域通信ネットワークに接続可能な状況であるか否かを判定する通信制御部（Ｇ３）を備え、
前記制御部は、
前記通信制御部にて前記広域通信ネットワークに接続可能な状況であると判定されている場合には、前記広域通信ネットワークを介して所定のサーバから命令セットを受信したことに基づいて前記第１認証センサを動作させる一方、
前記第１認証センサを前記通信制御部にて前記広域通信ネットワークに接続不能な状況であると判定されている場合には、前記第１認証センサを間欠的に動作させる、制御装置。

＜技術的思想５＞
複数の認証方式の少なくとも何れか１つを用いて車両にアクセスしようとしている人物を認証可能に構成されている車載装置（４）と、
前記車両のユーザに携帯される情報処理端末である携帯デバイス（１）と、
前記携帯デバイス及び前記車載装置とデータ通信可能に構成されているサーバ（３）と、を含む車両用デジタルキーシステムであって、
前記車載装置は、複数の前記認証方式のそれぞれに対応する、複数の認証センサ（６ｘ）の動作を制御する制御部（Ｇ１）を備え、
前記携帯デバイスは、ユーザ操作に基づいて認証を開始するための信号である操作開始信号を前記サーバに送信する操作応答部（Ｆ１）を備え、
前記サーバは、
前記車載装置又は前記携帯デバイスとの通信により、使用不能な前記認証方式である使用不可方式と使用可能な前記認証方式である使用可能方式についての情報を収集するステータス管理部（Ｈ１）と、
前記携帯デバイスから前記操作開始信号を受信したことに基づいて、前記使用可能方式のうち、実際に認証処理に使用する前記認証方式である採用方式を選択する選択部（Ｈ２１）と、
前記選択部が選択した少なくとも１つの前記採用方式についての情報を含む命令セットを前記車載装置に向けて送信する送信処理部（Ｈ２５）と、を備え、
前記制御部は、
前記命令セットに示される前記採用方式に対応する前記認証センサは起動させる一方、前記採用方式ではない前記認証方式である不採用方式に対応する前記認証センサは起動させないように構成されている車両用デジタルキーシステム。

＜技術的思想６＞
複数の認証ステップを含む多段階認証が成功したことに基づいて前記ユーザを認証する、技術的思想５に記載の車両用デジタルキーシステムであって、
前記サーバは、前記多段階認証を構成する複数の前記認証ステップのそれぞれで使用する前記採用方式を決定する順序決定部（Ｈ２２）を備え、
前記送信処理部は、前記順序決定部が決定した、前記認証ステップごとで使用される前記採用方式を示す前記命令セットを前記車載装置に向けて送信し、
前記制御部は、１段階目の前記認証ステップで使用される前記認証センサは起動する一方、その他の前記認証センサは起動させないように構成されている車両用デジタルキーシステム。

＜技術的思想７＞
前記制御部は、１段階目の前記認証ステップが成功したことに基づいて、２段階目の前記認証ステップに使用する前記認証センサを起動させる、技術的思想６に記載の車両用デジタルキーシステム。

＜技術的思想８＞
前記携帯デバイスは、複数の前記認証センサのうちの１つである第１認証センサを用いた前記認証ステップが失敗したことに基づいて、前記第１認証センサの異常を示すエラーメッセージを前記サーバに送信し、
前記サーバは、前記携帯デバイスから前記エラーメッセージを受信したことに基づいて、前記第１認証センサを使用する前記認証方式を、前記使用不可方式に設定するように構成されている、技術的思想６又は７に記載の車両用デジタルキーシステム。

＜技術的思想９＞
前記携帯デバイスは、複数の前記認証センサのうちの１つである第１認証センサを用いた前記認証ステップが失敗したことに基づいて、前記第１認証センサの異常を示すエラーメッセージを前記サーバに送信し、
前記サーバは、前記携帯デバイスから前記エラーメッセージを受信したことに基づいて、
前記第１認証センサを用いない前記多段階認証の手順を示す前記命令セットを前記車載装置に送信するように構成されている、技術的思想６又は７に記載の車両用デジタルキーシステム。

＜技術的思想１０＞
前記サーバは、
前記車載装置との通信状況に基づいて前記車載装置が前記サーバと通信可能な状態であるか否かを判定すること、
前記車載装置が前記サーバと通信不能である場合には、事前に設定された認証手順を示す非常用認証データセットを前記携帯デバイスに送信することと、を実施し、
前記携帯デバイスは、前記非常用認証データセットに基づいて認証のための操作を案内する画像をディスプレイ（１１）に表示するように構成されている、技術的思想６から９の何れか１つに記載の車両用デジタルキーシステム。

＜技術的思想１１＞
前記車載装置は、広域通信ネットワークに無線接続するための通信部（５１）の動作を制御するとともに、前記通信部における信号の受信状況に基づいて前記通信部が前記広域通信ネットワークに接続可能な状況であるか否かを判定する通信制御部（Ｇ３）を備え、
前記制御部は、前記通信制御部にて前記広域通信ネットワークに接続不能な状況であると判定されている場合には、複数の前記認証センサの一部又は全部を間欠的に動作させるように構成されている、技術的思想６から１０の何れか１つに記載の車両用デジタルキーシステム。

＜付言（２）＞
本開示に示す種々のフローチャートは何れも一例であって、フローチャートを構成するステップの数や、処理の実行順は適宜変更可能である。また、本開示に記載の装置、システム、並びにそれらの手法は、コンピュータプログラムにより具体化された一つ乃至は複数の機能を実行するようにプログラムされたプロセッサを構成する専用コンピュータにより、実現されてもよい。本開示に記載の装置及びその手法は、専用ハードウェア論理回路を用いて実現されてもよい。本開示に記載の装置及びその手法は、コンピュータプログラムを実行するプロセッサと一つ以上のハードウェア論理回路との組み合わせにより構成された一つ以上の専用コンピュータにより、実現されてもよい。プロセッサ（演算コア）としては、ＣＰＵや、ＭＰＵ、ＧＰＵ、ＤＦＰ（Data Flow Processor）などを採用可能である。ＤＫＳ３／認証ＥＣＵ４／携帯デバイス１が備える機能の一部又は全部は、ＳｏＣ（System-on-Chip）、ＩＣ（Integrated Circuit）、又はＦＰＧＡ（Field-Programmable Gate Array）を用いて実現されていてもよい。ＩＣの概念には、ＡＳＩＣ（Application Specific Integrated Circuit）も含まれる。

また、コンピュータプログラムは、コンピュータにより実行されるインストラクションとして、コンピュータ読み取り可能な非遷移有形記録媒体（non- transitory tangible storage medium）に記憶されていればよい。プログラムの記録媒体としては、ＨＤＤ（Hard-disk Drive）やＳＳＤ（Solid State Drive）、フラッシュメモリ等を採用可能である。コンピュータをＤＫＳ３／認証ＥＣＵ４／携帯デバイス１として機能させるためのプログラム、このプログラムを記録した半導体メモリ等の非遷移的実態的記録媒体等の形態も本開示の範囲に含まれる。

１ 携帯デバイス、２ 車載システム、３ ＤＫＳ（サーバ）、１１ ディスプレイ、３０ データ処理部、３０１ サーバプロセッサ、４ 認証ＥＣＵ（車載装置）、４１ 認証プロセッサ、５１ セルラー通信部（通信部）、６ｘ 認証センサ、６１ ＢＬＥ通信部、６２ ＮＦＣ通信部、６３ カメラ、６４ マイク、Ｆ１ 操作応答部、Ｆ３ 操作案内部、Ｇ１ センサ制御部（制御部）、Ｇ２ センサ診断部（異常検出部）、Ｇ３ 通信制御部、Ｇ４ 認証処理部、Ｈ１ ステータス管理部、Ｈ２１ 選択部、Ｈ２２ 順序決定部、Ｈ２５ 配信処理部（送信処理部）

Claims (11)

1. 所定の方式でユーザを認証するための情報を取得する第１認証センサと、前記第１認証センサとは異なる方式で前記ユーザを認証するための情報を取得する第２認証センサの、それぞれと接続されて使用されるロック制御装置であって、
   前記第１認証センサの異常を検出する異常検出部（Ｇ２）と、
   前記第１認証センサ及び前記第２認証センサの作動を制御する制御部（Ｇ１）と、を備え、
   前記制御部は、
   前記第１認証センサの異常が検出されていない場合、少なくとも前記第１認証センサを用いた認証処理が成功するまでは、前記第２認証センサを起動させないように構成されているロック制御装置。
2. 前記制御部は、前記第１認証センサの異常が検出されている場合、又は、前記第１認証センサを用いた認証処理が成功したことを条件として、前記第２認証センサを起動させる、請求項１に記載のロック制御装置。
3. 広域通信ネットワークに無線接続するための通信部（５１）と接続されて使用される、請求項１又は２に記載のロック制御装置であって、
   前記制御部は、
   前記広域通信ネットワークを介して所定のサーバから、前記ユーザを認証するための処理の開始を指示する命令セットを受信していない場合には、前記第１認証センサおよび前記第２認証センサを節電状態に設定する一方、
   前記広域通信ネットワークを介して前記サーバから前記命令セットを受信した場合には、前記第２認証センサを前記節電状態で維持したまま、前記第１認証センサを前記節電状態から通常状態に復帰させるロック制御装置。
4. 広域通信ネットワークに無線接続するための通信部（５１）と接続されて使用される、請求項１又は２に記載のロック制御装置であって、
   前記通信部の動作を制御するとともに、前記通信部における信号の受信状況に基づいて前記通信部が前記広域通信ネットワークに接続可能な状況であるか否かを判定する通信制御部（Ｇ３）を備え、
   前記制御部は、
   前記通信制御部にて前記広域通信ネットワークに接続可能な状況であると判定されている場合には、前記広域通信ネットワークを介して所定のサーバから、前記ユーザを認証するための処理の開始を指示する命令セットを受信したことに基づいて前記第１認証センサを動作させる一方、
   前記第１認証センサを前記通信制御部にて前記広域通信ネットワークに接続不能な状況であると判定されている場合には、前記第１認証センサを間欠的に動作させる、ロック制御装置。
5. 複数の認証方式の少なくとも何れか１つを用いて車両にアクセスしようとしている人物を認証可能に構成されている車載装置（４）と、
   前記車両のユーザに携帯される情報処理端末である携帯デバイス（１）と、
   前記携帯デバイス及び前記車載装置とデータ通信可能に構成されているサーバ（３）と、を含む車両用デジタルキーシステムであって、
   前記車載装置は、複数の前記認証方式のそれぞれに対応する、複数の認証センサ（６ｘ）の動作を制御する制御部（Ｇ１）を備え、
   前記携帯デバイスは、ユーザ操作に基づいて認証を開始するための信号である操作開始信号を前記サーバに送信する操作応答部（Ｆ１）を備え、
   前記サーバは、
   前記車載装置又は前記携帯デバイスとの通信により、使用不能な前記認証方式である使用不可方式と使用可能な前記認証方式である使用可能方式についての情報を収集するステータス管理部（Ｈ１）と、
   前記携帯デバイスから前記操作開始信号を受信したことに基づいて、前記使用可能方式のなかから、実際に認証処理に使用する前記認証方式である採用方式を選択する選択部（Ｈ２１）と、
   前記選択部が選択した少なくとも１つの前記採用方式についての情報を含む命令セットを前記車載装置に向けて送信する送信処理部（Ｈ２５）と、を備え、
   前記制御部は、
   前記命令セットに示される前記採用方式に対応する前記認証センサは起動させる一方、前記採用方式ではない前記認証方式である不採用方式に対応する前記認証センサは起動させないように構成されている車両用デジタルキーシステム。
6. 複数の認証ステップを含む多段階認証が成功したことに基づいて前記ユーザを認証する、請求項５に記載の車両用デジタルキーシステムであって、
   前記サーバは、前記多段階認証を構成する複数の前記認証ステップのそれぞれで使用する前記採用方式を決定する順序決定部（Ｈ２２）を備え、
   前記送信処理部は、前記順序決定部が決定した、前記認証ステップごとで使用される前記採用方式を示す前記命令セットを前記車載装置に向けて送信し、
   前記制御部は、１段階目の前記認証ステップで使用される前記認証センサは起動する一方、その他の前記認証センサは起動させないように構成されている車両用デジタルキーシステム。
7. 前記制御部は、１段階目の前記認証ステップが成功したことに基づいて、２段階目の前記認証ステップに使用する前記認証センサを起動させる、請求項６に記載の車両用デジタルキーシステム。
8. 前記携帯デバイスは、複数の前記認証センサのうちの１つである第１認証センサを用いた前記認証ステップが失敗したことに基づいて、前記第１認証センサの異常を示すエラーメッセージを前記サーバに送信し、
   前記サーバは、前記携帯デバイスから前記エラーメッセージを受信したことに基づいて、前記第１認証センサを使用する前記認証方式を前記使用不可方式に設定するように構成されている、請求項６又は７に記載の車両用デジタルキーシステム。
9. 前記携帯デバイスは、複数の前記認証センサのうちの１つである第１認証センサを用いた前記認証ステップが失敗したことに基づいて、前記第１認証センサの異常を示すエラーメッセージを前記サーバに送信し、
   前記サーバは、前記携帯デバイスから前記エラーメッセージを受信したことに基づいて、
   前記第１認証センサを用いない前記多段階認証の手順を示す前記命令セットを前記車載装置に送信するように構成されている、請求項６又は７に記載の車両用デジタルキーシステム。
10. 前記サーバは、
    前記車載装置との通信状況に基づいて前記車載装置が前記サーバと通信可能な状態であるか否かを判定すること、
    前記車載装置が前記サーバと通信不能である場合には、事前に設定された認証手順を示す非常用認証データセットを前記携帯デバイスに送信することと、を実施し、
    前記携帯デバイスは、前記非常用認証データセットに基づいて、認証のための操作を案内する画像をディスプレイ（１１）に表示するように構成されている、請求項６又は７に記載の車両用デジタルキーシステム。
11. 前記車載装置は、広域通信ネットワークに無線接続するための通信部（５１）の動作を制御するとともに、前記通信部における信号の受信状況に基づいて前記通信部が前記広域通信ネットワークに接続可能な状況であるか否かを判定する通信制御部（Ｇ３）を備え、
    前記制御部は、前記通信制御部にて前記広域通信ネットワークに接続不能な状況であると判定されている場合には、複数の前記認証センサの一部又は全部を間欠的に動作させるように構成されている、請求項６又は７に記載の車両用デジタルキーシステム。

Images