JP6873177B2 - 車両制御装置 - Google Patents

Description

本発明は、携帯端末により始動可能な車両を制御する車両制御装置に関する。

従来、複数の利用者が順次利用するカーシェアリング等の車両では、利用者の認証が成功した場合に始動可能となるようにした構成が提案されている。（例えば、特許文献１参照）。特許文献１は、各ユーザに発行されたＩＤカードに記録されたＩＤ情報とＰＩＮとに基づいて、車両に乗車したユーザの認証を行い、認証が成功した場合に車両が始動可能となるシステムを開示する。

特開２００１−９０４０５号公報

近年、上記特許文献１のような利用者の認証では、ＩＤカードに代わって、利用者が携帯する携帯端末が使用される場合がある。この場合では、認証を行う機器と携帯端末とが通信することで利用者の認証が行われ、車両が始動可能となる。しかしながら、携帯端末は、上記機器と通信接続が可能な範囲内に存在すると自動で上記機器と通信接続し得る。そのため、携帯端末で利用者の認証を行う構成では、利用者の誤操作等によって、利用者から離れた場所で車両が始動可能となって車両が不正利用される虞がある。
本発明は、上述した事情に鑑みてなされたものであり、携帯端末により始動可能な車両の不正利用を防止できるようにすることを目的とする。

上記目的を達成するための一態様は、車両の利用者が設定した前記車両の利用時間において前記車両の利用を可能とする電子鍵であって、設定した前記利用時間を示す利用時間情報が含まれた電子鍵を有する携帯端末の端末情報を記憶する記憶部と、前記記憶部に記憶された前記端末情報に基づいて前記携帯端末と通信する通信部と、車両の始動を許可するための認証情報を生成する認証情報生成部と、前記認証情報生成部により生成された前記認証情報を前記車両内に通知する認証情報通知部と、前記認証情報通知部により通知された前記認証情報が、前記通信部によって前記携帯端末から受信された場合、受信された前記認証情報及び前記電子鍵の前記利用時間情報に基づいて前記車両の始動に関わる認証を行う車両始動認証部と、前記車両始動認証部の認証結果に基づいて前記車両の始動を許可する車両始動許可部と、を備える車両制御装置である。

上記車両制御装置において、前記認証情報通知部により前記認証情報が通知された後の経過時間を計測する経過時間計測部を備え、前記認証情報通知部は、前記経過時間計測部により計測された前記経過時間が所定の時間となった場合、前記車両内への前記認証情報の通知を停止する構成としてもよい。

上記車両制御装置において、前記認証情報生成部は、前記認証情報通知部による前記車両内への通知を停止した後、前記認証情報を生成する構成としてもよい。

上記車両制御装置において、前記認証情報生成部は、前記車両の電源がオフする前に、次回の前記車両の始動に関わる前記認証情報を生成する構成としてもよい。

上記車両制御装置において、前記利用時間を含む前記車両の利用予約を取得する利用予約取得部を備え、前記認証情報生成部は、前記利用予約取得部が取得した前記利用予約に含まれる前記利用時間の間、前記認証情報を新たに生成しない構成としてもよい。

上記車両制御装置において、前記認証情報生成部は、前記利用時間における前記車両の利用の開始前に、前記認証情報を生成する構成としてもよい。
上記車両制御装置において、前記車両始動認証部は、前記利用者が前記携帯端末に入力した前記認証情報に基づいて、前記車両の始動に関わる認証を行う構成としてもよい。

本発明によれば、携帯端末により始動可能な車両の不正利用を防止できる。

車両制御システムの構成を示す図。 利用管理サーバの構成を示す図。 サーバ側利用者ＤＢの一例を示す図。 利用予約ＤＢの一例を示す図。 車載システムの構成を示す図。 車載システムの動作を示すフローチャート。 認証情報生成部の動作を示すフローチャート。 複数の利用者による車両の利用状況の一例を示すタイムチャート。 複数の利用者による車両の利用状況の一例を示すタイムチャート。

［１．車両制御システムの構成］
図１は、車両制御システム１０００の構成を示す図である。
車両制御システム１０００は、車両１と、ネットワークＮＷを介して車両１と通信可能に接続された利用管理サーバ２と、で構成される。ネットワークＮＷは、本実施形態では、例えば公衆回線等を介して接続されるインターネットである。

車両１は、例えばカーシェアリングに用いられて複数の利用者９００により順次利用される四輪の乗用自動車である。

本実施形態では、車両１の利用者９００は、特定利用者と非特定利用者とに分類される。特定利用者は、車両１の所有者９１０、及び、所有者９１０と所定の関係を有する者を含む。非特定利用者は、特定利用者以外の利用者９００をいう。上記所定の関係は、例えば、家族関係を有することや、縁戚関係を有すること、車両１の共同購入者であること等をいうが、これには限られない。上記所定の関係は、例えば車両１の所有者９１０が定義するものとすることができ、同じ会社や同好会等の所定の団体に属していること等を所定の関係としてもよい。

本実施形態では、車両１は、所有者９１０と、所有者９１０の家族である家族利用者９２０と、ゲスト利用者９３０、９４０により利用される。家族利用者９２０は、特定利用者である。また、ゲスト利用者９３０、９４０は、例えば所有者９１０から車両１を借りて利用する非特定利用者である。
以下の説明において、「所有者９００以外の利用者９００」とは、家族利用者９２０、及び、ゲスト利用者９３０、９４０を示す。

利用管理サーバ２は、車両１の利用に関わる管理を行うサーバ装置である。なお、図１では、利用管理サーバ２を、１つのブロックによって表現するが、これは必ずしも利用管理サーバ２が単一のサーバ装置により構成されることを意味するものではない。

利用管理サーバ２は、車両１の所有者９１０の承認の下に、所有者９１０以外の利用者９００に対し、当該利用者９００が特定利用者であるか非特定利用者であるかの区別を示す属性情報２１１４を含む固有の電子鍵８００を生成する。そして、利用管理サーバ２は、生成した電子鍵８００を、所有者９１０以外の利用者９００の携帯端末３へ送信する。なお、所有者９１０以外の利用者９００が特定利用者であるか非特定利用者であるかは、所有者９１０が利用管理サーバ２に指示するか、又は所有者９１０が提供する情報に基づいて利用管理サーバ２が判断するものとできる。

これにより、車両１は、所有者９１０により、携帯端末３Ａが記憶する電子鍵８１０、又は、ＦＯＢキー４を用いて利用される。また、車両１は、家族利用者９２０及びゲスト利用者９３０、９４０により、それぞれ、利用管理サーバ２が発行して携帯端末３Ｂ、３Ｃ、３Ｄへ送信した電子鍵８２０、８３０、８４０を用いて利用される。

ゲスト利用者９３０は、車両１を利用する際、利用管理サーバ２に車両１の利用予約を行う。利用管理サーバ２は、利用予約を受け付けると利用時間を設定し、当該利用予約についての予約情報２１２３を車両１に送信すると共に、電子鍵８３０を生成して携帯端末３Ｃに送信する。ゲスト利用者９３０は、利用管理サーバ２から発行された電子鍵８３０を用いて車両１のドアの開錠又は施錠、及び、車両１の始動等を行って、利用予約により設定された利用時間の間で車両１を利用する。車両１の利用が終了した場合、ゲスト利用者９３０は、携帯端末３Ｃを操作して、利用管理サーバ２に車両１の利用を終了した旨を通知する。利用管理サーバ２は、この通知を受けると、ゲスト利用者９３０による車両１の利用が終了したことを示す利用終了通知を、車両１に送信する。なお、ゲスト利用者９４０は、ゲスト利用者９３０と同様に、携帯端末３Ｄを用いて車両１を利用する。

家族利用者９２０は、車両１を利用する際、予め発行された電子鍵８２０を用いて車両１のドアの開錠又は施錠、及び、車両１の始動等を行って車両１を利用する。本実施形態では、家族利用者９２０は、ゲスト利用者９３０が利用予約している時間帯でも、車両１を利用できる。また、家族利用者９２０は、ゲスト利用者９３０と同様に、利用管理サーバ２に対して利用予約を行って車両１を利用することもできる。

所有者９１０は、車両１を利用する際、ＦＯＢキー４を用いて車両１を利用する。本実施形態では、所有者９１０は、自身の裁量により、ゲスト利用者９３０、及び家族利用者９２０が利用予約している時間帯でも、ＦＯＢキー４を用いて車両１のドアの開錠や車両１の始動等を行って、車両１を利用できる。また、所有者９１０は、携帯端末３Ａを用いて車両１を利用することもできる。所有者９１０に与えられている電子鍵８１０は、ＦＯＢキー４と同等の権限を有する。そのため、所有者９１０は、自身の裁量により、ゲスト利用者９３０、及び家族利用者９２０が利用予約している時間帯でも、携帯端末３Ａを用いて車両１のドアの開錠や車両１の始動等を行って、車両１を利用できる。

車両１は、車載システム１００を備える。車載システム１００は、利用管理サーバ２と協働して、利用者９００による車両１の利用に関わる動作を行う。

［２．利用管理サーバの構成］
次に、利用管理サーバ２の構成について説明する。
図２は、利用管理サーバ２の構成を示す図である。図２に示すように、利用管理サーバ２は、サーバ処理部２００と、サーバ記憶部２１０と、サーバ通信部２２０と、を備える。

サーバ処理部２００は、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）等のプロセッサを備えるコンピュータである。サーバ処理部２００には、サーバ記憶部２１０が接続される。サーバ記憶部２１０は、サーバ処理部２００が実行するコンピュータプログラムである制御プログラム、及びサーバ処理部２００によって処理される各種データを、サーバ処理部２００によって読み取り可能に記憶する。

サーバ処理部２００及びサーバ記憶部２１０を構成するハードウェアは特定の態様に限定されない。例えば、サーバ処理部２００は、単一のプロセッサで構成されてもよい。また、サーバ処理部２００は、プロセッサと、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等を統合したデバイスであってもよい。サーバ記憶部２１０は、プログラムやデータを不揮発的に記憶する不揮発性記憶装置で構成されてもよく、具体的には、ハードディスク等の磁気的記憶装置や、フラッシュＲＯＭ等の半導体記憶デバイスを備えてもよい。また、サーバ記憶部２１０は、サーバ処理部２００が実行するプログラムやデータ等を一時的に記憶する揮発性記憶装置を備えてもよい。また、サーバ処理部２００とサーバ記憶部２１０とは統合された１つのデバイスであってもよい。

サーバ処理部２００は、機能要素又は機能ユニットとして、利用者管理部２０１０、電子鍵発行部２０２０、及び、利用予約管理部２０３０を備える。これらの機能要素は、コンピュータであるサーバ処理部２００が、サーバ記憶部２１０に記憶される制御プログラムを実行することにより実現される。
なお、サーバ処理部２００が実行する制御プログラムは、コンピュータ読み取り可能な任意の記憶媒体に記憶させておくことができる。これに代えて、サーバ処理部２００が備える上記機能要素の全部又は一部を、それぞれ一つ以上の電子回路部品を含むハードウェアにより構成することもできる。

サーバ処理部２００は、サーバ記憶部２１０が記憶するプログラムを実行することにより、サーバ記憶部２１０が記憶するデータに基づいて、利用管理サーバ２の各部を制御する。

サーバ記憶部２１０は、サーバ側利用者ＤＢ２１１０、及び、利用予約ＤＢ２１２０を記憶する。これらデータベースについては、後述する。

サーバ通信部２２０は、所定の通信規格に従った通信ハードウェアにより構成され、サーバ処理部２００の制御で、ネットワークＮＷを介して車両１及び携帯端末３と通信する。

［２−１．利用者管理部］
利用者管理部２０１０は、サーバ通信部２２０を介して、車両１の利用を希望する利用希望者の携帯端末３から、電子鍵８００の発行要求を受信する。この発行要求には、利用希望者の氏名等と、利用管理サーバ２が利用希望者の携帯端末３にアクセスするためのアクセス用端末情報２１１５とが含まれる。利用者管理部２０１０は、電子鍵８００の発行要求を受信すると、図示せぬ所有者９１０が所有する端末装置に、利用希望者の氏名等を含む登録承認要求を送信する。なお、利用希望者の携帯端末３は、例えば利用管理サーバ２が提供するＷｅｂサイトへアクセスするブラウザを介して、自身の氏名等の情報と共に電子鍵８００の発行要求を利用管理サーバ２へ送信できる。

所有者９１０は、受信した登録承認要求に対して利用希望者への車両１の利用を承認した場合、承認した旨を示す承認応答を、登録承認要求を受けた端末装置によって利用管理サーバ２へ送信する。このとき、所有者９１０は、利用希望者と所有者９１０との関係（例えば、「家族」、「親戚」、「友人」、「その他」等）を示す関係情報２１１３を当該端末装置に入力する。この入力によって、利用管理サーバ２へ送信される承認応答には、所有者９１０が入力した関係情報２１１３が含まれる。

利用者管理部２０１０は、図示せぬ所有者９１０が所有する端末装置から承認応答を受信すると、承認応答に含まれた関係情報２１１３に基づいて、特定使用者又は非特定使用者の属性を、利用希望者に対して設定する。利用者管理部２０１０は、予め定められた規則に従い、関係情報２１１３からこの属性を設定する。また、利用者管理部２０１０は、利用希望者に固有の利用者ＩＤ２１１１と、固有の電子鍵基本情報２１１２と、を生成する。電子鍵基本情報２１１２は、車両１が電子鍵８００の認証を行う際に用いる認証情報を含む。そして、利用者管理部２０１０は、生成した利用者ＩＤ２１１１、電子鍵基本情報２１１２、設定した属性を示す属性情報２１１４、及び、受信した電子鍵８００の発行要求に含まれていたアクセス用端末情報２１１５が対応付けられた利用者情報２１１６を生成する。利用者管理部２０１０は、生成した利用者情報２１１６をサーバ記憶部２１０が記憶するサーバ側利用者ＤＢ２１１０に格納する。これにより、利用者管理部２０１０は、利用希望者をサーバ側利用者ＤＢ２１１０に登録する。

サーバ側利用者ＤＢ２１１０は、所有者９１０によって車両１の利用が承認された所有者９１０以外の利用者９００ごとに、利用者情報２１１６を格納するデータベースである。また、サーバ側利用者ＤＢ２１１０は、所有者についての利用者情報２１１６を格納するデータベースでもある。なお、所有者９１０についての利用者情報２１１６は、予め所定の方法によってサーバ側利用者ＤＢ２１１０に格納されている。

図３は、サーバ側利用者ＤＢ２１１０の一例を示す図である。
サーバ側利用者ＤＢ２１１０に格納される１件の利用者情報２１１６は、利用者ＩＤ２１１１と、電子鍵基本情報２１１２と、関係情報２１１３と、属性情報２１１４と、アクセス用端末情報２１１５と、を有する。図３に示すサーバ側利用者ＤＢ２１１０は、所有者９１０、家族利用者９２０、及び、ゲスト利用者９３０のそれぞれについて、利用者情報２１１６を格納する。

［２−２．電子鍵発行部］
電子鍵発行部２０２０は、利用者管理部２０１０によってサーバ側利用者ＤＢ２１１０に登録された所有者９１０以外の利用者９００に対して、電子鍵８００を発行する。

電子鍵発行部２０２０は、利用者管理部２０１０がサーバ側利用者ＤＢ２１１０に所有者９１０以外の利用者９００を新規登録したとき、新規登録された当該利用者９００が特定利用者である場合、電子鍵８００を発行する。具体的には、電子鍵発行部２０２０は、サーバ側利用者ＤＢ２１１０を参照し、新規格納された利用者情報２１１６の属性情報２１１４が特定利用者を示す場合、当該利用者情報２１１６に対応する当該利用者９００について電子鍵基本情報２１１２と属性情報２１１４とアクセス用端末情報２１１５とを取得する。そして、電子鍵発行部２０２０は、取得した電子鍵基本情報２１１２と属性情報２１１４とを含む電子鍵８００を生成し、取得したアクセス用端末情報２１１５に基づいて生成した電子鍵８００を新規登録した特定利用者の携帯端末３へ送信する。
これにより、例えば、新規登録された家族利用者９２０の携帯端末３Ｂには、車両１を利用するための電子鍵８２０が保持される。なお、本実施形態において、特定利用者の携帯端末３で保持される電子鍵８００は、車両１の利用の有効期限が無期限のものを例示する。しかしながら、特定利用者の携帯端末３で保持される電子鍵８００は、所定の方法により特定利用者に設定された有効期限を有する電子鍵８００であってもよい。

また、電子鍵発行部２０２０は、車両１の利用予約に基づいて、電子鍵８００を発行する。具体的には、電子鍵発行部２０２０は、登録された所有者９１０以外の利用者９００の携帯端末３から車両１の利用予約を示す利用予約情報を受信する。利用予約情報には、送信者である利用者９００の利用者ＩＤ２１１１と、利用希望時間と、が含まれる。電子鍵発行部２０２０は、受信した利用予約情報に含まれる利用希望時間が、既に利用予約ＤＢ２１２０に記憶されている予約情報２１２３が示す利用時間と重複しない場合に、当該利用希望時間を利用時間として設定する。電子鍵発行部２０２０は、利用予約した所有者９１０以外の利用者９００の利用者ＩＤ２１１１と、設定した利用時間を示す利用時間情報２１２２と、を含む予約情報２１２３を生成し、生成した予約情報２１２３を利用予約ＤＢ２１２０に格納する。この利用予約ＤＢ２１２０への予約情報２１２３の格納により、利用予約が完了する。そして、電子鍵発行部２０２０は、サーバ側利用者ＤＢ２１１０を参照し、利用予約が完了した利用者ＩＤ２１１１に対応付けられた電子鍵基本情報２１１２を用いて、設定した利用時間において車両１の利用を可能とする電子鍵８００を生成する。電子鍵８００には、設定した利用時間を示す利用時間情報２１２２と、設定した利用時間に対応する利用予約の予約ＩＤ２１２１と、電子鍵基本情報２１１２と、属性情報２１１４とが含まれる。そして、電子鍵発行部２０２０は、生成した電子鍵８００、利用予約が完了した所有者９１０以外の利用者９００の携帯端末３へ送信する。
これにより、例えば、利用予約を行ったゲスト利用者９３０の携帯端末３Ｃには、当該利用予約についての予約ＩＤ２１２１と利用時間情報２１２２とを含んだ電子鍵８３０が保持される。

利用予約ＤＢ２１２０は、１又は複数の予約情報２１２３を格納するデータベースである。

図４は、利用予約ＤＢ２１２０の一例を示す図である。
利用予約ＤＢ２１２０に格納される１件の予約情報２１２３は、予約ＩＤ２１２１と、利用者ＩＤ２１１１と、利用時間情報２１２２とを有する。

利用時間情報２１２２が示す利用時間は、利用を開始する予定の日時である利用開始予定日時、及び、利用を終了する予定の日時である利用終了予定日時で構成されている。

［２−３．利用予約管理部］
利用予約管理部２０３０は、所有者９１０以外の利用者９００が行った利用予約を管理する。利用予約管理部２０３０は、電子鍵発行部２０２０が利用予約ＤＢ２１２０に格納した予約情報２１２３を、サーバ通信部２２０を介して車両１へ送信する。利用予約管理部２０３０は、利用予約ＤＢ２１２０に１つ予約情報２１２３が格納された場合、当該予約情報２１２３の利用時間情報２１２２が示す利用開始予定日時前に、適切なタイミングで当該予約情報２１２３を車両１に送信する。また、利用予約管理部２０３０は、利用予約ＤＢ２１２０に複数の予約情報２１２３が格納されている場合、利用終了通知を車両１に送信すると共に、現在時刻に対して利用開始予定日時が最も近い予約情報２１２３を当該利用終了通知に含めて車両１に送信する。また、利用予約管理部２０３０は、携帯端末３から、車両１の利用を終了した旨の通知を受信すると、利用予約ＤＢ２１２０が格納する予約情報２１２３のうち、受信した通知に含まれる予約ＩＤ２１２１と一致する予約情報２１２３を消去する。

［３．車載システムの構成］
図３は、車両１の車載システム１００の構成を示す図である。車載システム１００は、電子制御装置（ＥＣＵ、Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）である利用制御ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）３００と、ボディ・コントロール・モジュール（ＢＣＭ、Ｂｏｄｙ Ｃｏｎｔｒｏｌ Ｍｏｄｕｌｅ）４００と、アプリケーション実行装置５００と、テレメトリ・コントロール・ユニット（ＴＣＵ、Ｔｅｌｅｍｅｔｒｙ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）６００と、を備える。利用制御ＥＣＵ３００は、本発明の車両制御装置の一例に対応する。

これらの利用制御ＥＣＵ３００、ＢＣＭ４００、アプリケーション実行装置５００、及び、ＴＣＵ６００は、車載ネットワークバス７００を介して互いに通信可能に接続される。ここで、車載ネットワークバス７００は、例えばＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）通信規格に従うＣＡＮバスである。アプリケーション実行装置５００は、種々のアプリケーションプログラムが実行される装置である。本実施形態では、アプリケーション実行装置５００は、例えば、音声再生機能や画像再生機能を併せ持つ、いわゆるディスプレイ・オーディオ（ＤＡ、Ｄｉｓｐｌａｙ Ａｕｄｉｏ）であり、各種情報を表示する表示装置５００Ａを備える。アプリケーション実行装置５００は、表示装置５００Ａが表示する情報が車両１の搭乗者が視認できるように、車両１内に設けられる。

［３−１．ＢＣＭの構成］
ＢＣＭ４００は、ＦＯＢキー４と通信してＦＯＢキー４の存在を検知する。また、ＢＣＭ４００は、車両始動スイッチ（Ｓｔａｒｔ−Ｓｔｏｐ Ｓｗｉｔｃｈ）４０１の操作を検知し、車両１の図示せぬ駆動モータ等に電力を供給する電力供給システム４０２のオン／オフを制御する。また、ＢＣＭ４００は、車両１のドアの施解錠を行うドアロック機構４０３の動作を制御する。

図５に示すように、ＢＣＭ４００は、ＢＣＭ処理部４１０と、ＢＣＭ記憶部４２０と、ＢＣＭ無線通信部４３０と、ＢＣＭバス通信部４４０と、を備える。

ＢＣＭ処理部４１０は、例えば、ＣＰＵ等のプロセッサを備えるコンピュータである。ＢＣＭ処理部４１０には、ＢＣＭ記憶部４２０が接続される。ＢＣＭ記憶部４２０は、ＢＣＭ処理部４１０が実行するコンピュータプログラムである制御プログラム、及びＢＣＭ処理部４１０によって処理される各種データを、ＢＣＭ処理部４１０によって読み取り可能に記憶する。

ＢＣＭ処理部４１０及びＢＣＭ記憶部４２０を構成するハードウェアは、サーバ処理部２００及びサーバ記憶部２１０と同様、特定の態様に限定されない。

ＢＣＭ処理部４１０は、機能要素又は機能ユニットとして、始動操作検知部４１１、ＦＯＢ通信部４１２、電源制御部４１３、及び、ドア制御部４１４を備える。ＢＣＭ処理部４１０が備えるこれらの機能要素は、コンピュータであるＢＣＭ処理部４１０が、ＢＣＭ記憶部４２０に記憶される制御プログラムを実行することにより実現される。
なお、ＢＣＭ処理部４１０が実行する制御プログラムは、コンピュータ読み取り可能な任意の記憶媒体に記憶させておくことができる。これに代えて、ＢＣＭ処理部４１０が備える上記機能要素の全部又は一部を、それぞれ一つ以上の電子回路部品を含むハードウェアにより構成することもできる。

ＢＣＭ処理部４１０は、ＢＣＭ記憶部が記憶するプログラムを実行することにより、ＢＣＭ記憶部４２０が記憶するデータに基づいて、ＢＣＭ４００の各部を制御する。ＢＣＭ処理部４１０は、ＢＣＭ無線通信部４３０、及び、ＢＣＭバス通信部４４０を制御する。

ＢＣＭ無線通信部４３０は、ＦＯＢキー４と所定の近距離無線通信を行うための通信ハードウェアにより構成され、ＢＣＭ処理部４１０の制御に従って、ＦＯＢキー４と近距離無線通信を行う。

ＢＣＭバス通信部４４０は、例えばＣＡＮバスである車載ネットワークバス７００を介して他の装置と通信するＣＡＮトランシーバで構成され、車載ネットワークバス７００に接続する各装置と通信する。

［３−１−１．始動操作検知部］
始動操作検知部４１１は、車両始動スイッチ４０１がオンされたことを検知すると、ＦＯＢ通信部４１２へＦＯＢキー４の検出要求を行う。始動操作検知部４１１は、ＦＯＢ通信部４１２からＦＯＢキー４を検出したことを示す通知を受信すると、電源制御部４１３に車両１の始動要求を行う。一方で、ＦＯＢ通信部４１２から、ＦＯＢキー４を検出しなかったことを示す通知を受信すると、始動操作検知部４１１は、利用制御ＥＣＵ３００から車両１の始動許可を示す通知である始動許可通知を受信したか否かを判別する。始動操作検知部４１１は、利用制御ＥＣＵ３００から始動許可通知を受信した場合、電源制御部４１３に車両１の始動要求を行う。一方で、始動操作検知部４１１は、利用制御ＥＣＵ３００から始動許可通知を受信しない場合、電源制御部４１３に車両１の始動要求を行わない。
なお、本実施形態では、車両始動スイッチ４０１がオンになるとイグニッション及びアクセサリ電源がオンになるため、車両始動スイッチ４０１がオンオフするとは、「車両１の電源がオンオフすること」に相当する。

また、始動操作検知部４１１は、電源制御部４１３に車両１の始動要求を行うと、利用制御ＥＣＵ３００に、当該始動要求を実行したことを示す実行通知を、ＢＣＭバス通信部４４０を介して送信する。また、始動操作検知部４１１は、電源制御部４１３に車両１の始動要求を行わない場合、利用制御ＥＣＵ３００に、当該始動要求を実行しないことを示す非実行通知を、ＢＣＭバス通信部４４０を介して送信する。

また、始動操作検知部４１１は、車両始動スイッチ４０１がオフされたことを検知すると、電源制御部４１３に車両１の停止要求を行う。始動操作検知部４１１は、車両１の停止要求を行うと、この停止要求を行ったことを示す通知を、ＢＣＭバス通信部４４０を介して利用制御ＥＣＵ３００に送信する。

［３−１−２．ＦＯＢ通信部］
ＦＯＢ通信部４１２は、ＦＯＢキー４から第１認証情報を含むドアの解錠要求を受信したことに応じて、この解錠要求に含まれた第１認証情報と、ＢＣＭ記憶部４２０が記憶する図示せぬ第２認証情報と、を照合する。そして、ＦＯＢ通信部４１２は、ドアの解錠要求に含まれる第１認証情報と第２認証情報とが一致する場合に、この解錠要求に含まれる解除指示をドア制御部４１４に送信する。ＦＯＢ通信部４１２は、ＦＯＢキー４から第１認証情報を含むドアの施錠要求を受信した場合、ドアの解錠要求と同様に、ＦＯＢキー４の第１認証情報の照合を行い、施錠指示をドア制御部４１４に送信する。

［３−１−３．電源制御部］
電源制御部４１３は、始動操作検知部４１１から車両１の始動要求があった場合、電力供給システム４０２の動作をオンにする。これにより、電力供給システム４０２は、車両１の駆動モータ等への電力供給を開始し、車両１が始動可能となる。また、電源制御部４１３は、始動操作検知部４１１から車両１の停止要求を受信した場合、電力供給システム４０２の動作をオフにする。

［３−１−４．ドア制御部］
ドア制御部４１４は、ＦＯＢ通信部４１２又は利用制御ＥＣＵ３００から解除指示を受信した場合、ドアロック機構４０３を作動させてドアロックを解除する。また、ドア制御部４１４は、ＦＯＢ通信部４１２又は利用制御ＥＣＵ３００から施錠指示を受信した場合、ドアロック機構４０３を作動させてドアをロックする。ドア制御部４１４は、車両１のドアの開閉状態を、例えば図示せぬ開閉センサー等によって検知し、ドアの開閉状態を示す通知であるドア開閉状態通知を、利用制御ＥＣＵ３００に送信する。

［３−２．利用制御ＥＣＵの構成］
利用制御ＥＣＵ３００は、所有者９１０を含む利用者９００が携帯端末３の電子鍵８００を用いて行う車両１の利用に係る動作の許否を判定し、判定結果をＢＣＭ４００へ送信する。

具体的には、利用制御ＥＣＵ３００は、利用者９００の携帯端末３から電子鍵８００を含むドアの解除要求を受信したことに応じて、この電子鍵８００の認証を行うと共に、この電子鍵８００がドア解錠の権限を有するか否かを判定する。この電子鍵８００がドア解錠の権限を有している場合、利用制御ＥＣＵ３００は、ＢＣＭ４００にドアの解除要求を送信して、ＢＣＭ４００によりドアロックを解除する。施錠する場合も同様に、利用制御ＥＣＵ３００は、携帯端末３の電子鍵８００を認証して、認証が成功した場合に、ドアの施錠要求をＢＣＭ４００に送信する。

また、利用制御ＥＣＵ３００は、利用者９００の携帯端末３から始動許可認証情報３２０２を含む車両１の始動要求を受信したことに応じて、車両１の始動の許否を判定する。車両１の始動を許可すると判定した場合、利用制御ＥＣＵ３００は、車両１の始動要求をＢＣＭ４００へ送信して、ＢＣＭ４００により車両１を始動させる。なお、始動許可認証情報３２０２とは、車両１の始動を許可するための認証情報である。

利用制御ＥＣＵ３００は、ＥＣＵ処理部３１０と、ＥＣＵ記憶部３２０と、ＥＣＵ無線通信部３３０と、ＥＣＵバス通信部３４０と、を備える。ＥＣＵ記憶部３２０は、本発明の記憶部の一例に対応する。ＥＣＵ無線通信部３３０は、本発明の通信部の一例に対応する。

ＥＣＵ処理部３１０は、例えば、ＣＰＵ等のプロセッサを備えるコンピュータである。ＥＣＵ処理部３１０には、ＥＣＵ記憶部３２０が接続される。ＥＣＵ記憶部３２０は、ＥＣＵ処理部３１０が実行するコンピュータプログラムである制御プログラム、及びＥＣＵ処理部３１０によって処理される各種データを、ＥＣＵ処理部３１０によって読み取り可能に記憶する。

ＥＣＵ処理部３１０及びＥＣＵ記憶部３２０を構成するハードウェアは、サーバ処理部２００及びサーバ記憶部２１０と同様、特定の態様に限定されない。

ＥＣＵ処理部３１０は、機能要素又は機能ユニットとして、情報収集部３１１と、ドアロック認証部３１２と、認証情報生成部３１３、認証情報通知部３１４、経過時間計測部３１５、車両始動認証部３１６、及び、車両始動許可部３１７を備える。これらの機能要素は、コンピュータであるＥＣＵ処理部３１０が、ＥＣＵ記憶部３２０に記憶される制御プログラムを実行することにより実現される。情報取集部３１１は、本発明の利用予約取得部の一例に対応する。
なお、ＥＣＵ処理部３１０が実行する制御プログラムは、コンピュータが読み取り可能な任意の記憶媒体に記憶させておくことができる。これに代えて、ＥＣＵ処理部３１０が備える上記機能要素の全部又は一部を、それぞれ一つ以上の電子回路部品を含むハードウェアにより構成することもできる。

ＥＣＵ処理部３１０は、ＥＣＵ記憶部３２０が記憶するプログラムを実行することにより、ＥＣＵ記憶部３２０が記憶するデータに基づいて、利用制御ＥＣＵ３００の各部を制御する。ＥＣＵ処理部３１０は、ＥＣＵ無線通信部３３０、及び、ＥＣＵバス通信部３４０を制御する。

ＥＣＵ記憶部３２０は、車両側利用者ＤＢ３２０１、予約情報２１２３、始動許可認証情報３２０２、及び、無線通信端末情報３２０３を記憶する。車両側利用者ＤＢ３２０１は、ＥＣＵ処理部３１０により利用管理サーバ２が有するサーバ側利用者ＤＢ２１１０が定期的にダウンロードされてデータベースである。無線通信端末情報３２０３は、本発明の端末情報の一例に対応する。無線通信端末情報３２０３は、ＥＣＵ無線通信部３３０が近距離無線通信するために使用する携帯端末３の端末情報であり、例えば、Ｂｌｕｅｔｏｏｔｈ（登録商標）では車両１と携帯端末３との間でペアリングするための情報である。ＥＣＵ記憶部３２０は、ＥＣＵ無線通信部３３０と無線通信した携帯端末３の無線通信端末情報３２０３を１又は複数記憶する。

ＥＣＵ無線通信部３３０は、例えばＢｌｕｅｔｏｏｔｈ等の近距離通信規格に従って近距離無線通信する通信ハードウェアにより構成される。ＥＣＵ無線通信部３３０は、ＥＣＵ記憶部３２０に記憶された無線通信端末情報３２０３に基づいて、車両１の車室内又は周囲に存在する携帯端末３と自動的に通信接続して、通信接続した携帯端末３と無線通信する。

ＥＣＵバス通信部３４０は、例えば車載ネットワークバス７００を介してＢＣＭ４００等の他の装置と通信するＣＡＮトランシーバにより構成され、ＥＣＵ処理部３１０の制御に従って、車載ネットワークバス７００に接続する装置と通信する。

［３−２−１．情報収集部］
情報収集部３１１は、所定の間隔で、ＴＣＵ６００を介して利用管理サーバ２と通信し、サーバ側利用者ＤＢ２１１０の内容をダウンロードする。情報取集部３１１は、ダウンロードしたサーバ側利用者ＤＢ２１１０の内容を、車両側利用者ＤＢ３２０１としてＥＣＵ記憶部３２０に記憶する。

また、情報収集部３１１は、ＴＣＵ６００を介して利用管理サーバ２と通信し、利用管理サーバ２から予約情報２１２３を受信する。情報収集部３１１は、予約情報２１２３を受信すると、受信した予約情報２１２３をＥＣＵ記憶部３２０に記憶させる。この情報収集部３１１が予約情報２１２３をＥＣＵ記憶部３２０に記憶させることは、「車両１の利用予約を取得する」ことに相当する。

また、情報収集部３１１は、利用管理サーバ２から車両１の利用終了通知を受信すると、ＥＣＵ記憶部３２０が記憶する予約情報２１２３を消去する。情報収集部３１１は、利用管理サーバ２から受信した利用終了通知に次の利用予約の予約情報２１２３が含まれている場合、この予約情報２１２３をＥＣＵ記憶部３２０に記憶させる。なお、予約情報２１２３には、利用時間情報２１２２が含まれているため、情報収取部３１１が取得した車両１の利用予約には、車両１の利用時間が含まれている。

［３−２−２．ドアロック認証部］
ドアロック認証部３１２は、ＥＣＵ無線通信部３３０を介して、車両１の車室内又は車両１の周囲に存在する携帯端末３から電子鍵８００を含むドアの解錠要求を受信した場合、携帯端末３から受信した電子鍵８００がドア解錠の権限を有する電子鍵８００であるかの認証を行う。また、ドアロック認証部３１２は、ＥＣＵ無線通信部３３０を介して、車両１の周囲に存在する携帯端末３から電子鍵８００を含むドアの施錠要求を受信した場合、携帯端末３から受信した電子鍵８００がドア施錠の権限を有する電子鍵８００であるかの認証を行う。

ドアロック認証部３１２は、ドアの解錠要求又は施錠要求に含まれる電子鍵８００を対象としてドアロック認証処理を実行する。ドアロック認証処理では、ドアロック認証部３１２は、対象とする電子鍵８００の電子鍵基本情報２１１２が、ＥＣＵ記憶部３２０が記憶する車両側利用者ＤＢ３２０１に記憶されているいずれかの電子鍵基本情報２１１２と一致するか否かを判定する。

一致しないと判定した場合、ドアロック認証部３１２は、認証が失敗したとして、携帯端末３から受信した電子鍵８００がドア解錠の権限を有する電子鍵８００でないと判定する。

一方で、一致すると判定した場合、ドアロック認証部３１２は、携帯端末３から受信した電子鍵８００から属性情報２１１４を取得する。取得した属性情報２１１４が示す属性が特定利用者である場合、ドアロック認証部３１２は、携帯端末３から受信した電子鍵８００がドア解錠の権限を有する電子鍵８００であると判定する。取得した属性情報２１１４が示す属性が非特定利用者である場合、ドアロック認証部３１２は、携帯端末３から受信した電子鍵８００から、予約ＩＤ２１２１、及び、利用時間情報２１２２を取得し、ＥＣＵ記憶部３２０が記憶する予約情報２１２３と比較する。ドアロック認証部３１２は、取得した予約ＩＤ２１２１が、ＥＣＵ記憶部３２０が記憶する予約情報２１２３の予約ＩＤ２１２１と一致し、且つ、現在時刻が取得した利用時間情報２１２２が示す利用時間内である場合に、携帯端末３から受信した電子鍵８００がドア解錠の権限を有する電子鍵８００であると判定する。一方、ドアロック認証部３１２は、予約ＩＤ２１２１が一致しない、或いは、現在時刻が利用時間情報２１２２が示す利用時間内でない場合に、携帯端末３から受信した電子鍵８００がドア解錠の権限を有する電子鍵８００でないと判定する。

ドアロック認証部３１２は、携帯端末３から受信した電子鍵８００がドア解錠或いはドア施錠の権限を有する電子鍵８００であると判定した場合、ＢＣＭ４００にドアの解除要求或いは施錠要求を送信する。一方で、ドアロック認証部３１２は、携帯端末３から受信した電子鍵８００がドア解錠或いはドア施錠の権限を有する電子鍵８００でないと判定した場合、その旨を携帯端末３に送信する。

［３−２−３．認証情報生成部］
認証情報生成部３１３は、車両１の始動を許可するための始動許可認証情報３２０２を生成する。また、認証情報生成部３１３は、後述する場合に、始動許可認証情報３２０２を生成しない。認証情報生成部３１３は、生成した始動許可認証情報３２０２を、ＥＣＵ記憶部３２０に記憶させる。認証情報生成部３１３は、始動許可認証情報３２０２を新たに生成した場合、ＥＣＵ記憶部３２０に記憶された始動許可認証情報３２０２を、新たに生成した始動許可認証情報３２０２へ更新する。

［３−２−４．認証情報通知部］
認証情報通知部３１４は、ＥＣＵ記憶部３２０が記憶する始動許可認証情報３２０２を表示装置５００Ａによって表示させることで、車両１内に始動許可認証情報３２０２を通知する。例えば、始動許可認証情報３２０２が「１２３４」の数列である場合、認証情報通知部３１４は、表示装置５００Ａに当該数列を表示させる。なお、認証情報通知部３１４の通知態様は、表示装置５００Ａによる表示に限定されず、例えば、スピーカ等によって車両１内に音声出力する態様でもよい。

［３−２−５．経過時間計測部］
経過時間計測部３１５は、認証情報通知部３１４が始動許可認証情報３２０２を通知した後の経過時間を計測する。

［３−２−６．車両始動認証部］
車両始動認証部３１６は、携帯端末３から、始動許可認証情報３２０２及び電子鍵８００を含む車両１の始動要求を受信した場合、この始動要求に含まれる始動許可認証情報３２０２及び電子鍵８００を対象として始動許可認証処理を実行する。なお、携帯端末３には、車両１の始動要求を車両１に送信する機能を実行するためのプログラムが予めインストールされている。利用者９００は、携帯端末３に始動許可認証情報３２０２を入力し、この入力を確定する操作を行うことで、車両１の始動要求を車両１に送信する。

始動許可認証処理では、車両始動認証部３１６は、対象とする始動許可認証情報３２０２が、ＥＣＵ記憶部３２０が記憶する始動許可認証情報３２０２と一致するか否かを判定する。一致しないと判定した場合、車両始動認証部３１６は、認証に失敗したとして、車両１の始動要求を送信した携帯端末３を携帯する利用者９００が、車両１の始動の権限を有する利用者９００でないと判定し、認証結果としてこの判定結果を車両始動許可部３１７に送信する。

一方で、一致すると判定した場合、車両始動認証部３１６は、ドアロック認証部３１２と同様に、電子鍵８００の電子鍵基本情報２１１２、属性情報２１１４、予約ＩＤ２１２１、及び利用時間情報２１２２に基づいて、車両１の始動要求を送信した携帯端末３を携帯する利用者９００が車両１の始動の権限を有する利用者９００であるか否かを判定する。

すなわち、車両始動認証部３１６は、電子鍵基本情報２１１２が一致しない場合、車両１の始動要求を送信した携帯端末３を携帯する利用者９００が車両１の始動の権限を有する利用者９００でないと判定し、認証結果としてこの判定結果を車両始動許可部３１７に送信する。
また、車両始動認証部３１６は、電子鍵基本情報２１１２が一致する場合、属性情報２１１４が示す属性が特定利用者である場合、車両１の始動要求を送信した携帯端末３を携帯する利用者９００が車両１の始動の権限を有する利用者９００であると判定し、認証結果としてこの判定結果を車両始動許可部３１７に送信する。一方、属性が非特定利用者である場合、車両始動認証部３１６は、予約ＩＤ２１２１が一致しない、或いは、現在時刻が利用時間情報２１２２が示す利用時間内でない場合、電子鍵基本情報２１１２の不一致と同じ判定を行い、認証結果としてこの判定結果を車両始動許可部３１７に送信する。また、車両始動認証部３１６は、電子鍵基本情報２１１２及び予約ＩＤ２１２１が一致し、且つ、現在時刻が利用時間情報２１２２が示す利用時間内である場合、車両１の始動要求を送信した携帯端末３を携帯する利用者９００が車両１の始動の権限を有する利用者９００であると判定し、認証結果としてこの判定結果を車両始動許可部３１７に送信する。

［３−２−７．車両始動許可部］
車両始動許可部３１７は、車両始動認証部３１６の判定結果に基づいて、車両１の始動を許可するか否か判定する。車両始動許可部３１７は、車両始動認証部３１６から、車両１の始動要求を送信した携帯端末３を携帯する利用者９００が、車両１の始動の権限を有する利用者９００でないとの判定結果を受信した場合、車両１の始動を許可しないと判定する。一方で、車両始動許可部３１７は、車両始動認証部３１６から車両１の始動要求を送信した携帯端末３を携帯する利用者９００が、車両１の始動の権限を有する利用者９００であるとの判定結果を受信した場合、車両１の始動を許可すると判定する。車両始動許可部３１７は、車両１の始動を許可すると判定した場合、始動許可通知をＢＣＭ４００に送信する。これにより、車両始動スイッチ４０１がオンになることで、車両１は始動可能となる。

［４．車両制御システムにおける処理］
次に、利用者９００が携帯端末３を利用して、車両１に乗り込んで車両１を始動させるまでの車載システム１００の動作について、図６を参照して説明する。

図６は、車載システム１００の動作を示すフローチャートである。
図６において、フローチャートＦＡは、車載システム１００のＢＣＭ４００の動作を示す。また、フローチャートＦＢは、車載システム１００の利用制御ＥＣＵ３００の動作を示す。

図６のフローチャートＦＡ、ＦＢの開始時点では、利用者９００がゲスト利用者９３０、９４０である場合であっても、車両１の利用予約が適切に行われており、利用管理サーバ２及び車両１には、当該利用予約が適切に登録されているとする。なお、利用管理サーバ２に利用予約が登録されているとは、利用予約に対応する予約情報２１２３が利用予約ＤＢ２１２０に格納されていることを意味し、車両１に利用予約が登録されているとは、当該予約情報２１２３が利用制御ＥＣＵ３００のＥＣＵ記憶部３２０に記憶されていることを意味する。
また、図６のフローチャート開始時点では、車両１のいずれのドアが施錠された状態であり、車両始動スイッチ４０１がオフであるとする。

フローチャートＦＢを参照して、車載システム１００の利用制御ＥＣＵ３００のドアロック認証部３１２は、利用者９００の携帯端末３からドアの解錠要求を受信したか否かを判別する（ステップＳＢ１）。

ドアロック認証部３１２は、ドアの解錠要求を受信していないと判別した場合（ステップＳＢ１：ＮＯ）、再度、ステップＳＢ１の処理を実行して、携帯端末３からのドアの解錠要求の受信を待機する。なお、上述したように、このドアの解錠要求には、送信元である携帯端末３が保持する電子鍵８００が含まれる。

一方、ドアの解錠要求を受信したと判別した場合（ステップＳＢ１：ＹＥＳ）、ドアロック認証部３１２は、ドアの解錠要求に含まれる電子鍵８００が有効な電子鍵８００であるかの認証を行う（ステップＳＢ２）。つまり、ドアロック認証部３１２は、当該解除要求に含まれる電子鍵８００がドア解錠の権限を有する電子鍵８００であるかの認証を行う。

ドアロック認証部３１２は、ドアの解錠要求に含まれる電子鍵８００が有効な電子鍵８００でないと認証した場合（ステップＳＢ２：ＮＯ）、処理をステップＳＢ１に戻す。

一方で、ドアロック認証部３１２は、ドアの解錠要求に含まれる電子鍵８００が有効な電子鍵８００であると認証した場合（ステップＳＢ２：ＹＥＳ）、ＢＣＭ４００にドアの解除要求を送信する（ステップＳＢ３）。

フローチャートＦＡを参照して、車載システム１００のＢＣＭ４００のドア制御部４１４は、ＢＣＭバス通信部４４０を介して、利用制御ＥＣＵ３００からドアの解除要求を受信する（ステップＳＡ１）。

ドア制御部４１４は、利用制御ＥＣＵ３００からドアの解錠要求を受信すると、ドアロック機構４０３を作動させてドアロックを解除する（ステップＳＡ２）。

次いで、ドア制御部４１４は、車両１のいずれかのドアが開状態に移行したか否かを判別する（ステップＳＡ３）。ドア制御部４１４は、車両１のいずれのドアが開状態に移行していないと判別した場合（ステップＳＡ３：ＮＯ）、再度、ステップＳＡ３の処理を実行する。

一方で、ドア制御部４１４は、車両１のいずれかのドアが開状態に移行したと判別した場合（ステップＳＡ３：ＹＥＳ）、ＢＣＭバス通信部４４０を介して、ドアが開状態であることを示すドア開閉状態通知を利用制御ＥＣＵ３００に送信する（ステップＳＡ４）。

フローチャートＦＢを参照して、利用制御ＥＣＵ３００の認証情報通知部３１４は、ＥＣＵバス通信部３４０を介して、ドアが開状態であることを示すドア開閉状態通知をＢＣＭ４００から受信する（ステップＳＢ４）。

次いで、認証情報通知部３１４は、ＥＣＵ記憶部３２０が記憶する始動許可認証情報３２０２を表示装置５００Ａによって表示させることで、車両１内に始動許可認証情報３２０２を通知する（ステップＳＢ５）。

次いで、経過時間計測部３１５は、認証情報通知部３１４が始動許可認証情報３２０２を通知した後の経過時間の計測を開始する（ステップＳＢ６）。

次いで、車両始動認証部３１６は、ＥＣＵ無線通信部３３０を介して、携帯端末３から車両１の始動要求を受信したか否かを判別する（ステップＳＢ７）。なお、上述したように、車両１の始動要求は、始動許可認証情報３２０２、及び、携帯端末３が保持する電子鍵８００を含む。

携帯端末３には、車両１の始動要求を車両１に送信する機能を実行するためのプログラムが予めインストールされている。利用者９００は、携帯端末３に始動許可認証情報３２０２を入力し、この入力を確定する操作を行うことで、車両１の始動要求を車両１に送信する。

車両始動認証部３１６が、携帯端末３から車両１の始動要求を受信していないと判別した場合（ステップＳＢ７：ＮＯ）、認証情報通知部３１４は、経過時間計測部３１５が計測した経過時間が、予め定められた所定の時間となったか否かを判別する（ステップＳＢ８）。

認証情報通知部３１４は、経過時間計測部３１５が計測した経過時間が、予め定められた所定の時間となっていないと判別した場合（ステップＳＢ８：ＮＯ）、処理をステップＳＢ７に戻し、再度、ステップＳＢ７の処理を実行する。

一方、認証情報通知部３１４は、経過時間計測部３１５が計測した経過時間が、予め定められた所定の時間となったと判別した場合（ステップＳＢ８：ＹＥＳ）、始動許可認証情報３２０２の通知を停止する（ステップＳＢ９）。本実施形態では、ステップＳＢ９において、認証情報通知部３１４は、アプリケーション実行装置５００の表示装置５００Ａによる始動許可認証情報３２０２の表示を止める。

このように、認証情報通知部３１４は、始動許可認証情報３２０２を通知してから所定の時間が経過した場合、始動許可認証情報３２０２の通知を停止する。そのため、携帯端末３から車両１の始動要求がなく長期間に亘って不必要に始動許可認証情報３２０２が通知されることを防止でき、始動許可認証情報３２０２の通知による消費電力増大を防止できる。

ステップＳＢ７の説明に戻り、車両始動認証部３１６は、携帯端末３から車両１の始動要求を受信したと判別した場合（ステップＳＢ７：ＹＥＳ）、当該始動要求を送信した携帯端末３を携帯する利用者９００の認証を行う（ステップＳＢ１０）。すなわち、車両始動認証部３１６は、車両１の始動要求を送信した携帯端末３を携帯する利用者９００が車両１の始動の権限を有する利用者９００であるかを判定する。この認証は、車両１の始動に関わる認証である。

次いで、車両始動許可部３１７は、ステップＳＢ１１の認証が成功した失敗したかを判別する（ステップＳＢ１１）。車両始動許可部３１７は、ステップＳＢ１１において、車両１の始動要求を送信した携帯端末３を携帯する利用者９００が、車両１の始動の権限を有する利用者９００であるとの判定結果を車両始動認証部３１６から受信した場合、ステップＳＢ１１の認証が成功したと判別する。一方、車両始動許可部３１７は、ステップＳＢ１１において、車両１の始動要求を送信した携帯端末３を携帯する利用者９００が、車両１の始動の権限を有する利用者９００でないとの判定結果を車両始動認証部３１６から受信した場合、ステップＳＢ１１の認証が失敗したと判別する。

車両始動許可部３１７がステップＳＢ１１の認証が失敗したと判別した場合（ステップＳＢ１１：「失敗」）、認証情報通知部３１４は、ステップＳＢ９の処理を実行して、動作を終了する。

一方、車両始動許可部３１７は、ステップＳＢ１１の認証が成功したと判別した場合（ステップＳＢ１１：「成功」）、ＥＣＵバス通信部３４０を介して、始動許可通知をＢＣＭ４００に送信する（ステップＳＢ１２）。車両始動許可部３１７が始動許可通知をＢＣＭ４００に送信すると、認証情報通知部３１４は、ステップＳＢ９の処理を実行して、動作を終了する。

フローチャートＦＡを参照して、ＢＣＭ４００の始動操作検知部４１１は、ＢＣＭバス通信部４４０を介して、始動許可通知を受信する（ステップＳＡ５）。

次いで、始動操作検知部４１１は、車両始動スイッチ４０１がオンされたか否かを判別する（ステップＳＡ６）。始動操作検知部４１１は、車両始動スイッチ４０１がオンされていないと判別した場合（ステップＳＡ６：ＮＯ）、始動許可通知を受信してから車両始動スイッチ４０１がオフしている期間が所定期間を経過したか否かを判別する（ステップＳＡ７）。

始動操作検知部４１１は、所定期間を経過していないと判別した場合（ステップＳＡ７：ＮＯ）、再度、ステップＳＡ６の処理を実行する。一方で、始動操作検知部４１１は、所定期間を経過したと判別した場合（ステップＳＡ７：ＹＥＳ）、タイムアウトにより車両１を始動可能としない旨の通知として非実行通知を、ＢＣＭバス通信部４４０を介して、利用制御ＥＣＵ３００に送信し（ステップＳＡ８）、本動作を終了する。

ステップＳＡ６の説明に戻り、始動操作検知部４１１は、車両始動スイッチ４０１がオンされたと判別した場合（ステップＳＡ６：ＹＥＳ）、電源制御部４１３に車両１の始動要求を行い、車両１の始動を開始する（ステップＳＡ９）。そして、始動操作検知部４１１は、車両１の始動を開始した旨の通知として実行通知を、ＢＣＭバス通信部４４０を介して、利用制御ＥＣＵ３００に送信し（ステップＳＡ１０）、本動作を終了する。

以上のように、利用制御ＥＣＵ３００の認証情報通知部３１４は、始動許可認証情報３２０２を車両１内に通知する。そして、利用制御ＥＣＵ３００の車両始動認証部３１６は、車両１内に通知された始動許可認証情報３２０２が、携帯端末３から受信した場合、始動許可認証情報３２０２に基づいて車両１の始動に関する認証を行う。そして、利用制御ＥＵＣ３００の車両始動許可部３１７は、この認証に成功した場合、車両１の始動を許可する。

これによれば、利用者９００は、携帯端末３によって車両１を始動させるために、車両１内に通知されている始動許可認証情報３２０２を認識する必要がある。そのため、利用者９００は、携帯端末３によって車両１を始動させるためには、車両１に乗車する必要がある。したがって、利用制御ＥＣＵ３００は、携帯端末３と自動で通信接続する構成でも、利用者９００の誤操作等によって当該利用者９００から離れた位置で車両１が始動可能になることを防止できる。そのため、利用制御ＥＣＵ３００は、携帯端末３により始動可能な車両１が不正利用されることを防止できる。

［５．認証情報生成部の動作］
上述したように、認証情報通知部３１４は、ＥＣＵ記憶部３２０が記憶する始動許可認証情報３２０２、すなわち認証情報生成部３１３が生成した始動許可認証情報３２０２を通知する。利用制御ＥＣＵ３００の認証情報生成部３１３は、以下の動作を実行することで、利用者９００にとって車両１を利用し易いものにし、また、車両１の利用におけるセキュリティを向上できる。

図７は、認証情報生成部３１３の動作を示すフローチャートＦＣである。

認証情報生成部３１３は、始動許可認証情報３２０２を生成するトリガーである生成トリガーが発生したか否かを判別する（ステップＳＣ１）。
本実施形態では、生成トリガーは４つある。

＜生成トリガー１＞
生成トリガー１：車両１の電源がオンになったこと。
認証情報生成部３１３は、図６のステップＳＡ１０においてＢＣＭ４００が送信した実行通知を受信した場合、生成トリガー１が発生したと判別する。

＜生成トリガー２＞
生成トリガー２：認証情報通知部３１４が始動許可認証情報３２０２を通知してから所定の時間、車両１の始動要求を受信せず、始動許可認証情報３２０２の基づく認証がタイムアウトになったこと。
認証情報生成部３１３は、図６のステップＳＢ８において肯定判別した場合、生成トリガー２が発生したと判別する。

＜生成トリガー３＞
生成トリガー３：ＢＣＭ４００が始動許可通知を利用制御ＥＣＵ３００から受信してから所定期間、車両始動スイッチ４０１がオフからオンに移行せず、車両１の始動がタイムアウトになったこと。
認証情報生成部３１３は、図６のステップＳＡ８においてＢＣＭ４００が送信した非実行通知を受信した場合、生成トリガー３が発生したと判別する。

＜生成トリガー４＞
生成トリガー４：利用管理サーバ２から利用終了通知を受信したこと。
認証情報生成部３１３は、利用管理サーバ２から利用終了通知を受信した場合、生成トリガー４が発生したと判別する。

図７のフローチャートＦＣの説明に戻り、認証情報生成部３１３は、生成トリガーが発生しないと判別した場合（ステップＳＣ１：ＮＯ）、再度、ステップＳＣ１の処理を実行する。

一方、認証情報生成部３１３は、生成トリガーを発生したと判別した場合（ステップＳＣ１：ＹＥＳ）、発生した生成トリガーが生成トリガー４であるか否かを判別する（ステップＳＣ２）。

認証情報生成部３１３は、発生した生成トリガーが生成トリガー４であると判別した場合（ステップＳＣ２：ＹＥＳ）、ＥＣＵ記憶部３２０が記憶する始動許可認証情報３２０２と異なる始動許可認証情報３２０２を生成する（ステップＳＣ３）。そして、認証情報生成部３１３は、ＥＣＵ記憶部３２０が記憶する始動許可認証情報３２０２を、新たに生成した始動許可認証情報３２０２に更新する（ステップＳＣ４）。ステップＳＣ４の処理を実行すると、認証情報生成部３１３は、処理をステップＳＣ１に戻す。

ステップＳＣ２の説明に戻り、認証情報生成部３１３は、発生した生成トリガーが生成トリガー４でないと判別した場合（ステップＳＣ２：ＮＯ）、すなわち、発生した生成トリガーが生成トリガー１〜生成トリガー３のいずれかであると判別した場合、現在時刻が、ＥＣＵ記憶部３２０が記憶する予約情報２１２３が示す利用時間内であるか否かを判別する（ステップＳＣ５）。

認証情報生成部３１３は、現在時刻が、ＥＣＵ記憶部３２０が記憶する予約情報２１２３が示す利用時間内でないと判別する（ステップＳＣ５：ＮＯ）、ステップＳＣ３、ＳＣ４の処理を実行する。すなわち、認証情報生成部３１３は、新たに始動許可認証情報３２０２を生成してＥＣＵ記憶部３２０を更新する。

一方、認証情報生成部３１３は、現在時刻が、ＥＣＵ記憶部３２０が記憶する予約情報２１２３が示す利用時間内であると判別する（ステップＳＣ５：ＹＥＳ）、生成トリガーが発生しても始動許可認証情報３２０２を新たに生成せず（ステップＳＣ６）、処理をステップＳＣ１に戻す。

次に、上述した認証情報生成部３１３の動作について具体例を挙げて説明する。
図８は、複数の利用者９００による車両１の利用状況の一例を示すタイムチャートである。

図８において、チャートＡ１は、表示装置５００Ａの表示画面の状態を示している。チャートＡ１において、「Ｂｌａｃｋ」の文字が付された表示画面の状態は、情報を表示していない状態を示している。また、チャートＡ１において、「Ｕｓｅｒ」の文字が付された表示画面の状態は、始動許可認証情報３２０２を表示している状態を示している。また、チャートＡ１において、「Ｐｏｗｅｒ」の文字が示す表示画面の状態は、車両１を始動させるためのガイダンスの情報を表示している状態を示している。また、チャートＡ１において、「Ａｃｃ／Ｉｇ ｏｎ」の文字が示す表示画面の状態は、イグニッション及びアクセサリ電源がオンである場合の状態を示している。本実施形態では、表示装置５００Ａの表示画面は、各認証が適切になされて車両１が始動すると、「Ｂｌａｃｋ」、「Ｕｓｅｒ」、「Ｐｏｗｅｒ」、「Ａｃｃ／Ｉｇ ｏｎ」の文字が示す状態の順で切り替わる。また、イグニッション及びアクセサリ電源がオフすると、当該表示画面は、「Ｂｌａｃｋ」の文字が示す状態に切り替わる。

また、図８において、チャートＡ２は、車両１の状態を示している。チャートＡ２において、「ＩＧ ＯＦＦ」の文字が付された車両１の状態は、イグニッションがオフである状態、すなわち、車両１の駆動モータ等への電力供給が停止している状態を示している。また、チャートＡ２において、「ＩＧ ＯＮ」の文字が付された車両１の状態は、イグニッションがオンであり、車両１の駆動モータ等への電力供給がされている状態を示している。

また、図８において、チャートＡ３は、始動許可認証情報３２０２の状態を示している。チャートＡ３において、数列は、始動許可認証情報３２０２の具体例である。また、図８において、チャートＡ４は、車両１を利用する利用者９００を示している。また、図８において、チャートＡ５は、車両１の利用予約の状況を示している。

タイミングＴＡ１において、家族利用者９２０は、車両１の利用を開始する。家族利用者９２０は、チャートＴＡ５に示すように、車両１の利用予約を行っていない。認証が適切になされて、タイミングＴＡ２において、家族利用者９２０が車両始動スイッチ４０１をオンにすると、チャートＡ２に示すように、車両１は、イグニッションがオンになり始動可能となる。この場合、認証情報生成部３１３は、生成トリガー１が発生したとして、図７においてステップＳＣ１：ＹＥＳ、ＳＣ２：ＮＯ、ＳＣ５：ＮＯ、ＳＣ３、ＳＣ４の順で処理を実行する。そのため、認証情報生成部３１３は、チャートＡ３に示すように、タイミングＴＡ２において、「２３４５」の新たな始動許可認証情報３２０２を生成する。そして、家族利用者９２０が車両１を利用している間、ＥＣＵ記憶部３２０には、新たな「２３４５」の始動許可認証情報３２０２が保持される。タイミングＴＡ３になると、家族利用者９２０は、車両始動スイッチ４０１をオフにして車両１の利用を終了する。

タイミングＴＡ４において、ゲスト利用者９３０は、家族利用者９２０の次に、車両１の利用を開始したとする。ゲスト利用者９３０は、車両１の利用予約をしている。ゲスト利用者９３０が車両１を利用する際、認証情報通知部３１４は、家族利用者９２０が利用していた際に生成された「２３４５」の始動許可認証情報３２０２が、車両１内に通知される。

このように、前回の利用者９００である家族利用者９２０が車両１の電源をオフする前に、始動許可認証情報３２０２を生成するため、認証情報生成部３１３は、今回の利用者９００であるゲスト利用者９３０が車両１の利用を開始する際に、新たな始動許可認証情報３２０２を生成する必要がない。そのため、認証情報通知部３１４は速やかに新たな始動許可認証情報３２０２を通知でき、ゲスト利用者９３０は、車両１を速やかに始動させることが可能となる。したがって、利用制御ＥＣＵ３００は、車両１を、利用者９００にとって利用し易い車両１にできる。

認証が適切になされて、タイミングＴＡ５において、ゲスト利用者９３０が車両始動スイッチ４０１をオンにすると、チャートＡ２に示すように、車両１は、始動可能となる。この場合、認証情報生成部３１３は、生成トリガー１が発生したとして、図７においてステップＳＣ１：ＹＥＳ、ＳＣ２：ＮＯ、ＳＣ５：ＹＥＳ、ＳＣ６の順で処理を実行する。そのため、認証情報生成部３１３は、新たな始動許可認証情報３２０２の生成を行わない。これにより、ゲスト利用者９３０が車両１を利用している間、ＥＣＵ記憶部３２０には、「２３４５」の始動許可認証情報３２０２が継続して保持される。

ゲスト利用者９３０が予約した利用時間内であるが、タイミングＴＡ６において、ゲスト利用者９３０の車両１の利用が終了し、家族利用者９２０が、車両１の利用を開始したとする。ゲスト利用者９３０が予約した利用時間内において家族利用者９２０が車両１を利用する際、認証情報通知部３１４は、ゲスト利用者９３０が車両１を利用する際に車両１内に通知された「２３４５」の始動許可認証情報３２０２が、車両１内に通知される。認証が適切になされて、タイミングＴＡ７において、家族利用者９２０が車両始動スイッチ４０１をオンにすると、チャートＡ２に示すように、電源がオンになり、車両１は始動可能となる。この場合、認証情報生成部３１３は、生成トリガー１が発生したとして、図７においてステップＳＣ１：ＹＥＳ、ＳＣ２：ＮＯ、ＳＣ５：ＹＥＳ、ＳＣ６の順で処理を実行する。そのため、認証情報生成部３１３は、新たな始動許可認証情報３２０２の生成を行わない。これにより、ゲスト利用者９３０の利用時間内において家族利用者９２０が車両１を利用している間でも、ＥＣＵ記憶部３２０には、「２３４５」の始動許可認証情報３２０２が継続して保持される。

このように、ゲスト利用者９３０が予約した利用時間の間、たとえ家族利用者９２０のような特定利用者が車両１を利用した場合でも、認証情報生成部３１３は、新たな始動許可認証情報３２０２を生成しない。図８では、ゲスト利用者９３０は、利用時間において１度しか車両１を利用しない場合を示しているが、利用態様によっては利用時間内に複数回、車両１の電源をオンオフすることがあり得る。この場合、毎回、異なる始動許可認証情報３２０２を通知されると、ゲスト利用者９３０は、毎回、異なる始動許可認証情報３２０２を携帯端末３Ｃに入力することになり、車両１の利用のし易さが低下する。そこで、認証情報生成部３１３は、ゲスト利用者９３０が予約した利用時間の間、新たな始動許可認証情報３２０２を生成しない。これにより、利用予約が示す利用時間の間は、車両１を始動させる際、毎回、異なる始動許可認証情報３２０２を利用者９００が携帯端末３に入力することがない。そのため、利用制御ＥＣＵ３００は、車両１を、利用者９００にとって利用し易い車両１にできる。

タイミングＴＡ８において、ゲスト利用者９３０が車両始動スイッチ４０１をオフにして車両１の利用を終えて、利用管理サーバ２が車両１に利用終了通知を送信したとする。この場合、認証情報生成部３１３は、生成トリガー４が発生したとして、図７においてステップＳＣ１：ＹＥＳ、ステップＳＣ２：ＹＥＳ、ステップＳＣ３、ＳＣ４の順で処理を実行する。そのため、認証情報生成部３１３は、「３４５６」の新たな始動許可認証情報３２０２を生成する。そして、タイミングＴＡ８において、ＥＣＵ記憶部３２０には、新たな「３４５６」の始動許可認証情報３２０２が保持される。

タイミングＴＡ９において、ゲスト利用者９４０は、家族利用者９２０の次に、車両１の利用を開始する。ゲスト利用者９４０は、ゲスト利用者９３０の次に、車両１の利用予約をしている。ゲスト利用者９４０が車両１を利用する際、認証情報通知部３１４は、ゲスト利用者９４０が利用を開始する前に生成された新たな「３４５６」の始動許可認証情報３２０２を、車両１内に通知する。

このように、認証情報生成部３１３は、ゲスト利用者９４０が行った利用予約による車両１の利用の開始前に、始動許可認証情報３２０２を生成する。これにより、認証情報生成部３１３は、今回の利用者９００であるゲスト利用者９４０が車両１の利用を開始する際に、新たな始動許可認証情報３２０２を生成する必要がない。そのため、認証情報通知部３１４は速やかに新たな始動許可認証情報３２０２を通知でき、ゲスト利用者９４０は、車両１を速やかに始動させることが可能となる。したがって、利用制御ＥＣＵ３００は、車両１の利用のし易さを向上できる。また、利用時間における車両１の利用の開始前に始動許可認証情報３２０２を生成するため、ゲスト利用者９４０のみが、当該利用時間において車両１を始動させるための始動許可認証情報３２０２を認識できることが可能となり、車両１の不正利用を防止できる。したがって、利用制御ＥＣＵ３００は、車両１の利用におけるセキュリティを向上できる。

認証が適切になされて、タイミングＴＡ１０において、ゲスト利用者９４０が車両始動スイッチ４０１をオンにすると、チャートＡ２に示すように、車両１は、始動可能となる。タイミングＴＡ１０は、ゲスト利用者９４０の利用時間内であるため、認証情報生成部３１３は、新たな始動許可認証情報３２０２の生成を行わない。そのため、タイミングＴＡ１０以降、ＥＣＵ記憶部３２０には、「３４５６」の始動許可認証情報３２０２が継続して保持される。

タイミングＴＡ１１において、ゲスト利用者９４０が車両始動スイッチ４０１をオフにして車両１の利用を終えて、利用管理サーバ２が車両１に利用終了通知を送信したとする。この場合、認証情報生成部３１３は、タイミングＴＡ８における処理と同じ処理を実行するため、「４５６７」の新たな始動許可認証情報３２０２を生成する。そして、タイミングＴＡ１１以降、ＥＣＵ記憶部３２０には、新たな「４５６７」の始動許可認証情報３２０２が保持される。

タイミングＴＡ１２において、家族利用者９２０が、ゲスト利用者９４０の次に車両１の利用を開始したとする。家族利用者９２０は、車両１の利用予約をしていない。家族利用者９２０が車両１を利用する際、認証情報通知部３１４は、新たに生成された「４５６７」の始動許可認証情報３２０２が、車両１内に通知される。認証が適切になされて、タイミングＴＡ１３において、家族利用者９２０が車両始動スイッチ４０１をオンにすると、チャートＡ２に示すように、車両１は始動可能となる。ここで、利用制御ＥＣＵ３００は、図７において、タイミングＴＡ２における処理と同じ処理を実行するため、認証情報生成部３１３は、「５６７８」の新たな始動許可認証情報３２０２を生成する。そして、タイミングＴＡ１３以降、ＥＣＵ記憶部３２０には、「５６７８」の始動許可認証情報３２０２が保持される。

図９は、複数の利用者９００による車両１の利用状況の一例を示すタイムチャートである。

図９において、チャートＢ１は、表示装置５００Ａの表示画面の状態を示している。チャートＢ１において、各文字が示す表示画面の状態は、図８と同じである。また、図９において、チャートＢ２は、車両１の状態を示している。チャートＢ２において、「ＩＧ ＯＦＦ」、及び「ＩＧ ＯＮ」が示す状態は、図８と同じである。図９において、チャートＢ３は、始動許可認証情報３２０２の状態を示している。チャートＢ３において、数列は、始動許可認証情報３２０２の具体例である。図９において、チャートＢ４は、車両１を利用する利用者９００を示している。図９において、チャートＢ５は、車両１の利用予約状況を示している。

タイミングＴＢ１において、家族利用者９２０は、車両１の利用を開始する。家族利用者９２０は、車両１の利用予約をしていない。所定の理由により家族利用者９２０が車両１の始動要求を行わず、タイミングＴＢ２において、始動許可認証情報３２０２に基づく認証がタイムアウトになったとする。この場合、認証情報生成部３１３は、生成トリガー２が発生したとして、図７においてステップＳＣ１：ＹＥＳ、ＳＣ２：ＮＯ、ＳＣ４：ＹＥＳ、ＳＣ３、ＳＣ４の順で処理を実行する。そのため、認証情報生成部３１３は、「２３４５」の新たな始動許可認証情報３２０２を生成する。ＥＣＵ記憶部３２０には、認証情報生成部３１３が生成した新たな「２３４５」の始動許可認証情報３２０２が保持される。

このように、始動許可認証情報３２０２に基づく認証がタイムアウトになった場合、認証情報生成部３１３は、新たな始動許可認証情報３２０２を生成する。これにより、当該タイムアウトによって始動許可認証情報３２０２の通知が停止した後、再度、始動許可認証情報３２０２を通知する際、認証情報通知部３１４は、前回、通知していた始動許可認証情報３２０２と同じ始動許可認証情報３２０２を通知することがない。そのため、タイムアウトになるまで通知されていた始動許可認証情報３２０２で車両１の始動可能となることを防止できるため、車両１の利用におけるセキュリティを向上できる。

タイミングＴＢ２以降、所定の理由により、家族利用者９２０が車両１を利用せず、タイミングＴＢ３において、家族利用者９２０は、再度、車両１の利用を開始したとする。この家族利用者９２０は、車両１の利用予約をしていない。適切に認証が行われたが、所定の理由より、家族利用者９２０が車両始動スイッチ４０１をオンにせず、タイミングＴＢ４において車両１の始動がタイムアウトとなったとする。この場合、図６で示すように、利用制御ＥＣＵ３００は、ＢＣＭ４００から非実行通知を受信する。そのため、認証情報生成部３１３は、生成トリガー３が発生したとして、図７において、ステップＳＣ１：ＹＥＳ、ＳＣ２：ＮＯ、ＳＣ５：ＮＯ、ＳＣ３、ＳＣ４の順で処理を実行する。そのため、認証情報生成部３１３は、「３４５６」の新たな始動許可認証情報３２０２を生成する。そして、ＥＣＵ記憶部３２０には、認証情報生成部３１３が生成した新たな「３４５６」の始動許可認証情報３２０２が保持される。

タイミングＴＢ４以降、家族利用者９２０は、適切に認証が行われ、タイミングＴＢ５において、車両始動スイッチ４０１をオンにしたとする。すると、認証情報生成部３１３は、「４５６７」の新たな始動許可認証情報３２０２を生成する。ＥＣＵ記憶部３２０には、認証情報生成部３１３が生成した新たな「４５６７」の始動許可認証情報３２０２が保持される。

タイミングＴＢ６において、家族利用者９２０の車両１の利用を終了し、タイミングＴＢ７において、ゲスト利用者９３０は、家族利用者９２０の次に、車両１の利用を開始する。ゲスト利用者９３０は、車両１の利用予約をしている。所定の理由によりゲスト利用者９３０が車両１の始動要求を行わず、タイミングＴＢ８において、始動許可認証情報３２０２に基づく認証がタイムアウトになったとする。この場合、認証情報生成部３１３は、生成トリガー２が発生したとして、図７においてステップＳＣ１：ＹＥＳ、ＳＣ２：ＮＯ、ＳＣ５：ＹＥＳ、ＳＣ６の順で処理を実行する。そのため、認証情報生成部３１３は、新たな始動許可認証情報３２０２の生成を行わない。そして、タイミングＴＢ８移行、ＥＣＵ記憶部３２０には、「４５６７」の始動許可認証情報３２０２が継続して保持される。

タイミングＴＢ９において、所定の理由によりゲスト利用者９３０が車両１の利用を一時的に終了し、タイミングＴＢ１０において、ゲスト利用者９３０は、再度、車両１の利用を開始したとする。ゲスト利用者９３０は、車両１の利用予約をしている。適切に認証が行われたが、所定の理由より、ゲスト利用者９３０が車両始動スイッチ４０１をオンにせず、タイミングＴＢ１１において車両１の始動がタイムアウトになったとする。この場合、図６で示すように、利用制御ＥＣＵ３００は、ＢＣＭ４００から非実行通知を受信する。そのため、認証情報生成部３１３は、生成トリガー３が発生したとして、図７において、ステップＳＣ１：ＹＥＳ、ＳＣ２：ＮＯ、ＳＣ５：ＹＥＳ、ＳＣ６の処理を実行する。そのため、認証情報生成部３１３は、新たな始動許可認証情報３２０２の生成を行わない。そして、タイミングＴＢ１１以降、ＥＣＵ記憶部３２０には、「４５６７」の始動許可認証情報３２０２が継続して保持される。

このように、ゲスト利用者９３０が行った利用予約が示す利用時間の間、認証のタアイムアウト、及び車両１の始動のタイムアウトが発生しても、認証情報生成部３１３は、新たに始動許可認証情報３２０２を生成しない。これによって、始動許可認証情報３２０２の通知が停止した後、再度、始動許可認証情報３２０２を通知する際、認証情報通知部３１４は、前回通知していた始動許可認証情報３２０２と同じ始動許可認証情報３２０２を通知できる。ゲスト利用者９３０の利用態様によっては、利用時間内において、車両１に乗車しても速やかに車両１を始動させないことが複数回起こり得る。この場合に、毎回、異なる始動許可認証情報３２０２を通知されると、毎回異なる始動許可認証情報３２０２を携帯端末３Ｃに入力することになり、車両１の利用のし易さが低下する。そこで、認証情報生成部３１３は、利用時間内では、タイムアウトによって始動許可認証情報３２０２の通知が停止した場合でも、新たな始動許可認証情報３２０２を生成しない。これにより、利用時間内は、車両１を始動させる際、毎回、異なる始動許可認証情報３２０２を携帯端末３に入力することがなく、利用制御ＥＣＵ３００は、車両１を、利用者９００にとって利用し易い車両１にできる。

［６．まとめ］
以上、説明したように、利用制御ＥＣＵ３００は、携帯端末３の無線通信端末情報３２０３を記憶するＥＣＵ記憶部３２０と、ＥＣＵ記憶部３２０に記憶された無線通信端末情報３２０３に基づいて携帯端末３と通信するＥＣＵ無線通信部３３０と、始動許可認証情報３２０２を生成する認証情報生成部３１３と、始動許可認証情報３２０２を車両１内に通知する認証情報通知部３１４と、認証情報通知部３１４により通知された始動許可認証情報３２０２が、ＥＣＵ無線通信部３３０によって携帯端末３から受信された場合、受信された始動許可認証情報３２０２に基づいて車両１の始動に関わる認証を行う車両始動認証部３１６と、車両始動認証部３１６の認証結果に基づいて車両１の始動を許可する車両始動許可部３１７と、を備える。

これにより、利用者９００は、携帯端末３によって車両１を始動させるために、車両１内に通知されている始動許可認証情報３２０２を認識する必要がある。そのため、利用者９００は、携帯端末３によって車両１を始動させるためには、車両１に乗車する必要がある。したがって、利用制御ＥＣＵ３００は、携帯端末３と自動で通信接続する構成でも、利用者９００の誤操作等によって当該利用者９００から離れた位置で車両１が始動可能になることを防止できる。そのため、利用制御ＥＣＵ３００は、携帯端末３により始動可能な車両１が不正利用されることを防止できる。

また、利用制御ＥＣＵ３００は、認証情報通知部３１４により始動許可認証情報３２０２が通知された後の経過時間を計測する経過時間計測部３１５を備える。認証情報通知部３１４は、経過時間計測部３１５により計測された経過時間が所定の時間となった場合、車両１内への始動許可認証情報３２０２の通知を停止する。

これにより、携帯端末３から車両１の始動要求がなく長期間に亘って不必要に始動許可認証情報３２０２が通知されることを防止でき、始動許可認証情報３２０２の通知による消費電力増大を防止できる。

また、認証情報生成部３１３は、認証情報通知部３１４により車両１内への通知を停止した後、始動許可認証情報３２０２を生成する。

これにより、始動許可認証情報３２０２の通知が停止した後、再度、始動許可認証情報３２０２を通知する際、認証情報通知部３１４は、前回、通知していた始動許可認証情報３２０２と同じ始動許可認証情報３２０２を通知することがない。そのため、所定の時間になるまで通知されていた始動許可認証情報３２０２で車両１が始動可能になることを防止できるため、車両１の利用におけるセキュリティを向上できる。

認証情報生成部３１３は、車両１の電源がオフする前に、次回の車両１の始動に関わる始動許可認証情報３２０２を生成する。

これにより、認証情報生成部３１３は、利用者９００が車両１の利用を開始する際に、新たな始動許可認証情報３２０２を生成する必要がない。そのため、認証情報通知部３１４は速やかに新たな始動許可認証情報３２０２を通知でき、利用者９００は、車両１を速やかに始動させることが可能となる。

利用制御ＥＣＵ３００は、車両１の利用時間を含む車両１の利用予約を取得する情報収集部３１１を備える。認証情報生成部３１３は、情報収集部３１１が取得した利用予約に含まれる車両１の利用時間の間、始動許可認証情報を新たに生成しない。

この構成によれば、利用者９００は、利用時間内において車両１を始動させる際、毎回、異なる始動許可認証情報３２０２を携帯端末３に入力する必要がなく同じ始動許可認証情報３２０２を入力すればよい。そのため、車両１を利用する際に行われる当該利用者９００の操作が複雑になることを回避でき、利用制御ＥＣＵ３００は、車両１を、利用者９００にとって利用し易い車両１にできる。

認証情報生成部３１３は、車両１の利用時間における車両１の利用の開始前に、始動許可認証情報３２０２を生成する。

これにより、認証情報生成部３１３は、利用予約によって車両１の利用を開始する際に、新たな始動許可認証情報３２０２を生成する必要がない。そのため、認証情報通知部３１４は速やかに新たな始動許可認証情報３２０２を通知でき、利用予約よる車両１の利用において、車両１を速やかに始動させることが可能となる。したがって、利用制御ＥＣＵ３００は、車両１の利用のし易さを向上できる。また、利用時間における車両１の利用の開始前に始動許可認証情報３２０２を生成するため、利用予約を行った利用者９００のみが、当該利用時間において車両１を始動させるための始動許可認証情報３２０２を認識できることが可能となる。そのため、車両１の不正利用を防止でき、車両１の利用におけるセキュリティを向上できる。

［７．他の実施形態］
なお、本発明は上記実施形態の構成に限られるものではなく、その要旨を逸脱しない範囲において種々の態様において実施することが可能である。

例えば、本実施形態では、利用管理サーバ２は、予約された利用時間帯において有効な電子鍵８００を発行する際に、利用時間情報２１２２を電子鍵８００に含めるものとしたが、これには限られない。利用管理サーバ２は、電子鍵基本情報２１１２のみを持つ電子鍵８００を生成するものとしてもよい。この場合、例えば車載システム１００の情報収集部３１１は、車両１に対して使用された電子鍵８００について、当該電子鍵８００に対し設定された予約ＩＤ２１２１や利用時間情報２１２２を、利用管理サーバ２に問い合わせて取得する。

また、例えば、車両１は、運転者が運転に関する操作を行うことで走行する手動運転が可能な車両でもよいし、運転者が運転に関する操作を行うことなく自動的に走行する自動運転が可能な車両でもよい。また、車両１は、例えばエンジン駆動の四輪車両や、モータ駆動式の電動車両、モータ及びエンジンを搭載したハイブリット車両等の車両である。なお、車両１は、四輪車両以外の車両でもよい。

例えば、上述実施形態において、図５に示したブロックは、本願発明を理解容易にするために構成要素を主な処理内容に応じて分類して示した概略図であり、処理内容に応じて、さらに多くの構成要素に分類することもできる。また、１つの構成要素がさらに多くの処理を実行するように分類することもできる。

例えば、図６、及び図７に示す動作のステップ単位は、車載システム１００、及び利用制御ＥＣＵ３００の動作の理解を容易にするために、主な処理内容に応じて分割したものであり、処理単位の分割の仕方や名称によって、本発明が限定されることはない。処理内容に応じて、さらに多くのステップ単位に分割してもよい。また、１つのステップ単位がさらに多くの処理を含むように分割してもよい。また、そのステップの順番は、本発明の趣旨に支障のない範囲で適宜に入れ替えてもよい。

１…車両、３、３Ｂ、３Ｃ、３Ｄ…携帯端末、１００…車載システム、３００…利用制御ＥＣＵ（車両制御装置）、３１０…ＥＣＵ処理部、３１１…情報収集部（利用予約取得部）、３１２…ドアロック認証部、３１３…認証情報生成部、３１４…認証情報通知部、３１５…経過時間計測部、３１６…車両始動認証部、３１７…車両始動許可部、３２０…ＥＣＵ記憶部（記憶部）、３３０…ＥＣＵ無線通信部（通信部）、３４０…ＥＣＵバス通信部、４００…ＢＣＭ、４０１…車両始動スイッチ、４０２…電力供給システム、４０３…ドアロック機構、４１０…ＢＣＭ処理部、４１１…始動操作検知部、４１２…ＦＯＢ通信部、４１３…電源制御部、４１４…ドア制御部、４２０…ＢＣＭ記憶部、４３０…ＢＣＭ無線通信部、４４０…ＢＣＭバス通信部、５００…アプリケーション実行装置、６００…ＴＣＵ、７００…車載ネットワークバス、２１２３…予約情報、３２０１…車両側利用者ＤＢ、３２０２…始動許可認証情報（認証情報）、３２０３…無線通信端末情報（端末情報）。

Claims (7)

1. 車両の利用者が設定した前記車両の利用時間において前記車両の利用を可能とする電子鍵であって、設定した前記利用時間を示す利用時間情報が含まれた電子鍵を有する携帯端末の端末情報を記憶する記憶部と、
   前記記憶部に記憶された前記端末情報に基づいて前記携帯端末と通信する通信部と、
   車両の始動を許可するための認証情報を生成する認証情報生成部と、
   前記認証情報生成部により生成された前記認証情報を前記車両内に通知する認証情報通知部と、
   前記認証情報通知部により通知された前記認証情報が、前記通信部によって前記携帯端末から受信された場合、受信された前記認証情報及び前記電子鍵の前記利用時間情報に基づいて前記車両の始動に関わる認証を行う車両始動認証部と、
   前記車両始動認証部の認証結果に基づいて前記車両の始動を許可する車両始動許可部と、を備える
   ことを特徴とする車両制御装置。
2. 前記認証情報通知部により前記認証情報が通知された後の経過時間を計測する経過時間計測部を備え、
   前記認証情報通知部は、前記経過時間計測部により計測された前記経過時間が所定の時間となった場合、前記車両内への前記認証情報の通知を停止する
   ことを特徴とする請求項１に記載の車両制御装置。
3. 前記認証情報生成部は、前記認証情報通知部による前記車両内への通知を停止した後、前記認証情報を生成する
   ことを特徴とする請求項２に記載の車両制御装置。
4. 前記認証情報生成部は、前記車両の電源がオフする前に、次回の前記車両の始動に関わる前記認証情報を生成する
   ことを特徴とする請求項１から３のいずれか一項に記載の車両制御装置。
5. 前記利用時間を含む前記車両の利用予約を取得する利用予約取得部を備え、
   前記認証情報生成部は、前記利用予約取得部が取得した前記利用予約に含まれる前記利用時間の間、前記認証情報を新たに生成しない
   ことを特徴とする請求項１から４のいずれか一項に記載の車両制御装置。
6. 前記認証情報生成部は、前記利用時間における前記車両の利用の開始前に、前記認証情報を生成する
   ことを特徴とする請求項５に記載の車両制御装置。
7. 前記車両始動認証部は、
   前記利用者が前記携帯端末に入力した前記認証情報に基づいて、前記車両の始動に関わる認証を行う
   ことを特徴とする請求項１から６のいずれか一項に記載の車両制御装置。

Images