JP7438521B2 - システムおよびプログラム - Google Patents

Description

例えば、システムおよびプログラム等に関する。

車両の正規のユーザ（例えば、車両の所有者または利用者等）以外の第三者によって、当該車両やその付属物が盗まれたり利用されたりする等の不正が行われることが、社会的な問題となっている。車両のセキュリティ技術に関して、例えば、特許文献１には、車両において或るパターンの振動が生じる等の異常を検知すると、車両のホーンや灯火器等を動作させて警告を発する異常検知装置が記載されている。

特開２０１０－２０８３８０号公報

特許文献１に記載の技術のように、車両において異常を検知すると警報を発動することで、車両の盗難等の不正が行われるのを抑止する効果が期待できる。しかしながら、正規のユーザが車両を利用しようとしているときにまで警報が発動してしまっては、これは誤った警報となってしまい、当該正規のユーザにとっては望ましくない。

本発明は、従来とは異なる車両のセキュリティに関する技術を提供することを目的の一つとする。本発明は、例えば、誤った警報の発動を抑制しつつもセキュリティ性に優れたシステムおよびプログラム等を提供することを目的の一つとする。

本発明の目的はこれに限定されず、本明細書および図面等に開示される構成の部分から奏する効果を得ることを目的とする構成についても分割出願・補正等により権利取得する意思を有する。例えば本明細書において「～できる」と記載した箇所を「～が課題である」と読み替えた課題が本明細書には開示されている。課題はそれぞれ独立したものとして記載しているものであり、各々の課題を解決するための構成についても単独で分割出願・補正等により権利取得する意思を有する。課題が明細書の記載から黙示的に把握されるものであっても、本出願人は本明細書に記載の構成の一部を補正または分割出願にて特許請求の範囲とする意思を有する。またこれら独立の課題を組み合わせた課題を解決する構成についても開示しているものであり、権利取得する意思を有する。

本発明の目的は、例えば、以下の（１）～（１６）の形態により達成することができる。

（１）車両が監視状態であるときに異常が検知されると警報を発動する機能を有する警報手段と、前記車両が監視状態であるときに第１トリガーがあると前記警報手段による警報の発動を一時的に抑制し、正規の認証動作が受け付けられたことを示す第２トリガーがあると、前記車両を非監視状態に維持させる制御手段と、を備えるシステムとするとよい。

このようにすれば、正規の認証動作が受け付けられたことを示す第２トリガーがあったことを条件に非監視状態に維持させるのでセキュリティ性が高い。また、第１トリガーがあると警報の発動が抑制されるので、正規のユーザが認証動作を行っているときに誤って警報が発動することが抑制される。さらに、この警報の発動が抑制された状態で認証動作を受けられる期間が、第１トリガーがあったときからの一時的な期間に制限されるので、これもセキュリティ上望ましい根拠となり得るものである。したがって、誤った警報の発動を抑制しつつもセキュリティ性を高めることができる。このような発明は、第三者による車両の盗難等の不正が行われるのを防止するという観点に加え、正規のユーザに起因する誤った警報の発動を抑制し、当該正規のユーザにとって望ましくない事態の発生を抑制するという観点を有する。

（２）前記制御手段は、前記正規の認証動作が受け付けられなかった場合、前記車両を非監視状態に維持させず、前記警報手段による警報の発動の一時的な抑制を解除するシステムとするとよい。

このようにすれば、正規の認証動作が受け付けられなかったときには、警報手段による警報が発動されるため、例えば、悪意をもった第三者による車両の盗難等の不正な行為の実行を断念させることができ、高いセキュリティ性を実現することができる。

（３）前記正規の認証動作は、入力手段に対して正規の認証情報を入力する入力動作であるシステムとするとよい。

このようにすれば、正規の認証情報が入力されない場合、車両は非監視状態に維持されない。したがって、高いセキュリティ性を実現することができる。

（４）前記正規の認証動作は、第１の入力手段に対して正規の認証情報を入力する第１の入力動作と、前記車両に本来的に備わる第２の入力手段に対して行われる第２の入力動作とを含むシステムとするとよい。

このようにすれば、第１の入力動作と第２の入力動作とのいずれか一方が受け付けられただけでは、車両は非監視状態に維持されずに監視状態となり、第１の入力動作と第２の入力動作とが受け付けられたときに、車両は非監視状態に維持される。また、例えば、車両に本来的に備わる第２の入力手段を、第１の入力動作での認証情報の入力完了を指示するために利用することができる。したがって、認証情報の入力完了を指示するための手段を新たに設けることなく、より高いセキュリティ性を実現することができる。

（５）前記第２の入力手段は、前記車両の原動機の動作に関わる入力を受け付ける手段であるシステムとするとよい。

このようにすれば、例えば、車両の原動機の動作に関わる入力、例えば車両を利用するに際して通常行われる操作を、認証情報の入力完了を指示する入力完了操作として兼ねることができる。したがって、ユーザの操作性を向上させることができる。

（６）前記制御手段は、前記第１トリガーがあったときから所定期間が経過する前は、第１認証動作を前記正規の認証動作とし、当該所定期間が経過した後は、前記第１認証動作を前記正規の認証動作とすることを禁止するシステムとするとよい。

このようにすれば、例えば第１トリガーがあった後の所定期間内に正規の認証動作が受け付けられず、車両が監視状態となってしまった場合、第１認証動作を正規の認証動作とすることを禁止するから、第三者が時間を掛けて正規の認証動作となる第１認証動作を行った場合でも、車両を非監視状態に維持させてしまうのを防ぐことができる。

（７）前記所定期間が経過した場合、前記警報手段は、警報を発動し、前記制御手段は、前記正規の認証動作とする前記第１認証動作において必要なユーザの手順よりも増加させた第２認証動作を前記正規の認証動作とするシステムとするとよい。

このようにすれば、警報の発動が抑制されている間に正規の認証動作がユーザによって行われる限りにおいてはその操作負担の増大が抑えられ、例えば認証動作に誤りがあったり認証動作が行われなかったりした場合には、警報の発動とともに正規の認証動作とする必要なユーザの手順を増やすことで、正規のユーザでない人物を誤って正規のユーザとして認証する可能性を低くすることができる。

（８）前記第１トリガーは、前記車両のロックが解除されているときに所定の動作が受け付けられたことを示すシステムとするとよい。

このようにすれば、車両のロックが解除されているときに所定の動作、例えば車両を利用しようとする所定の動作があると、これが正規のユーザによるものである可能性があるので、一時的に警報の発動を抑制する。よって、正規のユーザに起因する誤った警報の発動を抑制することができる。

（９）前記制御手段は、前記車両に付属する電子キーとは異なる遠隔操作端末から、前記電子キーが送信するものとは異なるデータ部を有する所定の信号、または前記電子キーが無線通信に用いる周波数とは異なる周波数の所定の信号が受信されると、前記車両を非監視状態に維持させるシステムとするとよい。

このようにすれば、ユーザが正規の認証動作を行わなくとも、遠隔操作端末からの所定の信号であって電子キーからの信号と区別可能な信号を受信したときは、車両を非監視状態に維持させることができる。したがって、高いセキュリティ性を実現しつつも、ユーザの利便性を向上させることができる。

（１０）前記第１トリガーを検出可能な検出手段、をさらに備え、前記制御手段は、前記第１トリガーがあった旨の情報が前記検出手段から取得されると、前記警報手段による警報の発動を一時的に抑制するとともに、前記車両を非監視状態に維持させるか否かを判断する判断機能を有するシステムとするとよい。

このようにすれば、制御手段に第１トリガーを検出可能な機能が設けられていなくとも、第１トリガーを検出可能な検出手段からの情報に基づいて第１トリガーの有無を判断することができる。

（１１）前記警報手段は、前記車両が監視状態であるときに前記車両の特定の監視領域で異常が検知されると警報を発動する機能を有しており、前記第２トリガーは、前記特定の監視領域で前記正規の認証動作が受け付けられたことを示すシステムとするとよい。

このようにすれば、車両における特定の監視領域をユーザが認証動作を行う領域とし、かつその認証動作を警報の発動を一時的に抑制した状態で行えるようにすることができる。

（１２）前記特定の監視領域は、前記車両の内部の空間領域を含むシステムとするとよい。

このようにすれば、車両の内部の空間領域をユーザが認証動作を行う領域とし、かつ車両の内部に居る人物の認証を、警報の発動を一時的に抑制した状態で行うことができる。

（１３）前記車両が監視状態であるときには、前記車両の複数の監視領域のそれぞれで異常が監視されており、前記制御手段は、前記車両が監視状態であるときに前記第１トリガーがあると、前記複数の監視領域のうちの一部の領域である前記特定の監視領域に関する警報の発動を一時的に抑制し、前記第２トリガーがあると、前記複数の監視領域の全部での異常の監視状態を解除するシステムとするとよい。

このようにすれば、第１トリガーに応じて特定の監視領域での異常の監視状態が一時的に解除されたとしても、当該特定の監視領域で正規の認証動作が受け付けられなかったときには、複数の監視領域の全てでの異常の監視状態は解除されない。したがって、高いセキュリティ性を実現することができる。

（１４）前記警報手段は、前記第１トリガーから前記第２トリガーまでの間において、前記特定の監視領域と異なる所定の領域で異常が検知されたときには、警報を発動するシステムとするとよい。

このようにすれば、第１トリガーに応じて一部の監視領域で異常の監視状態が一時的に解除されたとしても、これ以外の所定の領域で異常が検知されたときには、警報が発動されるので、車両自体または車両の付属物等の盗難といった不正が行われることを抑制することができる。

（１５）車両が監視状態であるときに異常が検知されると警報を発動する機能を有する警報手段と、前記車両が監視状態であるときに正規の認証動作が受け付けられたことを示す第２トリガーがあると前記警報手段による警報の発動を一時的に抑制し、第１トリガーがあると、前記車両を非監視状態に維持させる制御手段と、を備えるシステムとするとよい。

このようにすれば、正規の認証動作が受け付けられたことを示す第２トリガーがあったことを条件に非監視状態に維持させるので、セキュリティ性が高い。また、第２トリガーにより警報の発動が抑制されるので、正規のユーザが車両を利用しようとしているときに誤って警報が発動することが抑制される。また、警報が発動しないようにしつつ非監視状態に維持させることのできる期間が第２トリガーからの一時的な期間に制限されるので、これもセキュリティ上望ましい根拠となり得るものである。したがって、誤った警報の発動を抑制しつつもセキュリティ性を高めることができる。このような発明は、第三者による車両の盗難等の不正が行われるのを防止するという観点に加え、正規のユーザに起因する誤った警報の発動を抑制し、当該正規のユーザにとって望ましくない事態の発生を抑制するという観点を有する。

（１６）上記（１）～（１５）のいずれかの形態に係るシステムとしての機能をコンピュータに実行させるプログラムとするとよい。

このようにすれば、コンピュータに該プログラムをインストールして、（１）～（１５）の形態にかかる各機能を発揮させることにより、高いセキュリティ性を実現することができる。

本発明によれば、従来とは異なる車両のセキュリティに関する技術を提供することができる。本発明によれば、例えば、例えば、誤った警報の発動を抑制しつつもセキュリティ性に優れたシステムおよびプログラム等を提供することができる。

なお、本願の発明の効果はこれに限定されず、本明細書および図面等に開示される構成の部分から奏する効果についても開示されており、当該効果を奏する構成についても分割出願・補正等により権利取得する意思を有する。例えば本明細書において「～できる」「～可能である」などと記載した箇所などは奏する効果を明示する記載であり、また「～できる」「～可能である」などといった記載がなくとも効果を示す部分が存在する。またこのような記載がなくとも当該構成よって把握される効果が存在する。

システムの一例を示す概略図である。 システムのブロック図の一例である。 システムにおいて実行される制御処理を説明するためのフローチャートである。 システムにおいて実行される制御処理を説明するためのフローチャートである。 システムにおいて実行される制御処理を説明するためのフローチャートである。

［システムの構成］
図１を参照して、本発明に係るシステムの構成の一例について説明する。以下は、ユーザによって携帯される電子キーを用いて車両ドアの施錠（ロックとも称する）および解錠（アンロックとも称する）を行う電子キーシステムに本発明を適用した場合を説明する。電子キーシステムでは、例えば、電子キーと車両側装置との間で無線信号の授受を行うことによって、車両ドアのアンロックが実行される。一般的に、電子キーと車両側装置との間での無線通信が可能な距離（以下、無線通信可能距離とも称する）は、比較的小さな距離に制限されている。そのため、通常、電子キーと車両側装置との距離が無線通信可能距離よりも大きいときには、電子キーと車両側装置との間で無線信号の授受が行われることはなく、車両ドアのアンロックは実行されない。

図１は、本実施例に係るシステムが適用される車両システム１００を示す概略図である。例えば、図１に示されるように、車両システム１００は、車両１、電子キー２およびリモート端末３（後述）等を備えて構成されている。

車両システム１００にて例示される車両は、例えば自動車等とするとよく、特に四輪自動車等とするとよい。ただし、四輪自動車に限定されず、車両は、四輪以上の大型車等とするとよい。また、車両システム１００にて例示される車両は、例えば、運送用の車両（例えば、トラック等）、営業用の車両（例えば、タクシー、バス等）および一般の車両（いわゆる自家用車）等の車両全般のみならず、多用途に展開されてもよい。例えば、車両は、例えばカーシェアリング用あるいはレンタル用などのように、不特定の人物によって共用されるものであってもよい。

電子キー２は、車両１との間で無線通信を行うことが可能な鍵であり、例えば、車両１に付属されている純正電子キーとするとよい。電子キー２は、通常、車両１の正規ユーザ等によって携帯されるものである。当該電子キー２は、例えばスマートキーなどとも称される。

図２は、本実施例に係る車両システム１００のブロック図の一例である。車両システム１００は、例えば、電子キーシステム１０と認証システム２０との２つのシステム等で構成されている。

電子キーシステム１０は、車両１と電子キー２との無線通信によって車両ドア９のロックおよびアンロック等を実現するためのシステムであり、車両１に本来的に組み込まれているシステムである。

電子キーシステム１０は、例えば電子キーＥＣＵ（Engine Control Unit）１１およびボディＥＣＵ１２など、種々のＥＣＵを備えて構成されている。

電子キーＥＣＵ１１は、電子キー２との無線通信等を制御する処理部である。電子キーＥＣＵ１１は、例えば、電子キー２からの電波を検出する機能、電子キー２の正当性を判断する機能、および、その判断結果をボディＥＣＵ１２等に伝達する機能等を有している。

ボディＥＣＵ１２は、車両１のボディ等に対する制御を実行する処理部である。例えば、ボディＥＣＵ１２は、車両１の車両ドア９（図１参照）に対してロック信号（施錠信号とも称される）およびアンロック信号（解錠信号とも称される）を伝達する機能等を有する。

電子キーシステム１０では、電子キーＥＣＵ１１と電子キー２とが相互に関連付けられている。例えば、電子キー２を携帯したユーザが車両１の近傍で車両１の第２受付部７（図１参照）を押下すると、電子キーＥＣＵ１１と電子キー２との間で無線通信が行われる。第２受付部７は、例えばドアスイッチまたはその他のスイッチである。そして、電子キーＥＣＵ１１は、電子キー２からの無線信号に基づいて当該電子キー２の照合処理を実行し、電子キー２が正当であると判断すると、車両１の車両ドア９のアンロックを実行すべき旨の信号をボディＥＣＵ１２に伝達する。この信号を受けたボディＥＣＵ１２は、車両ドア９に対してアンロック信号を伝達する。これにより、車両ドア９のアンロックが実現される。

なお、車両ドア９のアンロック操作は、第２受付部７の押下操作に限定されず、電子キー２に設けられたアンロックボタンの押下操作であってもよい。また、車両メーカーおよび車種等によって様々なアンロック操作が存在している。例えば、車両ドアの取っ手部分にタッチセンサ等が設けられている場合、当該取っ手部分に触れる操作が車両ドア９のアンロック操作であってもよい。

認証システム２０は、車両を利用しようとするユーザ（例えば、車両１に乗ろうとしている人物、あるいは車両１を運転しようとしている人物等。以下同じ。）の認証（ユーザ認証とも称される）を実行するためのシステムであり、例えば、車両１に対して後付けされるシステムである。認証システム２０は、例えば、車両１自体あるいは車両１の付属物（例えば、車両１のエンジン等）等の不正が行われることを防止するためのシステムであり、不正防止システムあるいはセキュリティシステムなどとも称される。

図２に示されるように、認証システム２０は、例えば、制御ユニット２１（制御手段の一例）、検出ユニット２２（検出手段の一例）、通信部２３（通信手段の一例）、入力装置２４（入力手段の一例）および警報器２５（警報手段の一例）等を備えている。

制御ユニット２１は、ＣＰＵ、ＲＯＭおよびＲＡＭ等のメモリ、タイマ（計時手段の一例）、その他の周辺回路等を有するコントローラである。当該制御ユニット２１のＲＯＭ内に各種プログラムが記憶されており、制御ユニット２１は、これらのプログラムを実行することにより各種の機能を実現する。各種プログラムには、図３～図５のフローチャートに示される処理を実行するためのアルゴリズムを記述したプログラム等が含まれる。当該制御ユニット２１は、認証システム２０において主として動作する処理部である。

制御ユニット２１は、例えば、警報器２５による警報の発動動作および停止動作等を制御する警報制御機能、ユーザの認証を実行する認証機能、および正規の認証動作（後述）が受け付けられたか否かを判断する判断機能などの様々な機能を有する。当該判断機能は、例えば、第１トリガーがあった旨の情報が検出ユニット２２から取得されると、警報器２５による警報の発動を一時的に抑制するとともに、車両１を非監視状態に移行させるか否か等を判断する機能を有する。

なお、監視状態は、異常（例えば、セキュリティ異常などとも称される）が監視されている状態であり、例えば、警戒状態などとも称される。また、非監視状態は、異常が監視されていない状態であり、例えば非警戒状態などとも称される。

検出ユニット２２は、例えば、車両１の状態および車両１の挙動等を検出することが可能な処理部である。

通信部２３（図２参照）は、リモート端末３（次述）との無線通信を実行することが可能な処理部である。

リモート端末３（図１参照）は、車両１（詳細には、車両１の認証システム２０の通信部２３）と無線通信を行うことが可能な遠隔操作端末である。リモート端末３は、車両１との間での無線通信が可能な範囲内において車両１との間で無線信号の授受を行うことが可能である。当該リモート端末３は、例えば、認証システム２０に付属して設けられる。

リモート端末３には、非監視指令（次述）を発信するための非監視指令発信ボタン（不図示）が設けられている。非監視指令は、車両１を監視状態から非監視状態へと移行させる指令である。通信部２３は、当該非監視指令がリモート端末３から受信されると、その旨の情報を制御ユニット２１に伝達する。この情報に基づいて、制御ユニット２１は、車両１を監視状態から非監視状態へと移行させる。

また、ユーザは、例えばリモート端末３を用いてハイセキュリティ設定（後述）を行うことができる。

ここで、認証システム２０には、例えば、第１認証動作と第２認証動作との２種類の認証動作が設けられている。

例えば、当該認証動作として第２認証動作が要求される場合、ユーザは、予め登録された認証情報の入力を要する。当該認証動作として第１認証動作が要求される場合、ユーザは、第２認証動作で要求される場合よりも少ない手順で入力可能な認証情報の入力を要する。認証情報は、例えば、アルファベット、数字、記号、平仮名、片仮名またはこれらの２つ以上の組み合わせとするとよいが、いずれか１種類とすれば入力手段の構成を簡素化しやすい。入力手段は、認証情報の入力を受け付け可能で、例えばキーボード、テンキーまたは専用のボタン等であってもよい。第１認証動作で要求される認証情報は、第２認証動作で要求される認証情報の一部（例えば、先頭から１また複数の所定番目の文字）と共通してもよい。このようにすれば、ユーザが認証情報を失念してしまう可能性が低くなる。第１認証動作および第２認証動作で要求される認証情報は、例えば、ユーザ等によって予め設定されるとよい。

このように、第１認証動作において必要なユーザの手順は、第２認証動作において必要なユーザの手順よりも少ないので、第１認証動作による認証がユーザにとって簡便なものとなる。第１認証動作および第２認証動作の使い分けについては後述する。「手順」は、例えばユーザの操作量で、例えば入力装置２４におけるボタンの押下回数、操作すべきボタンの数等としてもよい。

ハイセキュリティ設定は、認証システム２０のセキュリティ性能をより高めるための設定である。ハイセキュリティ設定は、第１認証動作と第２認証動作との２種類の認証動作のうちの第１認証動作を正規の認証動作とすることを禁止する設定である。認証システム２０は、第１認証動作を正規の認証動作とすることを禁止し、第２認証動作を正規の認証動作とする。正規の認証動作とする第２認証動作において必要なユーザの手順は、第１認証動作において必要なユーザの手順よりも多いので、より高いセキュリティ性を確保するのに適している。一方で、ハイセキュリティ設定がなされていない場合、認証システム２０は、第１認証動作および第２認証動作のどちらか一方が行われれば、これを正規の認証動作とする。これにより、ユーザが行うべき認証動作が簡便なものとなる。

なお、例えばリモート端末３を用いて、後述する第１トリガーに応じて直ちに車両１を監視状態から非監視状態へと移行させるように設定することもできるようにするとよい。認証システム２０では、セキュリティ性とユーザの利便性とのいずれを優先させるかを設定できるようにするとよい。

入力装置２４は、認証情報を入力可能な入力手段として機能する。入力装置２４は、例えば、車両１の内部の空間領域に設けられるとよく、特に、車外から見え難い場所に設置されるとよい。このような場所は、車外の人物からの視線が届かない場所が望ましく、例えば車両を構成する部材（例えば車体）または車両に搭載された物（例えば座席、ダッシュボード等）によって車外の人物からの視線が遮られる場所とするとよい。

警報器２５は、警報を発動可能な装置である。警報器２５は、車両１が監視状態であるときに例えば車両１の特定の監視領域で異常が検知されると警報を発動する機能を有する。警報器２５は、例えば、車両１に本来的に設けられているブザーとは別に設けられている。

警報器２５による「警報の発動」は、サイレンなどの警報音の鳴動とするとよい。ただし、これに限定されず、「警報の発動」は、例えば、「異常を検知しました」等の警報メッセージの発声などであってもよい。あるいは、警報器２５が通信部２３と連携して、ユーザのスマートフォン等に対して警報メッセージ等を通知する警報通知動作が「警報の発動」であってもよい。警報器２５は、車外に居る人物が知覚可能な方法により警報を行うとよい。

図２に示されるように、車両１は、第１受付部６および第２受付部７等を備えている。

第１受付部６は、車両１の原動機（たとえばエンジンあるいはモーター等）の動作に関わる入力を受け付ける手段として機能する。第１受付部６は、例えば、車両の所定のペダル（例えば、アクセルペダルまたはブレーキペダル）、アクセサリー電源スイッチ、イグニッションスイッチ（例えば、ダッシュボード等に設けられたボタン式のイグニッションスイッチ、あるいはキーシリンダーの内部に設けられた切替機構で構成されるイグニッションスイッチ等）であってもよい。電気自動車であれば、第１受付部６は車両のシステム電源をオンするためのスイッチでもよい。第１受付部６は、車両１の内部の空間領域に本来的に設けられている操作部材とすると特によい。

［概略動作］
次に、本実施例に係る車両システム１００の概略動作について説明する。

本実施例では、例えば、車両１が監視状態であるときに第１トリガーがあると、制御ユニット２１は、警報器２５による警報の発動を一時的に抑制し、正規の認証動作が受け付けられたことを示す第２トリガーがあると、当該制御ユニット２１は、車両１を非監視状態に維持させる。

例えば、第１トリガーの後に正規の認証動作が受け付けられず、第２トリガーがなかった場合、制御ユニット２１は、車両１を非監視状態に移行せず、警報器２５による警報の発動の一時的な抑制を解除する。このようにすれば、正規の認証動作が受け付けられなかったときには、警報器２５による警報が発動されるため、例えば、ユーザ以外の第三者（例えば窃盗犯）による車両の盗難等の不正が行われることを断念させることができ、高いセキュリティ性を実現することができる。

「第１トリガー」は、例えば、車両１（例えば、車両１の車両ドア９）のロックが解除されているときに所定の動作がユーザから受け付けられたことを示すようにするとよい。例えば車両１を利用しようとする所定の動作があると、これが正規のユーザによるもののである可能性があるので、一時的に警報の発動を抑制する。このようにすれば、正規のユーザに起因する誤った警報の発動を抑制することができる。

「第１トリガー」の有無は、例えば、第１トリガーを検出可能な検出ユニット２２（検出手段の一例）によって検出されるとよく、そして、制御ユニット２１（制御手段の一例）は、第１トリガーがあった旨の情報が検出ユニット２２から取得されると、警報器２５（警報手段の一例）による警報の発動を一時的に抑制するようにするとよい。このようにすれば、制御ユニット２１に第１トリガーを検出可能な機能が設けられていなくとも、検出ユニット２２からの情報に基づいて第１トリガーの有無を判断することができる。

なお、これに限定されず、認証システム２０に検出ユニット２２が設けられておらず、制御ユニット２１自身が第１トリガーを検出可能な機能を有していてもよい。

「第１トリガー」は、例えばユーザが車両１を利用しようとしていることを客観的に判断できるような所定の条件を満たしたことを示すようにするとよい。「第１トリガー」は、例えば電子キー２にユーザが触れたこと、電子キー２に対し所定の操作が行われたこと、電子キー２がユーザにより持たれたこと、電子キー２が車両１から所定の距離範囲内に移動したこと、車両ドア９が開けられたこと、または車両ドア９のロックが解除されたことを示すようにしてもよい。

例えば、電子キー２にユーザが触れたことは、例えば電子キー２に物体の接触を検知するセンサで検出されるとよい。電子キー２がユーザにより持たれたことは、例えば電子キー２に振動センサを設けておき、この振動センサが振動を検知したことであってもよい。車両ドア９が開けられたことは、例えばドアの開閉を検知するドアセンサを用いて検出されるとよい。車両１のロックが解除されたことは、例えば次のようにして検出されるとよい。

例えば、車両１には、アンサーバック機能が予め設けられている。アンサーバック機能は、ユーザによる操作（例えば、アンロック操作）に対して車両１が応答する機能である。アンサーバック機能では、例えば、ハザードランプの点滅、あるいはブザー音の鳴動等が実行される。ユーザによってアンロック操作が行われると、例えば、ボディＥＣＵ１２は、車両ドア９（あるいは、車両ドア９の動作を制御するＥＣＵ等）に対してアンロック指令信号を伝達し、これにより車両ドア９のロックが解除される。この際、ボディＥＣＵ１２は、アンサーバックの実行装置に対して所定の指令信号を伝達し、当該実行装置は、当該所定の指令信号に応じた動作を実行する。そして、検出ユニット２２が、当該実行装置の挙動を監視することによって車両ドア９のロックが解除されたことを検出するようにしてもよい。

例えば、アンサーバックの実行装置がハザードランプであるときには、ボディＥＣＵ１２は、所定回数（例えば２回）の点滅指令信号をハザードランプに伝達し、ハザードランプは、当該点滅指令信号に応じて所定回数点滅する。そして、検出ユニット２２は、ハザードランプの点滅間隔あるいは点滅回数等を検出することによって、車両ドア９のロックが解除されたことを検出する。

また、例えばアンサーバックの実行装置がブザーであるときには、ボディＥＣＵ１２は、例えば、所定回数（例えば２回）のブザー音の鳴動指令信号をブザーに伝達し、ブザーは、当該鳴動指令信号に応じて所定回数のブザー音を鳴動する。検出ユニット２２は、ブザー音の鳴動間隔あるいは鳴動回数等を検出することによって、車両ドア９のロックが解除されたことを検出する。

なお、検出ユニット２２が、アンサーバックの実行装置の挙動を直接的に監視するのではなく、例えば、検出ユニット２２が、車両１内の各ＥＣＵに接続されたＣＡＮ（Controller Area Network）を監視することによってアンサーバックの実行装置の挙動を間接的に監視するようにしてもよい。

「正規の認証動作」は、例えば、認証情報を入力可能な第１の入力手段に対して正規の認証情報を入力する第１の入力動作と、車両１に本来的に備わる第２の入力手段に対して行われる第２の入力動作とを含むとよい。また、「正規の認証動作」は、例えば、第１の入力動作の直後に第２の入力動作が行われることとするとよい。第２の入力動作は、第１の入力動作での認証情報の入力完了を指示するための入力完了操作として行われるとよい。正規の認証動作は、認証に成功したことを意味し、例えば正しい認証情報が入力されたときには正規の認証動作が行われたものとする。

このようにすれば、第１の入力動作と第２の入力動作とのいずれか一方が受け付けられただけでは、車両１は非監視状態に維持されず監視状態のままとなり、第１の入力動作と第２の入力動作とが受け付けられたときに、車両１は非監視状態に維持される。また、例えば、車両１に本来的に備わる第２の入力手段を、第１の入力動作での認証情報の入力完了を指示するために利用することができる。したがって、認証情報の入力完了を指示するための手段を新たに設けることなく、より高いセキュリティ性を実現することができる。

認証情報は、例えば、正規のユーザ（認証システム２０の購入者等）によって予め制御ユニット２１等に登録される（例えば、初期設定される）とよい。ただし、これに限定されず、例えば、正規の認証情報が、設計段階で販売者側によって予め制御ユニット２１等に登録されており、認証システム２０の購入者専用のウエブサイトあるいは印刷物等で購入者に報知されるようにしてもよい。また、認証システム２０が、例えばカーシェアリング用あるいはレンタル用等のように、不特定の人物によって共用される車両１に搭載されている場合には、正規の認証情報は、カーシェアリングあるいはレンタカー等のサービスにおいて利用される認証情報（例えば、電話番号等）と共用されてもよい。この場合、ユーザは、認証システム２０用の認証情報を別途考えることを要さず、高いユーザビリティを実現することができる。

「第１の入力手段」は、車両１の内部の空間領域に設けられた操作部材とするとよく、例えば入力装置２４とするとよい。

「第２の入力手段」は、例えば、第１受付部６とするとよい。このようにすれば、例えば、車両１の原動機の動作に関わる入力、例えば車両１を利用するに際して通常行われる操作を、認証情報の入力完了を指示する入力完了操作として兼ねることができる。したがって、ユーザの操作性を向上させることができる。また、車両１に本来的に設けられている第１受付部６が入力完了操作に用いられるので、入力完了操作を行うための操作部材を別途設けることを要さない。

「第２トリガー」は、車両１の特定の監視領域で正規の認証動作が受け付けられたことを示すとよい。このようにすれば、車両１の監視状態下において特定の監視領域でのユーザによる認証動作を警報の発動を抑制した状態で行うことができる。

「特定の監視領域」は、例えば認証動作が行われる領域で、その一例として例えば車両１の内部の空間領域とするとよい。このようにすれば、車両１の内部の空間領域をユーザが認証動作を行う領域とし、かつ車両１の内部の空間領域に居る人物の認証を、警報の発動を抑制した状態で行うことができる。

なお、これに限定されず、車両１を利用しようとしている人を認証することが可能であれば、認証動作は、いずれの場所で受け付けられてもよい。例えば、認証動作が車両１の外部で受け付けられるようにしてもよい。この場合、例えば、車両１の外部に認証情報の入力手段が設けられるようにするとよい。例えば、車両１の車体自体（例えば、窓等）にノックを検出可能なセンサが設けられており、車両１の車体自体をノックする動作が認証動作として受け付けられてもよい。そして、受け付けられたノックのパターンが特定のパターンであるか否かが判断されるようにするとよい。車両１の内部の空間領域に実際に居る人物の認証を行うことができる点等を考慮すると、認証情報の入力手段は、車両１の内部の空間領域に設けられていると特によい。

［詳細動作］
次に、図３～図５を参照して、本実施例に係る車両システム１００の詳細動作について説明する。図３～図５は、認証システム２０の制御ユニット２１が実行する制御処理の一例（例えば、不正防止処理）を示すフローチャートである。

先ず、図３のステップＳ１１において、制御ユニット２１は、車両１が非監視状態から監視状態に移行したか否かを判断する。

例えば、ユーザが車両１の車両ドア９をロックするロック操作を行うと、車両１の車両ドア９がロックされるとともに、車両１が非監視状態から監視状態に移行する。ロック操作としては、例えば、電子キー２が車両１の近傍に存在する状態で車両ドア９の第２受付部７を押下する操作、あるいは、電子キー２が車両１の近傍に存在する状態で電子キー２のロックボタンを押下する操作などが挙げられる。そして、車両１が監視状態に移行すると、処理はステップＳ１１からステップＳ１２へと進む。

ここで、車両１が非監視状態から監視状態に移行すると、例えば制御ユニット２１は、車両１の複数の監視領域のそれぞれにおいて、対応する種類の異常の監視を開始する。これにより、車両１において複数種類の異常の監視が開始される。なお、複数の監視領域は、例えば、複数の監視対象部分などとも称される。

「複数の監視領域」は、例えば、車両において監視の必要性の高い領域に決められているとよい。このような領域として例えば、車両１の内部の空間領域、トランクルームおよびボンネットその他の車両１の開閉可能な所定の部位、第１受付部６並びにその他の領域の１つまたは２つ以上とするとよい。例えば、これらの監視領域のそれぞれには、種々のセンサが設けられており、制御ユニット２１は、各監視領域に設けられたセンサ等と連携することによって各監視領域での異常を監視する。なお、車両１の内部の空間領域での異常は、例えば、当該空間領域内で物体（例えば人）が移動したか、または車両１が振動したことをもって検知されるようにするとよい。当該空間領域内での物体の移動は、例えば、人感センサ等によって検知されるとよく、車両１の振動は、例えば、振動センサ等によって検知されるとよい。トランクルームおよびボンネットその他の車両１の開閉可能な所定の部位の異常は、当該部位が開けられたことをもって検知されるとよい。第１受付部６の異常は、第１受付部６が操作されたことをもって検知されるとよい。どのような事象を異常として検知するかについては、各監視領域の構造またはその他の特性による。

ステップＳ１２において、制御ユニット２１は、ハイセキュリティ設定がなされているか否かを判断する。ハイセキュリティ設定がなされている旨が判断されると、処理はステップＳ１２からステップＳ５１（図５）へと進み、ハイセキュリティ設定がなされていない旨が判断されると、処理はステップＳ１２からステップＳ１３へと進む。

以下では、処理がステップＳ１３（図３）へと進む場合について説明する。なお、処理がステップＳ５１（図５）へと進む場合については、後述する。

図３に示されるように、車両１が監視状態である場合、制御ユニット２１は、例えばリモート端末３からの非監視指令の受信（ステップＳ１３）と認証動作の受付（ステップＳ１４）とトリガーＢ（第１トリガーの一例）（ステップＳ１７）とのいずれかがあるまで待機する。詳細には、リモート端末３からの非監視指令の受信と認証動作の受付とトリガーＢとのいずれかがあるまで、ステップＳ１２，Ｓ１３，Ｓ１４，Ｓ１７の判断処理が繰り返される。

先ず、ステップＳ１３において、制御ユニット２１は、車両１が監視状態であるときに非監視指令がリモート端末３から受信されたか否かを判断する。非監視指令は、上述したように、車両１に対する非監視状態への移行指令である。

例えば、リモート端末３を携帯したユーザが車両１に近接した状態でリモート端末３の非監視指令発信ボタンを押下すると、リモート端末３から非監視指令が発信され、通信部２３は、当該非監視指令を受信する。これにより、制御ユニット２１は、リモート端末３から非監視指令が受信されたと判断し、処理はステップＳ１３からステップＳ２３へと進む。

ステップＳ２３では、制御ユニット２１は、車両１を非監視状態に移行させる。例えば、制御ユニット２１は、車両１を監視状態から非監視状態へと移行させる。詳細には、制御ユニット２１は、車両１の複数の監視領域の全てを監視状態から非監視状態へと移行させる。その結果、車両１の内部の複数の監視領域の全部での異常監視が停止する。

このように、制御ユニット２１は、リモート端末３（遠隔操作端末の一例）から所定の信号（例えば、非監視指令の信号）が受信されると、第１トリガーの有無、および正規の認証動作が受け付けられたことを示す第２トリガーの有無（後述のステップＳ２２）にかかわらず、車両１を非監視状態に移行しこれに維持させる。このようにすれば、ユーザが正規の認証動作を行わなくとも、リモート端末３からの所定の信号であって電子キー２からの信号と区別可能な信号を受信したときは、車両１を非監視状態に移行しこれに維持させることができる。したがって、高いセキュリティを実現しつつも、ユーザの利便性を向上させることができる。

一方で、非監視指令がリモート端末３から受信されていないとステップＳ１３において判断されると、処理はステップＳ１３からステップＳ１４へと進む。

ステップＳ１４において、制御ユニット２１は、認証動作が受け付けられたか否かを判断する。このステップＳ１４の処理内容は、後述するステップＳ１９の処理内容と同様であるため、その詳細については、後述する。

例えば、認証動作が受け付けられていないときには、処理はステップＳ１４からステップＳ１７へと進み、認証動作が受け付けられると、処理はステップＳ１４からステップＳ１５へと進む。

ステップＳ１５において、制御ユニット２１は、制御ユニット２１は、正規の第１認証動作または正規の第２認証動作が受け付けられたことを示すトリガーＡ（第２トリガーの一例）があったか否かを判断する。トリガーＡがあると、処理はステップＳ１５からステップＳ２３へと進み、トリガーＡがない場合、処理はステップＳ１５からステップＳ１６へと進む。

ステップＳ１６において、制御ユニット２１は、警報器２５による警報を発動させる。

ステップＳ１４において認証動作が受け付けられず、処理がステップＳ１４からステップＳ１７へと進むと、制御ユニット２１は、トリガーＢがあったか否かを判断する（ステップＳ１７）。

トリガーＢがない旨が判断されると、処理は再びステップＳ１２へと戻り、一方で、トリガーＢがあった旨が判断されると、処理はステップＳ１７からステップＳ１８へと進む。

ここで、トリガーＢがあった旨が判断されると、制御ユニット２１は、車両１を監視状態に維持したまま、警報器２５による警報の発動を一時的に抑制する。例えば、制御ユニット２１は、複数の監視領域のうちの一部の領域である特定の監視領域に関する警報の発動を一時的に抑制する。詳細には、制御ユニット２１は、車両１全体としては監視状態を維持しつつも、複数の監視領域のうちの一部の領域である特定の監視領域での異常の監視状態を一時的に解除することによって、当該特定の監視領域に関する警報の発動を一時的に抑制する。

なお、複数の監視領域（例えば、複数の監視対象部分などとも称される）のうち、当該特定の監視領域とは異なる所定の領域（例えば、当該特定の監視領域を除く残余の監視領域）は、監視状態に維持されたままである。

「特定の監視領域」は、例えば、車両１の内部の空間領域を含むため、ユーザが車両ドア９を開けて車両１の内部の空間領域に入り込んだとしても、警報器２５による警報は直ちには発動しないこととなる。反対に、「特定の監視領域」での監視状態が一時的に解除されたとしても、引き続き監視が必要な領域は監視状態が継続されるので、その領域で異常が検知されれば、警報器２５による警報が発動する。

このように、制御ユニット２１は、例えば、車両１が監視状態であるときに車両１の外部から所定の動作が受け付けられたことを示すトリガーＢがあると、警報器２５による警報の発動を一時的に抑制する。トリガーＢがあった旨が判断されると、制御ユニット２１は、計時処理を開始する。

ステップＳ１８において、制御ユニット２１は、トリガーＢから所定時間が経過したか否かを判断する。所定時間は、あらかじめ、固定値に設定されてもよいし、ユーザにより設定されてもよい。

例えば、認証動作を行う人物が認証動作に手間取っていることによって所定時間が経過してしまったときには、トリガーＢから所定時間が経過した旨がステップＳ１８において判断され、処理はステップＳ１８からステップＳ２４へと進む。また、例えば、トリガーＢの後に認証動作が受け付けられた場合であっても、第１の入力動作の後に第２の入力動作が受け付けられずに所定時間が経過した場合も、トリガーＢから所定時間が経過した旨がステップＳ１８において判断され、処理はステップＳ１８からステップＳ２４へと進む。ステップＳ２４において、制御ユニット２１は、警報器２５に対して警報を発動させる。なお、ステップＳ２４の詳細については、後述する。

このように、トリガーＢがあった時点が、例えば、正規の認証動作を行うための制限時間の開始時点となり、その制限時間内に正規の認証動作が行われなかったときには、警報器２５による警報が発動する。

一方、トリガーＢから所定時間が未だ経過していないときには、処理はステップＳ１８からステップＳ１９へと進む。

ステップＳ１９において、制御ユニット２１は、認証動作が受け付けられたか否かを判断する。

認証動作が受け付けられていないときには、処理はステップＳ１９からステップＳ２０へと進み、認証動作が受け付けられると、処理はステップＳ１９からステップＳ２２へと進む。以下では、処理がステップＳ２２へと進む場合について説明する。なお、処理がステップＳ２０へと進む場合については後述する。

ステップＳ２２において、制御ユニット２１は、正規の第１認証動作または正規の第２認証動作が受け付けられたことを示すトリガーＣ（第２トリガーの一例）があったか否かを判断する。詳細には、制御ユニット２１は、ステップＳ１９において受け付けられた第１認証動作または第２認証動作が正規の認証動作であるか否かを判断する。ここで第２認証動作だけでなく第１認証動作を許容しているのは、正規のユーザの認証に係る操作負担を軽減するためである。

例えば、ユーザが第１認証動作を行う場合、ユーザは、入力装置２４を用いて認証情報を入力した後、第１受付部６を操作（例えば１回の押下操作。以下同じ。）する。これにより、制御ユニット２１は、認証情報の入力操作（第１の入力動作の一例）と第１受付部６の操作（第２の入力動作の一例）との認証動作を受け付ける（ステップＳ１９）。

そして、処理はステップＳ１９からステップＳ２２へと進み、制御ユニット２１は、入力装置２４を用いて入力された認証情報と、予め登録された正規の認証情報とを照合してユーザ認証を実行する。

例えば、入力された認証情報と正規の認証情報とが一致してユーザ認証が成功したときには、制御ユニット２１は、正規の認証動作（例えば、正規の第１認証動作）が受け付けられたことを示すトリガーＣがあった旨をステップＳ２２において判断する。

そして、処理はステップＳ２２からステップＳ２３へと進み、制御ユニット２１は、車両１を監視状態から非監視状態に移行させる。

例えば、制御ユニット２１は、トリガーＢに応じて一時的に非監視状態に移行していた特定の監視領域（例えば、車両１の内部の空間領域）を非監視状態にそのまま維持させるとともに、トリガーＢがあった時点では未だ監視状態であった残余の監視領域を監視状態から非監視状態に移行させてこれに維持させる。これにより、車両１の複数の監視領域の全部での異常監視が停止する。

このように、制御ユニット２１は、車両１が監視状態であるときにトリガーＢがあると、複数の監視領域のうちの一部の領域である特定の監視領域に関する警報の発動を一時的に抑制し、トリガーＣがあると、当該複数の監視領域の全部での異常の監視状態を解除する。逆に言えば、トリガーＣがないときには、複数の監視領域の全部での異常の監視状態は解除されない。例えば、トリガーＢがあったことに応じて特定の監視領域での異常の監視状態が一時的に解除されたとしても、当該特定の監視領域で正規の認証動作が受け付けられなかったときには、複数の監視領域の全てでの異常の監視状態は解除されない。したがって、高いセキュリティ性を実現することができる。

一方で、正規の認証動作が受け付けられたことを示すトリガーＣがなかった場合、処理はステップＳ２２からステップＳ２４（後述）へと進む。例えば、入力された認証情報と正規の認証情報とが一致せずユーザ認証が失敗したときには、制御ユニット２１は、正規の認証動作が受け付けられなかった旨（例えば、誤った認証動作が受け付けられた旨）をステップＳ２２において判断する。そして、処理はステップＳ２２からステップＳ２４へと進む。

なお、この実施例では、認証動作の受付可能回数が１回であり、例えば１回でも誤った認証動作が行われると警報が発動するが、これに限定されず、認証動作の受付可能回数が複数回（例えば３回）であってもよい。

次に、ステップＳ１９からステップＳ２０へと進んだ場合について説明する。

ステップＳ２０において、制御ユニット２１は、例えば車両１の特定の監視領域が一時的に非監視状態となっているときにリモート端末３から非監視指令が受信されたか否か、を判断する。なお、図３のステップＳ１３とステップＳ２０とは、例えば、車両１の複数の監視領域の全てが監視状態であるか当該複数の監視領域の一部（特定の監視領域等）が一時的な非監視状態であるか、が異なる。

例えば、ユーザが、トリガーＢがあった後、車両１の内部の空間領域においてリモート端末３の非監視指令発信ボタンを押下する。これに応じて、リモート端末３は非監視指令を発信し、制御ユニット２１は、リモート端末３から非監視指令が受信された旨をステップＳ２０において判断する。

リモート端末３から非監視指令が受信されると、処理はステップＳ２０からステップＳ２３へと進み、上述と同様にして、車両１の非監視状態への移行処理が実行される。

一方、リモート端末３から非監視指令が受信されていないときには、処理はステップＳ２０からステップＳ２１へと進み、制御ユニット２１は、複数の監視領域のうち、車両１の特定の監視領域（例えば、車両１の内部の空間領域）を除く残余の監視領域（例えば、未だ監視状態に維持されている所定の監視領域）において異常が検知されたか否かを判断する。当該残余の監視領域は、例えば認証動作が行われる領域（本実施例では、車両１の内部の空間領域）とは異なる領域とするとよい。このような領域として、例えば、車両１における、トランクルーム、ボンネット、第１受付部６およびその他の領域の１つまたは２つ以上がある。

トリガーＢがあったとき（ステップＳ１７）からトリガーＣがある（ステップＳ２２）までの間において、残余の監視領域で異常が検知されると、処理はステップＳ２１からステップＳ２４へと進む。一方で、残余の監視領域において異常が検知されていないときには、処理は再びステップＳ１８へと戻る。

一方で、未だ監視状態の残余の監視領域で異常が検知された旨がステップＳ２１において判断された場合、警報器２５は、警報を発動する（ステップＳ２４）。

このように、トリガーＢがあったときからトリガーＣがあるまでの間において、特定の監視領域とは異なる所定の領域で異常が検知されたときには、警報が発動される。このようにすれば、トリガーＢがあったことに応じて一部の監視領域（例えば、車両１の内部の空間領域等）で異常の監視状態が一時的に解除されたとしても、これ以外の所定の領域で異常が検知されたときには、警報が直ちに発動されるので、車両１自体または車両の付属物等の盗難といった不正が行われることを抑制することができる。

次に、図３のステップＳ２４について詳述する。

上述したように、
・トリガーＢがあったとき（ステップＳ１７）から所定時間内に正規の認証動作が受け付けられなかったとき（ステップＳ１８においてＹＥＳ）、
・ステップＳ１９にて受け付けられた認証動作が正規の認証動作とは異なるとき（ステップＳ２２においてＮＯ）、あるいは、
・トリガーＢがあったとき（ステップＳ１７）とトリガーＣがあったとき（ステップＳ２２）との間において特定の監視領域以外の監視領域で異常が検知されたとき（ステップＳ２１においてＹＥＳ）
には、制御ユニット２１は、警報器２５による警報を発動させる（ステップＳ２４）。

詳細には、制御ユニット２１は、車両１を非監視状態に維持させず（例えば、非監視状態に維持することを許容せず、ともいう）、警報器２５による警報の発動の一時的な抑制を解除する。そして、警報器２５は、警報を発動する（ステップＳ２４）。

このようにすれば、例えば、悪意をもった第三者が車両１の内部の空間領域に侵入したとしても、その後に上記のいずれかの動作が行われると警報が発動する（ステップＳ２４）。これにより、悪意をもった第三者による車両の盗難等の不正を断念させることができ、高いセキュリティ性を実現することができる。

なお、警報発動処理へと至った原因が、
・トリガーＢがあったときから所定時間内に正規の認証動作が受け付けられなかったときと、
・受け付けられた認証動作が正規の認証動作とは異なるときと、
・複数の監視領域のうち、特定の監視領域以外の監視領域で異常が検知されたときと
のいずれであるかによって異なる警報（例えば、異なる音量の警報、あるいは異なる種類の警報等）が発動されるようにするとよい。

このようにすれば、トリガーＢがあった後において、ユーザが意図せずに正規の認証動作を行うことができずに警報が発動したときであっても、当該ユーザは、その原因を知得することができる。その結果、例えば、ユーザは、次回以降の認証動作に際して、前回の警報発動時に知得した原因に応じた適切な行動をとることができる。

ステップＳ２４において警報が発動すると、処理はステップＳ２４（図３）からステップＳ３１（図４）へと進む。

ステップＳ２４（図３）において警報が発動した後の動作について、図４のフローチャートを参照しつつ説明する。なお、警報器２５による警報は、例えば一定時間の経過で自動的に停止する。

先ず、ステップＳ３１において、制御ユニット２１は、ハイセキュリティ設定がなされているか否かを判断する。ハイセキュリティ設定がなされている旨が判断されると、処理はステップＳ３１から後述するステップＳ５１（図５）へと進み、ハイセキュリティ設定がなされていない旨が判断されると、処理はステップＳ３１からステップＳ３２へと進む。

そして、ステップＳ３２において、制御ユニット２１は、車両１が監視状態であるときに非監視指令がリモート端末３から受信されたか否かを判断する。

非監視指令がリモート端末３から受信されると、処理はステップＳ３２からステップＳ４０へと進み、制御ユニット２１は、車両１を監視状態から非監視状態へと移行させる。なお、この際、警報の発動中であるときには、制御ユニット２１は、警報器２５による警報の発動を停止させる。

一方、非監視指令がリモート端末３から受信されていないときには、処理はステップＳ３２からステップＳ３３へと進む。

そして、制御ユニット２１は、認証動作が受け付けられたか否かを判断する（ステップＳ３３）。

ステップＳ３３において認証動作が受け付けられると、処理はステップＳ３３からステップＳ３４へと進み、制御ユニット２１は、トリガーＤ（第２トリガーの一例）があるか否かを判断する。トリガーＤは、ステップＳ３３において受け付けられた認証動作が正規の第２認証動作であったことを示す。制御ユニット２１は、第１認証動作が行われてもトリガーＤがあったとは判断しない。

例えば、正規の第１認証動作とは異なる正規の第２認証動作が行われなかった場合、処理はステップＳ３４からステップＳ４１へと進み、警報が再び発動する。一方で、トリガーＤがあると、処理はステップＳ３４からステップＳ４０へと進み、制御ユニット２１は、車両１を監視状態から非監視状態へと移行させる。

一方で、ステップＳ３３において認証動作が受け付けられていないときには、処理はステップＳ３３からステップＳ３５へと進み、制御ユニット２１は、トリガーＥ（第１トリガーの一例）があったか否かを判断する（ステップＳ３５）。トリガーＥはトリガーＢと同じ条件を示す。

そして、トリガーＥがあると処理はステップＳ３５からステップＳ３６へと進み、制御ユニット２１は、計時処理を開始するとともに、トリガーＥがあったときから所定時間が経過したか否かを判断する（ステップＳ３６）。なお、図４のステップＳ３５，Ｓ３６等の処理内容は、図３のステップＳ１７，Ｓ１８等の処理内容と同様であるため、詳細な説明については省略する。

例えば、認証動作が受け付けられることなく所定時間が経過すると、処理はステップＳ３６からステップＳ４１へと進む。そして、制御ユニット２１は、警報器２５による警報を再発動させる（ステップＳ４１）。

一方、所定時間が未だ経過していないときには、処理はステップＳ３６からステップＳ３７へと進み、制御ユニット２１は、認証動作が受け付けられたか否かを判断する。

認証動作が受け付けられていないときには、処理はステップＳ３７からステップＳ３９へと進み、制御ユニット２１は、リモート端末３から非監視指令が受信されたか否かを判断する。そして、リモート端末３から非監視指令が受信されると、処理はステップＳ３９からステップＳ４０へと進み、リモート端末３から非監視指令が受信されていないときには、処理はステップＳ３９から再びステップＳ３６へと戻る。

一方で、ステップＳ３７において認証動作が受け付けられると、処理はステップＳ３７からステップＳ３８へと進む。

例えば、ユーザは、第１受付部６を操作した後、入力装置２４を用いて認証情報を入力し、その後、第１受付部６を操作する認証動作（「第１認証動作とは異なる認証動作」の一例）を行う。これにより、制御ユニット２１は、認証情報の入力操作（第１の入力動作の一例）と第１受付部６に対する操作（第２の入力動作の一例）との認証動作を受け付ける（ステップＳ３７）。そして、処理はステップＳ３７からステップＳ３８へと進む。

ステップＳ３８において、制御ユニット２１は、ステップＳ３７においてトリガーＦ（第２トリガーの一例）があったか否かを判断する。トリガーＦは、正規の第２の認証動作が行われたことを示す。制御ユニット２１は、トリガーＤと同じく、第１認証動作が行われてもトリガーＦがあったとは判断しない。

例えば、トリガーＦがないと判断されると、処理はステップＳ３８からステップＳ４１へと進み、警報が再び発動する。トリガーＦがあった旨が判断されると、処理はステップＳ３８からステップＳ４０へと進む。

そして、制御ユニット２１は、車両１を監視状態から非監視状態へと移行させる（ステップＳ４０）。詳細には、車両１の複数の監視領域の全てを監視状態から非監視状態へと移行させてこれに維持させる。なお、この際、警報の発動中であるときには、制御ユニット２１は、警報器２５による警報の発動を停止させる。

以上のように、警報が発動した（ステップＳ２４）後において、トリガーＦがあると、制御ユニット２１は、車両１を監視状態から非監視状態へと移行させる（ステップＳ４０）。

このようにすれば、トリガーＥがあった後に正規の第１認証動作または正規の第２認証動作が受け付けられず、車両１が監視状態となってしまった（ステップＳ２４）場合であっても、ユーザが、正規の第２認証動作を行ったときには、認証システム２０はトリガーＦがあったと判断して車両１は非監視状態に移行する（ステップＳ４０）。そのため、例えば、第三者が時間を掛けて第１認証動作を行った場合でも、これを正規の認証動作として車両を非監視状態に維持させてしまうのを防ぐことができる。

このように、トリガーＢから所定期間を経過して警報器２５による警報が発動した後においては、制御ユニット２１は、例えば、正規の認証動作において必要なユーザの手順を増加させる。このようにすれば、正規の認証動作がユーザによって行われる限りにおいてはその負担の増大が抑えられ、認証動作に誤りがあった場合には警報の発動とともに必要なユーザの手順を増やすことで、正規のユーザでない人物を誤って正規のユーザとして認証する可能性を低くすることができる。例えば、警報器２５による警報が発動した後においては、制御ユニット２１は、ユーザによる認証動作に際して、第１認証動作ではなく、第２認証動作の実施を要求する。

［ハイセキュリティ設定がなされている場合］
次に、ハイセキュリティ設定がなされている場合について説明する。

ハイセキュリティ設定がなされている場合、処理は図３のステップＳ１２から図５のステップＳ５１へと進む。

図５のステップＳ５１，Ｓ５２，Ｓ５４～Ｓ５９，Ｓ６１，Ｓ６２の処理内容は、図３のステップＳ１３，Ｓ１４，Ｓ１６～Ｓ２１，Ｓ２３，Ｓ２４の処理内容と大略同じであるため、以下では、図５のステップＳ５１，Ｓ５２，Ｓ５４～Ｓ５９，Ｓ６１，Ｓ６２の説明については省略する。ただし、図５に示すトリガーＧ（第２トリガーの一例）、トリガーＨ（第１トリガーの一例）、トリガーＩ（第２トリガーの一例）は、それそれトリガーＤ，Ｅ、Ｆと同じ条件を示す。また、リモート端末３は、電子キー２が送信するものとは異なるデータ部を有する信号を送信する。データ部が異なることは、例えば、リモート端末３固有の情報として、例えば識別子（ユニークＩＤ）、認証情報、コマンドの少なくともいずれかとするとよい。また、例えば、リモート端末３および電子キー２が無線通信に使用する周波数を異ならせるようにするとよい。認証システム２０は、リモート端末３０からの信号が受信されると、トリガーＧ，Ｈ，Ｉの有無にかかわらず、車両１を非監視状態に移行させこれに維持させる。このようにすれば、電子キー２が送信するデータを偽装して不正な認証を正規の認証と判断されることを回避できる。

ステップＳ５１，Ｓ５２，Ｓ５５～Ｓ５７等を経て処理がステップＳ６０へと進むと、制御ユニット２１は、正規の第２認証動作が受け付けられたか否かを判断する。ステップＳ６０では、制御ユニット２１は、トリガーＩがあったか否かを判断する。なお、ステップＳ５３の処理内容も、ステップＳ６０の処理内容と同様である。

詳細には、ユーザは、第１受付部６を操作した後、入力装置２４を用いて認証情報を入力し、その後、第１受付部６を操作する認証動作を行い、制御ユニット２１は、ユーザによる認証動作を受け付ける（ステップＳ５７）。そして、制御ユニット２１は、ステップＳ５７において入力装置２４を用いて入力された認証情報と、制御ユニット２１に予め登録された正規の認証情報とを照合してユーザ認証を実行する。

入力された認証情報と正規の認証情報とが一致してユーザ認証が成功したときには、制御ユニット２１は、正規の認証動作（例えば、正規の第２認証動作）が受け付けられたことを示すトリガーＩがあった旨をステップＳ６０において判断する。そして、処理はステップＳ６０からステップＳ６１へと進み、制御ユニット２１は、車両１を監視状態から非監視状態へと移行させる。

例えば、制御ユニット２１は、トリガーＨがあったことに応じて非監視状態に一時的に移行していた特定の監視領域（例えば、車両１の内部の空間領域等）を非監視状態にそのまま維持させるとともに、トリガーＨがあった時点では未だ監視状態であった残余の監視領域を監視状態から非監視状態に移行させてこれに維持させる。これにより、車両１の複数の監視領域の全部での異常監視が停止する。

一方で、入力された認証情報と正規の認証情報とが一致せずユーザ認証が失敗したときには、制御ユニット２１は、正規の認証動作（例えば、正規の第２認証動作）が受け付けられなかった旨（例えば、正規の認証動作が受け付けられたことを示すトリガーＩがなかった旨、ともいう）をステップＳ６０において判断する。

そして、処理はステップＳ６０からステップＳ６２へと進み、制御ユニット２１は、警報器２５による警報を発動させる。

以上のように、本実施例に係る認証システム２０では、制御ユニット２１は、車両１が監視状態であるときに第１トリガーがあると警報器２５による警報の発動を一時的に抑制し、正規の認証動作が受け付けられたことを示す第２トリガーがあると、当該車両１を非監視状態に維持させる。

認証システム２０は、正規の認証動作が受け付けられたことを示すトリガー（第２トリガー）があったことを条件に非監視状態に維持させるので、これを条件としない場合よりも、セキュリティ性が高い。例えば、ユーザを認証することなく、ユーザに所定の動作を行わせることで車両１を監視状態から非監視状態に移行させる技術も考えられる。ただし、このような技術では、第三者がその仕組みを知っている場合には、当該第三者が所定の動作を行うことによって車両１が非監視状態へと移行されてしまう。本実施例では、認証動作が介在するので、正規のユーザ以外の第三者により車両の盗難等の不正が行われる可能性が低くなる。

また、第１トリガーがあると警報の発動が抑制されるので、正規のユーザが認証動作を行っているときに誤って警報が発動することが抑制される。例えば、認証動作を行うために、正規のユーザが車両１の内部に乗り込んだ場合、車両１の内部での異常を検知したことによる警報の発動が抑制されていれば、正規のユーザであるにもかかわらず誤った警報が発せられる可能性が抑制される。また、正規のユーザが車両１の内部に乗り込んだ場合に、車両１に振動が発生する可能性があるが、振動による異常を検知したことによる警報の発動が抑制されていれば、正規のユーザであるにもかかわらず誤った警報が発せられる可能性が抑制される。反対に、認証動作が行われる領域とは異なる領域（例えば、上記「残余の監視領域」）については異常が検知されれば警報が発せられるようにしておけば、正規のユーザに起因する警報の誤発動の抑制と、第三者に起因する不正の発生の抑止とを両立することができる。

さらに、警報の発動が抑制された状態で認証動作を受けられる期間が、第１トリガーがあったときからの一時的な期間に制限されるので、これもセキュリティ上望ましい根拠となり得るものである。

以上の理由により、本実施例によれば、誤った警報の発動を抑制しつつもセキュリティ性を高めることができる。また、認証システム２０では、第三者による車両１の盗難等の不正を防止するという観点に加え、正規のユーザに起因する誤った警報の発動を抑制し、当該正規のユーザにとって望ましくない事態の発生を抑制するという観点を有する点でも、従来とは異なるセキュリティ技術を提案するものということができる。

［変形例］
以上、本発明の実施形態の一例について説明したが、本発明は、上記の実施形態に限られるものではなく、様々な変更が可能である。例えば、次のような変形例が実施されてもよい。

（１）例えば、上記の実施例では、「正規の認証動作」は、認証情報を入力可能な第１の入力手段（例えば、入力装置２４）に対して正規の認証情報を入力する第１の入力動作と、車両１に本来的に備わる第２入力手段に対して行われる第２の入力動作とを含むが、これに限定されない。

例えば、「正規の認証動作」は、第１の入力動作のみであってもよい。このような場合であっても、正規の認証情報が入力されない場合、車両１は非監視状態に維持されず、監視状態となるので、高いセキュリティ性を実現することができる。

（２）また、「認証情報」として以下のようなものが採用されてもよい。

例えば、認証動作に際して顔認証が採用され、第１の入力手段を用いて入力される「認証情報」として顔画像情報が採用されてもよい。この場合、正規の認証動作が受け付けられたか否かが判断される際には、車両１の内部の空間領域等に設けられたカメラ（第１の入力手段の一例）によって撮影されて入力された顔画像情報と、予め登録された正規の顔画像情報とが照合されて顔認証が実行されるようにするとよい。

あるいは、認証動作に際して指紋認証が採用され、第１の入力手段を用いて入力される「認証情報」として指紋情報が採用されてもよい。この場合、正規の認証動作が受け付けられたか否かが判断される際には、車両１の内部の空間領域等に設けられた指紋読取装置（第１の入力手段の一例）によって検出されて入力された指紋情報と、予め登録された正規の指紋情報とが照合されて指紋認証が実行されるようにするとよい。

なお、これらの認証方式に限らず、種々の認証方式（例えば、声帯認証等）が採用されてもよく、さらに、複数の認証方式が組み合わされてもよい。また、複数の認証方式のいずれを認証動作に用いるかをユーザ等が予め設定できるようにしてもよい。

（３）また、上記の実施例等では、第１トリガーに関してユーザ認証は実行されておらず、第２トリガーに関してユーザ認証が実行されているが、これに限定されない。例えば、第１トリガーと第２トリガーとの双方に関してユーザ認証が実行されてもよい。

この場合、例えば、第１トリガーでのユーザ認証の認証方式と第２トリガーでのユーザ認証での認証方式とが異なる種類とすると特によい。例えば、デジタルキーシステムを利用したユーザ認証が成功したことによって車両ドア９のロックが解除されたことを第１トリガーとし、入力装置２４を利用したユーザ認証が成功したことを第２トリガーとしてもよい。

（４）また、上記の実施例等では、車両システム１００にリモート端末３が設けられているが、車両システム１００においてリモート端末３は必ずしも設けられていなくともよい。ただし、上述したように、リモート端末３が設けられている場合、ユーザは、当該リモート端末３から非監視指令を送信させることによって、認証動作を行うことなく車両１を非監視状態へと移行させることができる。

（５）また、上述した実施例では、認証システム２０は、第１トリガーがあると車両１全体としては監視状態のまま警報の発動を一時的に抑制していたが、これに限定されない。例えば、これに代えて、認証システム２０は、第１トリガーがあると車両１全体を監視状態から非監視状態に移行させることによって警報の発動を一時的に抑制してもよい。この場合、認証システム２０は、第１トリガーがあったときから所定期間内に正規の認証動作が行われれば、車両１を非監視状態に維持させ、そうではない場合には車両１を非監視状態から監視状態に戻す。この場合も、正規の認証動作が受け付けられたことを非監視状態に維持させる条件にするのでセキュリティ性が高いことに加え、警報なく認証動作を受けられる期間が、第１トリガーがあったときからの一時的な期間に制限されるので、これもセキュリティ上望ましい根拠となり得るものである。なお、この変形例では、正規の認証動作が行われるまで車両１全体が非監視状態になるが、一時的な期間なのでセキュリティ上の問題は少ない。

（６）また、上記の実施例等では、「第１の入力手段」として入力装置２４が例示されているが、これに限定されない。例えば、「第１の入力手段」は、スマートフォン、タブレット型コンピュータ等の携帯端末であってもよい。携帯端末をスマートフォンとして説明すると、認証システム２０の通信部２３とスマートフォンにインストールされた所定のアプリケーションとの間で認証情報（例えば、端末ＩＤ、ユーザＩＤ、パスワード、ワンタイムキーあるいは電話番号等）の授受が行われ、制御ユニット２１が、通信部２３において当該アプリケーションから受信された認証情報を用いてユーザ認証を実行するようにしてもよい。このように、スマートフォンを用いた所謂「デジタルキーシステム」が利用されてもよい。このようにすれば、ユーザは、例えば、車両１の内部の空間領域に据え置かれている操作部材、謂わば、車両１の車内に入った人物であれば誰でも使用できる操作部材ではなく、自身のスマートフォン等を用いてユーザ認証を行うことができるので、より高いセキュリティ性を実現することができる。

なお、スマートフォンと車両１（詳細には通信部２３）との距離が比較的小さいときにのみ認証動作を行うことができる仕組みが採用されるとよい。例えば、スマートフォンと認証システム２０の通信部２３との間での無線通信方式として、Bluetooth（登録商標）、ＢＬＥ（Bluetooth Low Energy）、Ｗｉ－Ｆｉ通信、あるいは近距離無線通信（ＮＦＣ（Near Field Communication）等）など、通信可能エリアが限定されている無線通信方式が採用されるとよい。このようにすれば、スマートフォンの所持者が車両１の比較的近傍に居るときにのみユーザ認証が実行されるので、高いセキュリティ性を実現することができる。

ただし、これに限定されず、スマートフォンと通信部２３との間で、例えば、ＬＴＥ（Long Term Evolution）あるいは移動体通信（Mobile Communication）などの公衆ネットワーク経由で通信が行われてもよい。この場合、スマートフォンの所持者が車両１から比較的離れている場合であっても、スマートフォンと車両１の通信部２３とが互いに通信することによって、例えば、第１トリガーがあったことをスマートフォンの所持者に通知すること等ができる。このようにすれば、例えば、ユーザは、車両１から比較的離れている場合であっても、車両１の盗難等の不正が行われる可能性があることをユーザ自身のスマートフォンを用いて確認することができる。その結果、例えば、通知を受けたユーザが直ちに車両１へと戻ることにより、このような不正が行われることを未然に回避することができる。

（７）また、上記の実施例等では、制御ユニット２１が、入力装置２４等の入力手段を用いて入力された認証情報に基づく認証処理を実行しているが、これに限定されない。例えば、制御ユニット２１自体は当該認証処理を実行せず、制御ユニット２１が、ネットワーク上のサーバ等に当該認証処理を実行させるようにしてもよい。この場合、例えば、認証システム２０の通信部２３が、ユーザによって入力された認証情報を外部サーバに送信するとともに、外部サーバでの認証結果を受信し、制御ユニット２１は、当該認証結果に基づいて、正規の認証動作が受け付けられたか否かを判断するようにするとよい。

（８）また、上述した実施例では、認証システム２０は、第１トリガーがあると警報の発動を一時的に抑制し、第２トリガーがあると、前記車両を非監視状態に維持させていた。これに代えて、認証システム２０は、第２トリガーがあると警報の発動を一時的に抑制し、第１トリガーがあると、前記車両を非監視状態に維持させてもよい。本変形例では、第１トリガーにより発生する事象と、第２トリガーにより発生する事象とを、上述した実施例とは入れ替えた態様ということもできる。このように本発明の一態様として、車両が監視状態であるときに異常が検知されると警報を発動する機能を有する警報手段と、前記車両が監視状態であるときに正規の認証動作が受け付けられたことを示す第２トリガーがあると前記警報手段による警報の発動を一時的に抑制し、第１トリガーがあると、前記車両を非監視状態に維持させる制御手段と、を備えることを特徴とするシステムとすることもできる。このようなシステムにおいても、このようにすれば、正規の認証動作が受け付けられたことを示す第２トリガーがあったことを条件に非監視状態に維持させるので、セキュリティ性が高い。また、第２トリガーにより警報の発動が抑制されるので、正規のユーザが車両を利用しようとしているときに誤って警報が発動することが抑制される。また、警報が発動しないようにしつつ非監視状態に維持させることのできる期間が第２トリガーからの一時的な期間に制限されるので、これもセキュリティ上望ましい根拠となり得るものである。この変形例の認証システム２０によれば、誤った警報の発動を抑制しつつもセキュリティ性を高めることができる。このような発明は、第三者による車両の盗難等の不正が行われるのを防止するという観点に加え、正規のユーザに起因する誤った警報の発動を抑制し、当該正規のユーザにとって望ましくない事態の発生を抑制するという観点を有する。

（９）また、上記の実施例および変形例にかかるシステムにおける機能をコンピュータにより実行可能なプログラムとするとよい。

このようにすれば、コンピュータに該プログラムをインストールして、上記の実施例および変形例の各形態にかかる各機能を発揮させることにより、高いセキュリティ性を実現することができる。

「コンピュータ」は、ＰＣ（パーソナルコンピュータ）に限らず、例えば、マイクロコンピュータ制御により実行可能な電子機器等であってもよい。

（１０）また、上記の実施例および変形例にかかるシステムにおける機能をコンピュータにより実行可能なプログラムを記憶した記憶媒体とするとよい。

このようにすれば、コンピュータに該記憶媒体からプログラムをインストールして、上記の実施例および変形例の各形態にかかる作用効果を発揮させることにより、高いセキュリティ性を実現することができる。

［その他の拡張例等］
上述の各実施例および各変形例は例示であり、各実施例および各変形例で示した構成の部分的な置換または組み合わせが可能であることは言うまでもなく、また、各実施例および各変形例に記載の各構成要素は、任意に組み合わせるとよい。例えば、制御ユニット２１は、各実施例および各変形例のうちのいずれか一の処理と他の処理とを並行して（例えばマルチタスク等で）実行するようにしてもよい。

また、課題を解決する手段に記載の発明や各構成要素を、各実施例および各変形例の各構成要素の組み合わせにさらに適用してもよい。複数の実施例および複数の変形例の同様の構成による同様の作用効果については実施例および変形例ごとには逐次言及しない。さらに、本発明は上述の実施例に制限されるものではない。例えば、種々の変更、改良、組み合わせ等が可能なことは当業者に自明であろう。

１ 車両
２ 電子キー
３ リモート端末
６ 第１受付部
７ 第２受付部
９ 車両ドア
１０ 電子キーシステム
１１ 電子キーＥＣＵ
１２ ボディＥＣＵ
２０ 認証システム
２１ 制御ユニット
２２ 検出ユニット
２３ 通信部
２４ 入力装置
２５ 警報器

Claims (5)

1. 車両が監視状態であるときに異常が検知されると警報を発動する機能を有する警報手段と、
   前記車両が監視状態であるときに第１トリガーがあると前記警報手段による警報の発動を一時的に抑制し、正規の認証動作が受け付けられたことを示す第２トリガーがあると、前記車両を非監視状態に維持させる制御手段と、
   を備え、
   前記車両が監視状態であるときには、前記車両の複数の監視領域のそれぞれで異常が監視されており、
   前記制御手段は、
   前記車両が監視状態であるときに前記第１トリガーがあると、前記複数の監視領域のうちの一部の領域である特定の監視領域に関する警報の発動を一時的に抑制し、
   前記第２トリガーがあると、前記複数の監視領域の全部での異常の監視状態を解除する
   ことを特徴とするシステム。
2. 前記警報手段は、前記第１トリガーから前記第２トリガーまでの間において、前記特定の監視領域と異なる所定の領域で異常が検知されたときには、警報を発動する
   ことを特徴とする請求項１に記載のシステム。
3. 前記警報手段は、前記車両が監視状態であるときに前記特定の監視領域で異常が検知されると警報を発動する機能を有しており、
   前記第２トリガーは、前記特定の監視領域で前記正規の認証動作が受け付けられたことを示す
   ことを特徴とする請求項１または２に記載のシステム。
4. 前記特定の監視領域は、前記車両の内部の空間領域を含む
   ことを特徴とする請求項３に記載のシステム。
5. コンピュータに、請求項１～請求項４のいずれか１項に記載のシステムとしての機能を実現させることを特徴とするプログラム。

Images