JPWO2019043954A1 - 車両用制御システム - Google Patents

Abstract

システム（１０）を構成するＥＣＵ（１２）の第１認証処理部（１２ｃ）及び第２認証処理部（１２ｄ）は、整備者端末（２０）及び使用者端末（１８）から取得した各認証情報と、第１認証情報登録部（１２ａ）の第１認証情報及び第２認証情報登録部（１２ｂ）の第２認証情報とを照合する第１認証処理及び第２認証処理をそれぞれ行う。権限設定部（１２ｅ）は、両方の認証が成立した場合に、車両（１４）の整備のための該車両（１４）への操作許可を行う。

Description

本発明は、認証対象から取得する認証情報に基づいて、認証対象の車両に対する操作許可を行う車両用制御システムに関する。

例えば、車両のキーレスエントリーシステムにおいて、車両と電子キーとの間で認証が成立した場合、認証対象である車両の所有者、使用者及び整備者に応じて、車両への操作許可をレベル分けすることが、特開２０１６−１７２４７２号公報に開示されている。

しかしながら、整備者の車両に対する操作許可については、次のような問題がある。すなわち、車両の所有者（車両の管理者）における車両整備のニーズがないにも関わらず、認証対象である電子キーを所持して整備者が車両に近づいた場合、車両と電子キーとの間の通常の認証処理により、車両の整備のための該車両への操作許可が行われる。一方、管理者と異なる者（車両の使用者）が車両を使用するときに、車両に何らかの故障が生じた場合、管理者から車両整備に対する承諾を必須とすれば、管理者から承諾を得なければ車両整備ができないこととなり、必要な整備を迅速に得ることができず、使用者が車両の走行を継続することができなくなる可能性がある。

本発明は、上記の課題を解決するためになされたものであり、車両の使用者に対して必要な車両整備が迅速に提供されることを可能としつつ、車両の管理者の意図しない車両整備や改造を防止することができる車両用制御システムを提供することを目的とする。

本発明は、認証対象から取得する認証情報に基づいて、前記認証対象の車両に対する操作許可を行う車両用制御システムであって、第１認証情報登録部、第２認証情報登録部、第１認証処理部、第２認証処理部及び権限設定部を有する。

前記第１認証情報登録部には、前記車両の整備のための該車両への操作許可に用いられる第１認証情報が登録される。前記第２認証情報登録部には、前記車両の整備以外の該車両への操作許可に用いられる第２認証情報が登録される。

前記第１認証処理部は、前記第１認証対象から取得した認証情報と前記第１認証情報登録部に登録された前記第１認証情報とに基づき、前記第１認証対象に対する第１認証処理を行う。前記第２認証処理部は、前記第２認証対象から取得した認証情報と前記第２認証情報登録部に登録された前記第２認証情報とに基づき、前記第２認証対象に対する第２認証処理を行う。

前記権限設定部は、前記第１認証処理での認証と前記第２認証処理での認証との両方が成立した場合に、前記車両の整備のための該車両への操作許可を行う。

この構成によれば、前記第１認証処理での認証と前記第２認証処理での認証との両方が成立した場合にのみ、前記車両の整備のための該車両への操作許可が行われる。つまり、前記第１認証対象（整備者）と、前記第２認証対象（操作者）との両方に対する認証が成立しなければ、前記整備者に対する前記車両の整備のための操作許可は行われない。これにより、前記車両の使用者に対する必要な車両整備を迅速に提供可能にしつつ、前記車両の管理者の意図しない車両整備や改造が行われることを防止することができる。

ここで、「認証対象」とは、前記整備者が所持する前記車両の故障診断装置、前記整備者及び前記操作者が所持するスマートキー又はスマートフォン等の各種の携帯機器を含む、前記第１認証処理部及び前記第２認証処理部での認証対象となり得るものをいう。従って、「認証情報」には、前記認証対象の識別番号等に限らず、前記整備者及び前記操作者の生体情報を含めてもよい。

また、「操作許可」とは、前記整備者又は前記操作者を含む前記認証対象について、前記車両に対して、認証対象の種類に応じて、通常必要となる車両操作を該認証対象に許可することをいう。例えば、前記整備者であれば、前記車両のボンネットや整備対象を覆う筐体といった前記車両に設けられた開閉体への開閉の許可、ＥＣＵ（電子制御装置）に対するリプログラミングの許可等を含む車両操作が操作許可の対象となる。

ここで、前記権限設定部は、前記車両の整備のための該車両への操作許可の要求に基づいて実行される前記第１認証処理と前記第２認証処理との両方の認証が成立した場合に、前記車両の整備のための該車両への操作許可を行えばよい。これにより、前記管理者の意図しない車両整備や改造が行われることを確実に防止することができる。

また、前記第２認証情報は、前記車両の管理者のための該車両に対する操作許可に用いられる認証情報であることが好ましい。また、前記第２認証情報は、前記車両の使用者のための該車両に対する操作許可に用いられる認証情報であることが好ましい。これにより、前記車両の故障等の異常状態が発生し、前記管理者又は前記使用者が整備者の出動を要請した場合、真正な整備者にのみ前記車両に対する操作許可が行われる。

この場合、前記第２認証情報は、前記第２認証処理が行われる時点を含む所定期間における前記車両の使用者に関する認証情報として、前記第２認証情報登録部に登録されていればよい。これにより、時間によって使用者が異なる場合であっても、前記第２認証処理を適切に行うことが可能となる。

また、前記権限設定部は、前記第１認証処理での認証と前記第２認証処理での認証との両方が成立した場合であって、前記車両の管理者から前記車両の整備を許可された旨の許可情報を保有する場合には、第１の許可範囲で、前記車両の整備のための操作許可を行い、前記第１認証処理での認証と前記第２認証処理での認証との両方が成立した場合であって、前記許可情報を保有しない場合には、第２の許可範囲で、前記車両の整備のための操作許可を行い、前記第２の許可範囲は、前記第１の許可範囲よりも、前記車両への操作許可範囲を制限するものであることが好ましい。

このように、前記管理者から車両整備の許可を未取得であっても、前記使用者のニーズにより、前記第１認証処理及び前記第２認証処理によって車両整備を許可する場合には、前記第１の許可範囲よりも前記車両への操作許可範囲が制限された前記第２の許可範囲で、前記車両の整備のための操作許可を行う。この結果、前記車両の故障等が生じた場合でも、前記使用者の便宜のための応急措置として、前記整備者は、前記第２の許可範囲内で車両整備を行うことが可能となる。

なお、「第１の許可範囲」とは、前記車両のＥＣＵのプログラム書き換え等の高度な車両整備まで行える操作許可範囲であり、一方で、「第２の許可範囲」とは、前記車両のボンネットや整備箇所を覆う筐体等の所定の開閉体に対する開閉操作のような限られた車両整備に対する操作許可範囲である。また、前記第１の許可範囲では、高度の車両整備まで行えるため、比較的長時間の時間設定の範囲内での車両整備を許可し、一方で、前記第２の許可範囲では、応急措置の車両整備しか行えないので、比較的短時間の時間設定の範囲内での車両整備を許可してもよい。

また、前記権限設定部は、前記整備者のための操作許可の後に、前記第１認証対象及び／又は前記第２認証対象が所定範囲内に存しなくなった場合、前記整備のための操作許可を解除すればよい。これにより、前記管理者又は前記使用者の意図しない車両整備が、前記整備者によって不用意に行われることを防止することができる。

さらに、前記権限設定部は、前記整備のための操作許可の後に、前記第１認証対象及び／又は前記第２認証対象が所定範囲内に存しなくなった場合であっても、前記車両の管理者から前記車両の整備を許可された旨の許可情報を保有するときには、前記整備者のための操作許可を継続してもよい。これにより、前記管理者から整備のための操作許可を一旦受けた真正な整備者は、認証処理を再度受けることなく、前記車両に対する整備を行うことが可能となる。

この場合、前記第１認証情報は、前記第１認証処理に先立ち、前記第１認証情報登録部に予め登録されるか、又は、前記第１認証処理部が前記第１認証対象から認証情報を取得した際に、前記車両の管理者が所有する管理者サーバから取得して、前記第１認証情報登録部に登録される。また、前記第２認証情報は、前記第２認証処理に先立ち、前記第２認証情報登録部に予め登録されるか、又は、前記第２認証処理部が前記第２認証対象から認証情報を取得した際に、前記管理者サーバから取得して、前記第２認証情報登録部に登録される。いずれの場合でも、前記第１認証情報及び前記第２認証情報を用いて、前記第１認証対象及び前記第２認証対象に対する認証処理を確実に行うことができる。

本実施形態に係る車両用制御システムのブロック図である。 図１の車両用制御システムの動作を示すフローチャートである。 図３Ａ及び図３Ｂは、第２及び第３変形例のフローチャートである。 図４Ａ及び図４Ｂは、第４及び第５変形例のフローチャートである。

本発明について、好適な実施形態を掲げ、添付の図面を参照しながら、以下詳細に説明する。

［１．本実施形態の構成］
図１は、本実施形態に係る車両用制御システム１０（以下、本実施形態に係るシステム１０ともいう。）のブロック図である。該システム１０は、車両用セキュリティシステムであって、後述する認証処理を実行するＥＣＵ１２を搭載した車両１４を有し、例えば、予め登録された会員間で該車両１４を共同使用するカーシェアリングシステムに適用される。

システム１０は、管理者（カーシェアリングシステムを運営する事業者、第２認証対象）が所有する車両１４と、管理者が所有する管理者サーバ（第２認証対象）１６と、車両１４の使用者（第２認証対象）が所持するスマートキー又はスマートフォン等の携帯機器である使用者端末（第２認証対象）１８と、車両１４を整備する整備者（第１認証対象）が所持する車両１４の故障診断装置、スマートキー又はスマートフォン等の携帯機器である整備者端末（第１認証対象）２０とを有する。

車両１４は、使用者が利用可能な自動車等の車両であって、ＥＣＵ１２、バッテリ２２、イグニッションスイッチ２４、表示装置２６及び通信部２８を有する。この場合、使用者がイグニッションスイッチ２４をオンにすると、図示しないエンジンが始動すると共に、バッテリ２２からＥＣＵ１２、表示装置２６及び通信部２８への電力供給が開始される。表示装置２６は、例えば、車両１４に備わるナビゲーション装置であり、ＥＣＵ１２から出力される各種の情報を表示可能である。通信部２８は、ＥＣＵ１２からの制御によって、管理者サーバ１６、使用者端末１８及び整備者端末２０との間で、無線又は有線による信号又は情報の送受信を行う。なお、本実施形態において、通信部２８は、管理者サーバ１６及び使用者端末１８との間で無線通信を行い、一方で、整備者端末２０が故障診断装置であれば、該故障診断装置との間で図示しないデータリンクコネクタ等を介して有線通信を行う。また、整備者端末２０がスマートキー又はスマートフォンであれば、通信部２８は、これらの携帯機器との間で無線通信を行う。

ＥＣＵ１２は、車両１４のイモビライザＥＣＵ、又は、イモビライザＥＣＵの機能を兼ねるエンジンＥＣＵであって、第１認証情報登録部１２ａ、第２認証情報登録部１２ｂ、第１認証処理部１２ｃ、第２認証処理部１２ｄ、権限設定部１２ｅ及び通信制御部１２ｆを有する。ＥＣＵ１２は、図示しない記憶部に記憶されたプログラムを読み出して実行することにより、第１認証処理部１２ｃ、第２認証処理部１２ｄ、権限設定部１２ｅ及び通信制御部１２ｆの機能を実現する。

第１認証情報登録部１２ａは、認証対象としての整備者及び／又は整備者端末２０を特定する第１認証情報（例えば、認証コード、認証キー、整備者の生体情報）が登録されるメモリである。また、第２認証情報登録部１２ｂは、認証対象としての管理者、使用者、管理者サーバ１６及び／又は使用者端末１８を特定する第２認証情報（例えば、認証コード、認証キー、管理者又は使用者の生体情報）が登録されるメモリである。

ここで、第１認証情報は、整備者端末２０が保有する情報、又は、予め整備者として認められた者が保有する情報であって、車両１４の整備のための車両操作を制限する状態から、許可する状態に遷移させる認証処理に用いられる情報である。第１認証情報には、予め整備者として認められた者が生体情報として保有する場合も含まれる。

上述の「車両１４の整備のための車両操作を制限する状態から、許可する状態に遷移させる」とは、通常時には制限されている、車両整備に必要となる車両１４の操作を、許可する状態にすることをいう。例えば、車両１４のボンネットや整備対象を覆う筐体といった車両１４に設けられた開閉体への開閉の許可、整備者端末２０が故障診断装置である場合には、通信部２８を介したＥＣＵ１２のリプログラミングの実行の許可等が含まれる。なお、車両１４の状態を調べるため、所定の程度において車両１４の使用を伴わせる必要がある場合、車両１４の使用に必要となる操作の一部又は全部を同時に許可するように構成してもよい。

第２認証情報は、使用者端末１８が保有する情報、又は、予め使用者として認められた者が保有する情報であって、車両１４の使用のための車両操作を制限する状態から、許可する状態に遷移させる認証処理に用いられる情報である。第２認証情報には、予め使用者として認められた者が生体情報として保有する場合も含まれる。

上述の「車両１４の使用のための車両操作を制限する状態から、許可する状態へと遷移させる」とは、通常時には制限されている、車両１４の使用に必要となる該車両１４の操作を、許可する状態にすることをいう。例えば、車両１４に乗り込むための車両ドアの開閉の許可、荷室ドアの開閉の許可、車両１４の走行のためのアクセルペダル、ブレーキペダル及びステアリングハンドル等の運転操作子、並びに、オーディオやエアコンディショナ等の快適装備のコントロールスイッチへの操作許可が含まれる。

また、第２認証情報には、管理者サーバ１６が保有する情報、又は、車両１４の管理者が保有する情報であって、車両１４の管理のための車両操作を制限する状態から、許可する状態に遷移させる認証処理に用いられる情報も含まれる。この場合、第２認証情報には、管理者が、生体情報として保有する場合も含まれる。

上述の「車両１４の管理のための車両操作を制限する状態から、許可する状態に遷移させる」とは、通常時には制限されている、車両１４の管理に必要となる該車両１４の操作を、許可する状態にすることをいう。例えば、車両１４に搭載されるドライブレコーダの記録を転送又は消去することへの許可、車両１４の識別番号を書き換えることへの許可等が含まれる。また、管理者が整備者及び使用者を超える最上位権限者であるとして、車両整備に必要となる操作と、車両１４の使用に必要になる操作との一部又は全部を、同時に許可するように構成してもよい。

なお、第２認証情報は、車両１４の使用のための車両操作を制限する状態から、許可する状態に遷移させる認証処理に用いられる情報とする場合には、後述する第２認証処理が行われる時点を含む所定期間における車両１４の使用者に関する認証情報として、第２認証情報登録部１２ｂに登録されることが望ましい。

第１認証処理部１２ｃは、通信部２８が有線通信により整備者端末２０から認証情報を受信した場合、第１認証情報登録部１２ａに登録されている第１認証情報と、受信された認証情報とが一致するか否かの第１認証処理を行う。第２認証処理部１２ｄは、通信部２８が無線通信により管理者サーバ１６又は使用者端末１８から認証情報を受信した場合、第２認証情報登録部１２ｂに登録されている第２認証情報と、受信された認証情報とが一致するか否かの第２認証処理を行う。

権限設定部１２ｅは、第１認証処理部１２ｃにおける第１認証処理での認証と、第２認証処理部１２ｄにおける第２認証処理での認証との両方が成立した場合、整備者端末２０を所持する整備者の車両１４に対する操作権限を設定する。なお、第１認証処理と第２認証処理とが実行される順序や、それぞれの認証が成立する順序は問わない。また、車両１４の整備のための操作許可の要求をトリガとして、第１認証処理と第２認証処理とが実行されるように設計してもよい。なお、操作許可の要求は、管理者サーバ１６、使用者端末１８、整備者端末２０、又は、車両１４のいずれかにおける操作に起因して送信される信号であってもよい。

管理者サーバ１６は、事業者としての管理者が運営するサーバであり、認証情報登録部１６ａ、通信制御部１６ｂ及び通信部１６ｃを有する。認証情報登録部１６ａは、管理者サーバ１６、使用者端末１８及び整備者端末２０の各認証情報が予め登録されている。なお、本実施形態では、認証情報登録部１６ａに登録されている各認証情報に応じた使用者、整備者及び管理者が、真正な使用者、整備者及び管理者となる。また、通信制御部１６ｂは、通信部１６ｃを制御することにより、車両１４の通信部２８、使用者端末１８及び整備者端末２０との間で、無線通信による信号又は情報の送受信を行わせる。

使用者端末１８は、認証情報登録部１８ａ、通信部１８ｂ、操作部１８ｃ及び表示部１８ｄを有する。認証情報登録部１８ａには、使用者端末１８の認証情報が予め登録されている。通信部１８ｂは、車両１４の通信部２８、管理者サーバ１６の通信部１６ｃ及び整備者端末２０との間で、無線通信による信号又は情報の送受信を行う。操作部１８ｃは、使用者が操作可能な操作ボタンである。表示部１８ｄは、各種の情報が表示される表示画面である。なお、使用者端末１８がスマートキーである場合、表示部１８ｄは省略される。また、使用者端末１８がスマートフォンである場合、操作部１８ｃ及び表示部１８ｄは、タッチパネルを含む表示画面である。

整備者端末２０は、認証情報登録部２０ａ、通信部２０ｂ、操作部２０ｃ及び表示部２０ｄを有する。認証情報登録部２０ａには、整備者端末２０の認証情報が予め登録されている。通信部２０ｂは、車両１４の通信部２８との間で、有線通信による信号又は情報の送受信を行う一方で、管理者サーバ１６の通信部１６ｃ及び使用者端末１８の通信部１８ｂとの間で、無線通信による信号又は情報の送受信を行う。操作部２０ｃは、整備者が操作可能な操作ボタンである。表示部２０ｄは、各種の情報が表示される表示画面である。なお、整備者端末２０がスマートフォンである場合、操作部２０ｃ及び表示部２０ｄは、タッチパネルを含む表示画面となる。

［２．本実施形態の動作］
以上のように構成されるシステム１０の動作について、図２を参照しながら説明する。ここでは、一例として、管理者が所有する車両１４を使用者が使用し、車両１４の故障等の異常が発生した場合に、使用者が整備者の出動を要請したときのＥＣＵ１２での認証処理等の動作について説明する。なお、図２の説明では、必要に応じて、図１も参照しながら説明する。

先ず、使用者が管理者から車両１４を借りて使用する場合、図２のステップＳ１において、管理者は、車両１４のＥＣＵ１２の第１認証情報登録部１２ａ（図１参照）に、整備者端末２０（整備者）の認証情報を第１認証情報として登録すると共に、第２認証情報登録部１２ｂに、管理者サーバ１６（管理者）及び使用者端末１８（使用者）の各認証情報を第２認証情報として登録する。

具体的に、管理者は、管理者サーバ１６を操作し、認証情報登録部１６ａに管理者サーバ１６、使用者端末１８及び整備者端末２０の各認証情報を予め登録する。前述のように、認証情報登録部１６ａに登録される各認証情報は、それぞれ、真正な管理者、使用者及び整備者に応じた認証情報であるため、管理者サーバ１６は、該認証情報に応じた使用者及び整備者を、正規の真正な使用者及び整備者と認定することができる。

管理者サーバ１６の通信制御部１６ｂは、通信部１６ｃを制御し、認証情報登録部１６ａに登録された各認証情報を、通信部１６ｃから無線通信により車両１４の通信部２８に送信させる。ＥＣＵ１２は、通信部２８が受信した各認証情報のうち、整備者端末２０の認証情報を第１認証情報として第１認証情報登録部１２ａに登録すると共に、管理者サーバ１６及び使用者端末１８の各認証情報を第２認証情報として第２認証情報登録部１２ｂに登録する。

また、通信制御部１６ｂは、認証情報登録部１６ａに整備許可情報が予め登録されている場合、通信部１６ｃから無線通信により車両１４の通信部２８に整備許可情報を送信してもよい。この場合、ＥＣＵ１２は、通信部２８が受信した整備許可情報を権限設定部１２ｅに保有させる。なお、整備許可情報とは、所定の整備が、整備者により成されることが管理者により予め許可されていることを示すための情報である。そのため、該当する車両１４について、所定の整備が必要となることが管理者において予見されている場合や、管理者側のニーズから所定の整備を必要とする場合等に、権限設定部１２ｅに整備許可情報が保有されるように、運用、設計されていると好適である。

第１認証情報登録部１２ａに対する第１認証情報の登録、及び、第２認証情報登録部１２ｂに対する第２認証情報の登録が完了した後のステップＳ２において、使用者は、管理者から車両１４を借り、該車両１４の使用を開始する。

前述のように、使用者端末１８の認証情報登録部１８ａに認証情報が登録されている。そのため、ステップＳ２において、周知のキーレスエントリーシステムと同様に、車両１４に対して所定範囲内に使用者端末１８が存する場合には、使用者端末１８の通信部１８ｂと車両１４の通信部２８との無線通信により、認証処理を行って、車両１４を解錠可能である。

すなわち、車両１４に対して所定範囲（例えば、通信部２８の通信可能範囲）内に、使用者端末１８を所持する使用者がいる場合、車両１４の通信制御部１２ｆは、通信部２８を制御し、使用者端末１８の通信部１８ｂに対して認証情報の送信を要求する。通信部１８ｂは、送信要求を受信すると、認証情報登録部１８ａに登録された認証情報を通信部２８に送信する。第２認証処理部１２ｄは、通信部２８が受信した認証情報と、第２認証情報登録部１２ｂに登録されている使用者端末１８の認証情報（第２認証情報）とを照合し、両者が一致すれば認証が成立したと判定して、車両１４を解錠する。

その後、使用者が車両１４の使用中（運転中）、車両１４の故障等、何らかの異常が発生した場合（ステップＳ３：ＹＥＳ）、ステップＳ４に進む。ステップＳ４において、使用者は、使用者端末１８の操作部１８ｃを操作し、整備者に連絡して、車両１４の修理等の異常状態の解消（車両整備）を要請する。

すなわち、使用者端末１８の通信部１８ｂは、使用者による操作部１８ｃの操作内容に応じた情報（修理要請の情報）を無線通信により整備者端末２０に送信する。ステップＳ５において、整備者端末２０では、使用者端末１８の通信部１８ｂからの情報を通信部２０ｂが受信すると（ステップＳ５：ＹＥＳ）、受信した情報を表示部２０ｄに表示する。これにより、整備者端末２０を所有する整備者は、表示部２０ｄの表示内容を確認することにより、車両１４に対する修理要請、すなわち、車両整備のための操作許可の要求があったと判断し、整備者端末２０を所持して車両１４に出向く。なお、整備者への異常状態の解消の要請は、上記の通り、使用者端末１８を用いて行ってもよいし、その他の装置（公衆電話機、通りがかりの者が保有する携帯電話機等）を使用してもよい。

ステップＳ６において、通信制御部１２ｆは、通信部２８を制御し、整備者端末２０に対して、認証情報の送信を要求する。整備者端末２０の通信部２０ｂは、通信部２８から送信要求を受信すると、認証情報登録部２０ａに登録されている認証情報を、無線通信により通信部２８に送信する。

ステップＳ７において、通信部２８が、整備者端末２０の通信部２０ｂから認証情報を受信すると（ステップＳ７：ＹＥＳ）、ステップＳ８に進む。ステップＳ８において、第１認証処理部１２ｃは、整備者端末２０から受信した認証情報と、第１認証情報登録部１２ａに登録された第１認証情報とが一致するか否かを判定する第１認証処理を行う。

この場合、第１認証処理部１２ｃにおいて、整備者端末２０から受信した認証情報と、第１認証情報とが一致して第１認証処理での認証が成立する場合（ステップＳ８：ＹＥＳ）、ステップＳ９に進む。

ステップＳ９において、通信制御部１２ｆは、通信部２８を制御し、使用者端末１８に対して、認証情報の送信を要求する。使用者端末１８の通信部１８ｂは、通信部２８から送信要求を受信すると、認証情報登録部１８ａに登録されている認証情報を、無線通信により通信部２８に送信する。

ステップＳ１０において、通信部２８が、使用者端末１８の通信部１８ｂから認証情報を受信すると（ステップＳ１０：ＹＥＳ）、ステップＳ１１に進む。ステップＳ１１において、第２認証処理部１２ｄは、使用者端末１８から受信した認証情報と、第２認証情報登録部１２ｂに登録された第２認証情報とが一致するか否かを判定する第２認証処理を行う。

そして、第２認証処理部１２ｄにおいて、使用者端末１８から受信した認証情報と、第２認証情報とが一致して第２認証処理での認証が成立する場合（ステップＳ１１：ＹＥＳ）、ステップＳ１２に進む。すなわち、車両１４の整備のための該車両１４への操作許可の要求（ステップＳ５：ＹＥＳ）に基づいて、第１認証処理と第２認証処理とが実行され、両方の認証が成立した場合にのみ（ステップＳ８：ＹＥＳ、ステップＳ１１：ＹＥＳ）、ステップＳ１２に進む。

ステップＳ１２において、権限設定部１２ｅは、第１認証処理での認証と、第２認証処理での認証との両方が成立したので、車両整備を許可すべき場面であると判断し、車両１４の整備のための該車両１４への操作許可を行う。具体的に、権限設定部１２ｅは、車両１４のボンネットや整備対象を覆う筐体といった車両１４に設けられた開閉体のロックを解除することによる該開閉体への開閉の許可、ＥＣＵ１２のリプログラミングのロックフラグを無効化する等のロック解除によるＥＣＵ１２のリプログラミングの許可等により、車両１４の異常状態を解消するための車両操作（車両１４の整備のための車両操作）を許可する。これにより、整備者は、車両１４の開閉体を開閉し、さらには、整備者端末２０の操作部２０ｃを操作することにより、通信部２０ｂから有線通信を介して、車両１４のＥＣＵ１２のリプログラミング等、車両１４の異常状態を解消するために必要な車両整備を行うことができる。

一方、ステップＳ８において第１認証処理での認証が不成立である場合（ステップＳ８：ＮＯ）、又は、ステップＳ１１において第２認証処理での認証が不成立である場合（ステップＳ１１：ＮＯ）、ステップＳ１３に進む。

例えば、整備者端末２０から受信した認証情報と、第１認証情報とが一致しない場合や、整備者端末２０が第１認証処理部１２ｃでの認証通信が可能な程度の所定範囲にない場合（ステップＳ８：ＮＯ）、ステップＳ１３に進む。あるいは、第１認証処理は成立したものの（ステップＳ８：ＹＥＳ）、ステップＳ９、Ｓ１０後の第２認証処理が成立しない場合（ステップＳ１１：ＮＯ）、すなわち、使用者端末１８が第２認証処理部１２ｄでの認証通信が可能な程度の所定範囲にない場合にも、ステップＳ１３に進む。

ステップＳ１３において、権限設定部１２ｅは、認証不成立の判定結果より、車両整備を許可すべき場面ではないと判断し、車両１４の整備のための該車両１４への操作を制限する。すなわち、権限設定部１２ｅは、整備者端末２０に対する車両１４の開閉体の開閉やＥＣＵ１２のリプログラミングのロック機構を解除させないことにより、車両整備のための車両１４への操作を制限する。これにより、整備者による車両１４に対する不用意な車両整備等、使用者や管理者の意図しない車両整備や改造を防止することができる。

なお、上記の説明では、ステップＳ８の第１認証処理を行った後に、ステップＳ１１の第２認証処理を行っている。本実施形態では、先に第２認証処理を行った後に、第１認証処理を行ってもよいことは、勿論である。また、第１認証対象と第２認証対象と第１認証処理部１２ｃと第２認証処理部１２ｄとの全てが、無線を用いた認証通信が可能な程度の所定範囲内に存在する場合において、第１認証処理と第２認証処理との両方の認証が成立可能とされるように設計してもよいことは、勿論である。

［３．本実施形態の変形例］
次に、上記の動作の変形例（第１〜第５変形例）について、図２〜図４Ｂを参照しながら説明する。

＜３．１ 第１変形例＞
図２では、第２認証情報を、車両１４の使用のための車両操作を制限する状態から、許可する状態に遷移させる第２認証処理に用いる場合について説明した。上述の通り、第２認証情報は、車両１４の管理のための車両操作を制限する状態から、許可する状態に遷移させる第２認証処理に用いられてもよい。

例えば、管理者が車両１４の管理のための車両操作を行う過程で、車両１４に対する所定の整備が必要となる場合において、当該所定の整備のための操作については、予め定められた整備者によってのみ実行可能となるシステム設計とする場合が考えられる。

この場合、図２の説明における使用者による車両１４の使用等を、管理者による車両１４の管理や使用に置き換え、図２のステップＳ１１において、管理者サーバ１６の第２認証情報と、通信部２８が管理者サーバ１６から受信する認証情報とを照合することにより、真正な管理者であるか、又は、管理者ではない第三者であるかを判定することができる。また、第１変形例においても、図２の場合と同様に、車両１４の整備のための操作許可の要求に基づき実行される第１認証処理と第２認証処理とについて、両方の認証が成立する場合に、車両１４の整備のための該車両１４への操作が許可される。

＜３．２ 第２変形例＞
第２変形例について、図３Ａを参照しながら説明する。第２変形例は、図２のステップＳ１２で整備のための車両１４に対する操作が許可された後に、その許可が解除される場合を示したものである。

すなわち、ステップＳ１２後のステップＳ１８において、ＥＣＵ１２（の第１認証処理部１２ｃ及び第２認証処理部１２ｄ）は、使用者端末１８及び／又は整備者端末２０が所定範囲内に存しなくなったか否かを判定する。この場合、例えば、通信部２８と各通信部１８ｂ、２０ｂとの間で通信が不能になったか否かを判定することにより、所定範囲内に存しなくなったか否かを判定すればよい。

使用者端末１８及び／又は整備者端末２０が所定範囲内に存しなくなった場合（ステップＳ１８：ＮＯ）、次のステップＳ１９において、権限設定部１２ｅは、車両１４に対する整備のための該車両１４への操作を制限する。これにより、整備者端末２０を所持する整備者のみが単独で車両１４近傍に存する状態に変化した場合、車両１４の使用者がいない状況であるため、該車両１４に対する整備のための操作を許可しない状態となるので、車両１４に対する（不用意な）車両整備を防止することができる。また、使用者端末１８を所持する使用者のみが単独で車両１４近傍に存する状態に変化した場合も、整備者単独の場合と同様に、車両１４に対する整備のための操作を許可しない状態となるので、車両１４に対する（不用意な）車両整備を防止することができる。

＜３．３ 第３変形例＞
第３変形例について、図３Ｂを参照しながら説明する。第３変形例は、図２のステップＳ１２で車両１４の整備のための該車両１４に対する操作が許可された後に、使用者端末１８及び／又は整備者端末２０が所定範囲内に存しなくなった場合でも、一旦許可された車両１４に対する整備のための操作の許可状態を維持する場合を示したものである。

すなわち、ステップＳ１２後のステップＳ２０において、ＥＣＵ１２（の第１認証処理部１２ｃ及び第２認証処理部１２ｄ）は、使用者端末１８及び／又は整備者端末２０が所定範囲内に存しなくなったか否かを判定する。この場合も、ステップＳ１８と同様な方法で所定範囲内に存しなくなったか否かを判定すればよい。

使用者端末１８及び／又は整備者端末２０が所定範囲内に存しなくなった場合（ステップＳ２０：ＮＯ）、ステップＳ２１において、権限設定部１２ｅは、車両１４の整備のための操作を許可した後に管理者サーバ１６から車両１４に対する整備が許可されたか否かを判定する。

この場合、権限設定部１２ｅは、整備許可情報を保有しているか否かを判定する。整備許可情報を保有していれば（ステップＳ２１：ＹＥＳ）、次のステップＳ２２に進む。なお、ここでの整備許可情報は、使用者からの要請を受けて出動した整備者から、車両１４の状況に関する報告を受けた管理者が、当該報告の内容に基づいて所定の整備を許可する場合に、権限設定部１２ｅで保有される情報である。

ステップＳ２２において、権限設定部１２ｅは、ステップＳ２１での肯定的な判定結果に基づき、車両１４の整備のための該車両１４への操作を許可した状態を維持することを決定する。これにより、使用者端末１８を所持する使用者が車両１４から離れて、整備者端末２０を所持する整備者が単独で車両１４近傍に存する状態に変化した場合であっても、管理者（管理者サーバ１６）から、車両１４に対する整備のための操作許可が得られている場合には、車両１４に対する整備のための車両操作が許可された状態を継続することができる。この結果、整備の途中での車両１４からの離席を可能とする等、使用者の便宜を図りつつ、好適な車両整備を提供することができる。

一方、ステップＳ２１において、権限設定部１２ｅが整備許可情報を保有していない場合（ステップＳ２１：ＮＯ）、図３ＡのステップＳ１９において、権限設定部１２ｅは、車両整備のための操作の許可を解除し、該操作を制限する。

＜３．４ 第４変形例＞
第４変形例について、図４Ａを参照しながら説明する。第４変形例は、図２のステップＳ１２で車両１４に対する整備のための車両操作が制限された状態から、許可された状態へと遷移され、又は、ステップＳ１３で車両操作が制限された状態が継続される場合、その結果を管理者サーバ１６、使用者端末１８及び整備者端末２０に通知するものである。すなわち、ステップＳ１２、Ｓ１３後のステップＳ２３において、通信部２８は、権限設定部１２ｅでの処理結果を、無線通信により各通信部１６ｃ、１８ｂ、２０ｂに送信する。

これにより、使用者端末１８では、通信部１８ｂが受信した通知内容が表示部１８ｄに表示される。使用者は、表示部１８ｄの表示内容を確認することにより、車両１４に対する整備のための操作が許可されているか、又は、制限されているかを把握することができる。

また、整備者端末２０では、通信部２０ｂが受信した通知内容が表示部２０ｄに表示される。整備者は、表示部２０ｄの表示内容を確認することにより、車両１４に対する整備のための操作が許可されているか、又は、制限されているかを把握することができる。

＜３．５ 第５変形例＞
第５変形例について、図４Ｂを参照しながら説明する。第５変形例は、図２のステップＳ１１で肯定的な判定結果であり、権限設定部１２ｅで車両１４の整備のための操作許可を実行する場合に、管理者からの車両整備の許可の有無（整備許可情報の保有の有無）に応じて、許可することとなる操作内容や時間を設定するというものである。

具体的に、図２のステップＳ１１において肯定的な判定結果となった場合（ステップＳ１１：ＹＥＳ）、図４ＢのステップＳ２４に進む。ステップＳ２４において、権限設定部１２ｅは、整備許可情報を、管理者サーバ１６から予め取得して保有しているか否かを判定する。なお、ここでの整備許可情報とは、所定の整備が整備者により成されることが管理者により予め許可されていることを示すための情報をいう。そのため、該当する車両１４について、所定の整備が必要となることが管理者において予見されている場合や、管理者側のニーズから所定の整備を必要とする場合等に、権限設定部１２ｅに整備許可情報が保有されるように設計しておくことが好適である。

ステップＳ２４において、整備者端末２０に対する整備許可情報を保有している場合（ステップＳ２４：ＹＥＳ）、権限設定部１２ｅは、次のステップＳ２５において、車両１４に対する整備のために許可する操作として、予め定めた第１の許可範囲で車両整備のための操作を許可する。なお、第１の許可範囲とは、ＥＣＵ１２のプログラム書き換え等の高度な車両整備操作までを許可内容に含むものである。

一方、ステップＳ２４において、整備者端末２０に対する整備許可情報を保有していない場合（ステップＳ２４：ＮＯ）、すなわち、整備者端末２０が管理者サーバ１６から整備許可を受けていない場合、権限設定部１２ｅは、次のステップＳ２６において、車両１４に対する整備のために許可する操作として、予め定めた第２の許可範囲で車両整備のための操作を許可する。なお、第２の許可範囲とは、車両１４のボンネットや整備箇所を覆う筐体等の所定の開閉体に対する開閉操作のような限られた車両整備操作のみを許可範囲に含むものである。つまり、第２の許可範囲は、第１の許可範囲よりも、車両１４への操作（整備）を許可する範囲が制限されたものとなる。

これにより、管理者サーバ１６から車両整備の許可が得られていない場合でも、車両１４の比較的簡易な故障等の解消という使用者のニーズに応じて、使用者の便宜のための応急措置として、整備者は、第２の許可範囲内で車両整備を行うことが可能となる。

なお、第１の許可範囲と第２の許可範囲とは、上記の例の通り、車両整備のために許可される操作内容の高度さを区分するものであってもよいし、車両整備のために許可される時間の長短を区分するものであってもよいし、又は、その両方であってもよい。すなわち、第１の許可範囲では、高度の車両整備まで行えるため、例えば、１２時間等、比較的長い時間の時間設定の範囲内での車両整備を許可するものとしてもよい。また、第２の許可範囲については、応急措置といった最低限の車両整備を許可するものとして、例えば、３時間等、比較的短時間の時間設定の範囲内での車両整備を許可するものであってもよい。

［４．本実施形態の効果］
以上説明したように、本実施形態に係るシステム１０によれば、第１認証処理での認証と第２認証処理での認証との両方が成立した場合に、車両１４の整備のための該車両１４への操作許可を行う。つまり、整備者端末２０（整備者）と、使用者端末１８（使用者）又は管理者サーバ１６（管理者）との両方に対する認証が成立しなければ、整備者に対する車両１４の整備のための操作許可は行われない。これにより、車両１４の使用者に対する必要な車両整備を迅速に提供可能にしつつ、車両１４の管理者の意図しない車両整備や改造が行われることを防止することができる。

この場合、権限設定部１２ｅは、車両１４の整備のための該車両１４への操作許可の要求に基づいて第１認証処理と第２認証処理とが実行され、両方の認証が成立した場合のみ、車両１４の整備のための該車両１４への操作許可を行えばよい。これにより、車両１４の管理者の意図しない車両整備や改造が行われることを確実に防止することができる。

また、第２認証情報は、車両１４の使用者又は管理者のための該車両１４に対する操作許可に用いられる認証情報であるため、車両１４の故障等の異常状態が発生し、使用者又は管理者が整備者の出動を要請した場合、真正な整備者にのみ車両１４に対する操作許可が行われる。

また、第２認証情報は、第２認証処理が行われる時点を含む所定期間における車両１４の使用者に関する認証情報として、第２認証情報登録部１２ｂに登録されることにより、時間によって使用者が異なる場合であっても、第２認証処理を適切に行うことが可能となる。

また、権限設定部１２ｅは、管理者から車両整備の許可（整備許可情報）を未取得であっても、使用者のニーズにより、第１認証処理及び第２認証処理によって車両整備を許可する場合には、第１の許可範囲よりも車両１４への操作許可範囲が制限された第２の許可範囲で、車両１４の整備のための操作許可を行う。これにより、車両１４の故障等が生じた場合でも、使用者の便宜のための応急措置として、整備者は、第２の許可範囲内で車両整備を行うことが可能となる。

さらに、権限設定部１２ｅは、整備者のための操作許可の後に、整備者端末２０及び／又は使用者端末１８（管理者サーバ１６）が所定範囲内に存しなくなった場合、整備者のための操作許可を解除することにより、使用者又は管理者の意図しない車両整備が、整備者によって不用意に行われることを防止することができる。

さらにまた、権限設定部１２ｅは、整備者のための操作許可の後に、整備者端末２０及び／又は使用者端末１８（管理者サーバ１６）が所定範囲内に存しなくなった場合であっても、整備者が車両１４の管理者から車両１４の整備許可を得ているとき（整備許可情報を保有しているとき）には、整備者のための操作許可が継続されるので、管理者から整備のための操作許可を一旦受けた真正な整備者は、再度の認証処理を受けることなく、車両１４に対する整備を行うことが可能となる。

また、第１認証情報及び第２認証情報は、第１認証処理部１２ｃ及び第２認証処理部１２ｄによる第１認証処理及び第２認証処理に先立ち、第１認証情報登録部１２ａ及び第２認証情報登録部１２ｂに予め登録されるか、又は、整備者端末２０及び使用者端末１８（管理者サーバ１６）から各認証情報をそれぞれ受信した際に、管理者サーバ１６から取得して第１認証情報登録部１２ａ及び第２認証情報登録部１２ｂに登録されるので、いずれの場合でも、第１認証情報及び第２認証情報を用いて、整備者端末２０及び使用者端末１８（管理者サーバ１６）に対する第１認証処理及び第２認証処理を確実に行うことができる。

なお、本発明は、上述の実施形態に限らず、この明細書の記載内容に基づき、種々の構成を採り得ることは勿論である。

Claims (9)

1. 認証対象（１６、１８、２０）から取得する認証情報に基づいて、前記認証対象（１６、１８、２０）の車両（１４）に対する操作許可を行う車両用制御システム（１０）において、
   前記車両（１４）の整備のための該車両（１４）への操作許可に用いられる第１認証情報が登録された第１認証情報登録部（１２ａ）と、
   前記車両（１４）の整備以外の該車両（１４）への操作許可に用いられる第２認証情報が登録された第２認証情報登録部（１２ｂ）と、
   第１認証対象（２０）から取得した認証情報と前記第１認証情報登録部（１２ａ）に登録された前記第１認証情報とに基づき、前記第１認証対象（２０）に対する第１認証処理を行う第１認証処理部（１２ｃ）と、
   第２認証対象（１６、１８）から取得した認証情報と前記第２認証情報登録部（１２ｂ）に登録された前記第２認証情報とに基づき、前記第２認証対象（１６、１８）に対する第２認証処理を行う第２認証処理部（１２ｄ）と、
   前記第１認証処理での認証と前記第２認証処理での認証との両方が成立した場合に、前記車両（１４）の整備のための該車両（１４）への操作許可を行う権限設定部（１２ｅ）と、
   を有することを特徴とする車両用制御システム（１０）。
2. 請求項１記載の車両用制御システム（１０）において、
   前記権限設定部（１２ｅ）は、前記車両（１４）の整備のための該車両（１４）への操作許可の要求に基づいて実行される前記第１認証処理と前記第２認証処理との両方の認証が成立した場合に、前記車両（１４）の整備のための該車両（１４）への操作許可を行うことを特徴とする車両用制御システム（１０）。
3. 請求項１又は２記載の車両用制御システム（１０）において、
   前記第２認証情報は、前記車両（１４）の管理のための該車両（１４）に対する操作許可に用いられる認証情報であることを特徴とする車両用制御システム（１０）。
4. 請求項１又は２記載の車両用制御システム（１０）において、
   前記第２認証情報は、前記車両（１４）の使用のための該車両（１４）に対する操作許可に用いられる認証情報であることを特徴とする車両用制御システム（１０）。
5. 請求項４記載の車両用制御システム（１０）において、
   前記第２認証情報は、前記第２認証処理が行われる時点を含む所定期間における前記車両（１４）の使用者に関する認証情報として、前記第２認証情報登録部（１２ｂ）に登録されることを特徴とする車両用制御システム（１０）。
6. 請求項４又は５記載の車両用制御システム（１０）において、
   前記権限設定部（１２ｅ）は、
   前記第１認証処理での認証と前記第２認証処理での認証との両方が成立した場合であって、前記車両（１４）の管理者から前記車両（１４）の整備を許可された旨の許可情報を保有する場合には、第１の許可範囲で、前記車両（１４）の整備のための操作許可を行い、
   前記第１認証処理での認証と前記第２認証処理での認証との両方が成立した場合であって、前記許可情報を保有しない場合には、第２の許可範囲で、前記車両（１４）の整備のための操作許可を行い、
   前記第２の許可範囲は、前記第１の許可範囲よりも、前記車両（１４）への操作許可範囲を制限するものであることを特徴とする車両用制御システム（１０）。
7. 請求項１〜６のいずれか１項に記載の車両用制御システム（１０）において、
   前記権限設定部（１２ｅ）は、前記整備のための操作許可の後に、前記第１認証対象（２０）及び／又は前記第２認証対象（１６、１８）が所定範囲内に存しなくなった場合、前記整備のための操作許可を解除することを特徴とする車両用制御システム（１０）。
8. 請求項１〜７のいずれか１項に記載の車両用制御システム（１０）において、
   前記権限設定部（１２ｅ）は、前記整備のための操作許可の後に、前記第１認証対象（２０）及び／又は前記第２認証対象（１６、１８）が所定範囲内に存しなくなった場合であっても、前記車両（１４）の管理者から前記車両（１４）の整備を許可された旨の許可情報を保有するときには、前記整備のための操作許可を継続することを特徴とする車両用制御システム（１０）。
9. 請求項１〜８のいずれか１項に記載の車両用制御システム（１０）において、
   前記第１認証情報は、前記第１認証処理に先立ち、前記第１認証情報登録部（１２ａ）に予め登録されるか、又は、前記第１認証処理部（１２ｃ）が前記第１認証対象（２０）から認証情報を取得した際に、前記車両（１４）の管理者が所有する管理者サーバ（１６）から取得して、前記第１認証情報登録部（１２ａ）に登録され、
   前記第２認証情報は、前記第２認証処理に先立ち、前記第２認証情報登録部（１２ｂ）に予め登録されるか、又は、前記第２認証処理部（１２ｄ）が前記第２認証対象（１６、１８）から認証情報を取得した際に、前記管理者サーバ（１６）から取得して、前記第２認証情報登録部（１２ｂ）に登録されることを特徴とする車両用制御システム（１０）。

Images