WO2020080076A1 - 車載制御装置、車載制御方法及びコンピュータプログラム - Google Patents

車載制御装置、車載制御方法及びコンピュータプログラム Download PDF

Info

Publication number
WO2020080076A1
WO2020080076A1 PCT/JP2019/038461 JP2019038461W WO2020080076A1 WO 2020080076 A1 WO2020080076 A1 WO 2020080076A1 JP 2019038461 W JP2019038461 W JP 2019038461W WO 2020080076 A1 WO2020080076 A1 WO 2020080076A1
Authority
WO
WIPO (PCT)
Prior art keywords
vehicle
authentication
unit
response
drive source
Prior art date
Application number
PCT/JP2019/038461
Other languages
English (en)
French (fr)
Inventor
拓也 古田
宮澤　明
Original Assignee
住友電装株式会社
アルプスアルパイン株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 住友電装株式会社, アルプスアルパイン株式会社 filed Critical 住友電装株式会社
Priority to CN201980067171.7A priority Critical patent/CN112839844B/zh
Priority to US17/286,357 priority patent/US11993226B2/en
Publication of WO2020080076A1 publication Critical patent/WO2020080076A1/ja

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R25/00—Fittings or systems for preventing or indicating unauthorised use or theft of vehicles
    • B60R25/20—Means to switch the anti-theft system on or off
    • B60R25/209—Remote starting of engine
    • G—PHYSICS
    • G08—SIGNALLING
    • G08C—TRANSMISSION SYSTEMS FOR MEASURED VALUES, CONTROL OR SIMILAR SIGNALS
    • G08C17/00—Arrangements for transmitting signals characterised by the use of a wireless electrical link
    • G08C17/02—Arrangements for transmitting signals characterised by the use of a wireless electrical link using a radio link
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R25/00—Fittings or systems for preventing or indicating unauthorised use or theft of vehicles
    • B60R25/20—Means to switch the anti-theft system on or off
    • B60R25/24—Means to switch the anti-theft system on or off using electronic identifiers containing a code not memorised by the user
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R25/00—Fittings or systems for preventing or indicating unauthorised use or theft of vehicles
    • B60R25/20—Means to switch the anti-theft system on or off
    • B60R25/24—Means to switch the anti-theft system on or off using electronic identifiers containing a code not memorised by the user
    • B60R25/245—Means to switch the anti-theft system on or off using electronic identifiers containing a code not memorised by the user where the antenna reception area plays a role
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R25/00—Fittings or systems for preventing or indicating unauthorised use or theft of vehicles
    • B60R25/30—Detection related to theft or to other events relevant to anti-theft systems
    • B60R25/31—Detection related to theft or to other events relevant to anti-theft systems of human presence inside or outside the vehicle
    • E—FIXED CONSTRUCTIONS
    • E05—LOCKS; KEYS; WINDOW OR DOOR FITTINGS; SAFES
    • E05B—LOCKS; ACCESSORIES THEREFOR; HANDCUFFS
    • E05B49/00—Electric permutation locks; Circuits therefor ; Mechanical aspects of electronic locks; Mechanical keys therefor
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04Q—SELECTING
    • H04Q9/00—Arrangements in telecontrol or telemetry systems for selectively calling a substation from a main station, in which substation desired apparatus is selected for applying a control signal thereto or for obtaining measured values therefrom

Definitions

  • the present invention relates to an on-vehicle control device, an on-vehicle control method, and a computer program.
  • This application claims priority based on Japanese application No. 2018-197808 filed on October 19, 2018, and incorporates all the contents described in the Japanese application.
  • Vehicle communication systems that lock and unlock vehicle doors without using mechanical keys have been put to practical use.
  • a keyless entry system that locks or unlocks the vehicle door by wireless remote control using a portable device owned by the user, a user possessing the portable device approaches the vehicle, or only grasps the door handle.
  • a smart entry (registered trademark) system for unlocking a vehicle door has been put into practical use (see, for example, Patent Document 1).
  • a vehicle communication system for starting the engine of a vehicle without using a mechanical key has been put into practical use.
  • a push start system has been put into practical use in which a user carrying a portable device simply starts the engine by pressing an engine start button.
  • a welcome light system has been put into practical use, which lights an interior light or an exterior light when a user carrying a portable device approaches a vehicle.
  • the in-vehicle control device performs wireless communication with the portable device.
  • various signals are transmitted from the transmitting antenna of the vehicle-mounted control device to the mobile device using radio waves in the LF (Low Frequency) band, and the mobile device receiving the signal uses radio waves in the RF (Radio Frequency) band. Is performed by transmitting a response signal.
  • the in-vehicle control device performs controls such as unlocking, locking, starting the engine, and lighting the welcome light after the portable device is authenticated and the position is confirmed.
  • the signal transmitted from the in-vehicle control device is an LF band signal
  • the transmission range of the signal is limited to a predetermined range around the vehicle. Therefore, the situation where the portable device receives the signal in the LF band transmitted from the vehicle-mounted control device and returns the signal in the RF band as a response from the portable device should be a proper portable device. Only when the occupant is inside or around the vehicle.
  • a relay device that relays the LF band signal transmitted from the vehicle-mounted control device to the mobile device and the RF band signal transmitted from the mobile device to the vehicle-mounted control device, an occupant carrying the mobile device can Even when the vehicle is away from the vehicle, it is possible to execute communication between the vehicle-mounted control device and the portable device.
  • an unauthorized authentication to the vehicle-mounted control device occurs due to a relay attack using such a repeater, even if a legitimate occupant does not exist inside or around the vehicle, the engine, which is the drive source of the vehicle, etc. It may be started.
  • an in-vehicle control device determines the presence / absence of unauthorized authentication using a repeater, and prohibits the start of the drive source when it is determined that unauthorized authentication has occurred.
  • the vehicle-mounted control device may erroneously discriminate the signal from the legitimate portable device from the signal from the relay device. In this case, there is a possibility that the drive source of the vehicle cannot be started even if a legitimate occupant gets inside the vehicle.
  • the present invention has been made in view of such circumstances, and an object of the present invention is to provide an on-vehicle control device, an on-vehicle control method, and a computer program that can reduce the possibility that a valid occupant cannot start the drive source of the vehicle. .
  • An in-vehicle control device includes a transmission unit that transmits a response request signal requesting a response to a portable device in response to an operation for instructing a start of a drive source that drives a vehicle, and the response request signal.
  • An in-vehicle control device for authenticating the portable device on the basis of a response signal from the portable device to the driver, and performing start control of the drive source according to success or failure of the authentication by the authenticating unit.
  • Determination unit that determines whether or not there is unauthorized authentication of the vehicle, a detection unit that detects a valid occupant of the vehicle, and if the determination unit determines that there is unauthorized authentication of the authentication unit, the start of the drive source is prohibited.
  • a start prohibition unit and a start permission unit that permits the start of the drive source regardless of the determination of the determination unit when the detection unit detects the occupant.
  • An in-vehicle control device includes a transmission unit that transmits a response request signal requesting a response to a portable device in response to an operation for instructing a start of a drive source that drives a vehicle, and the response request signal.
  • An in-vehicle control device for authenticating the portable device based on a response signal from the portable device to the vehicle, and performing start control of the drive source according to success or failure of authentication by the authenticating unit.
  • Detection unit that detects a legitimate occupant, a determination unit that determines whether there is unauthorized authentication for the authentication unit, and if the determination unit determines that there is unauthorized authentication for the authentication unit, the start of the drive source is prohibited.
  • a start prohibition unit is provided, and the determination threshold used by the determination unit is made different depending on whether the detection unit detects the occupant or not.
  • An in-vehicle control method transmits a response request signal requesting a response to a portable device in response to an operation for instructing a start of a drive source that drives a vehicle, and transmits the response request signal to the portable device.
  • An in-vehicle control method for executing an authentication process for authenticating the portable device based on a response signal from the device, and performing start control of the drive source according to success or failure of the authentication by the authentication process.
  • the presence or absence of authentication is determined, a legitimate occupant of the vehicle is detected, and if it is determined that there is fraudulent authentication for the authentication processing, the start of the drive source is prohibited, and if the occupant is detected, the presence or absence of fraudulent authentication Regardless of the determination, the start of the drive source is permitted.
  • An in-vehicle control method transmits a response request signal requesting a response to a portable device in response to an operation for instructing a start of a drive source that drives a vehicle, and transmits the response request signal to the portable device.
  • An in-vehicle control method for executing an authentication process for authenticating the portable device based on a response signal from the device, and performing start control of the drive source according to success or failure of the authentication by the authentication process. Detecting an occupant, when detecting the occupant, and when not detecting the occupant, set different determination threshold, determine the presence or absence of unauthorized authentication for the authentication process using the set determination threshold, If it is determined that there is unauthorized authentication for the authentication process, the starting of the drive source is prohibited.
  • a computer program transmits a response request signal requesting a response to a portable device in response to an operation for instructing a start of a drive source that drives a vehicle, and the portable device responds to the response request signal.
  • a computer program transmits a response request signal requesting a response to a portable device in response to an operation for instructing a start of a drive source that drives a vehicle, and the portable device responds to the response request signal.
  • a legitimate occupant of the vehicle is detected, and when the occupant is detected and when the occupant is not detected, different determination threshold values are set, and the authentication process is performed using the determined determination threshold value.
  • the vehicle-mounted control device In order to cause the vehicle-mounted control device to execute the process of prohibiting the start of the drive source when the presence or absence of unauthorized authentication is determined and it is determined that there is unauthorized authentication for the authentication process. Is a computer program.
  • Embodiment 1 It is a schematic diagram explaining the schematic structure of the vehicle-mounted control system which concerns on Embodiment 1. It is a block diagram explaining an internal configuration of an in-vehicle control device. It is a block diagram explaining an internal configuration of a portable device.
  • 3 is a flowchart illustrating a procedure of processing executed by the vehicle-mounted control device according to the first embodiment. 7 is a flowchart illustrating a procedure of processing executed by the vehicle-mounted control device according to the second embodiment.
  • 9 is a flowchart illustrating a procedure of processing executed by the vehicle-mounted control device according to the third embodiment. 9 is a flowchart illustrating a procedure of processing executed by the vehicle-mounted control device according to the fourth embodiment.
  • 13 is a flowchart illustrating a procedure of processing executed by the vehicle-mounted control device according to the fifth embodiment.
  • An in-vehicle control device includes a transmission unit that transmits a response request signal requesting a response to a portable device in response to an operation for instructing a start of a drive source that drives a vehicle, and the response request signal.
  • An in-vehicle control device for authenticating the portable device on the basis of a response signal from the portable device to the driver, and performing start control of the drive source according to success or failure of the authentication by the authenticating unit.
  • Determination unit that determines whether or not there is unauthorized authentication of the vehicle, a detection unit that detects a valid occupant of the vehicle, and if the determination unit determines that there is unauthorized authentication of the authentication unit, the start of the drive source is prohibited.
  • a start prohibition unit and a start permission unit that permits the start of the drive source regardless of the determination of the determination unit when the detection unit detects the occupant.
  • communication for authenticating the portable device is performed in response to an operation instructing to start the drive source, and when the authentication of the portable device is successful, control for starting the drive source is performed.
  • control for starting the drive source is performed.
  • the control for prohibiting the start of the drive source is performed.
  • the drive source is allowed to start regardless of whether or not there is improper authentication. Is avoided.
  • An in-vehicle control device includes a receiving unit that receives a control signal transmitted from a portable device in response to an operation for instructing unlocking of a door of the vehicle, and a control signal received by the receiving unit.
  • An unlocking control unit that controls unlocking of the door is provided, and the detection unit determines that the occupant is detected when the door is unlocked by the unlocking control of the unlocking control unit. .
  • the door is opened by the legitimate intention of the vehicle occupant. Indicates that the passenger has been unlocked, so it can be determined that the occupant has been detected.
  • the determination unit when the detection unit detects the occupant, the determination unit does not determine the presence / absence of the unauthorized authentication.
  • the determination unit restarts determination of the presence or absence of the unauthorized authentication when the set time has elapsed since the detection unit detected the occupant.
  • the determination of the presence or absence of the fraudulent authentication is restarted, and thus the fraudulent authentication by the relay attack after the legitimate occupant leaves the vehicle. If it is detected, the drive source can be prohibited from being started.
  • the determination unit restarts the determination of the presence or absence of the unauthorized authentication when the detection unit receives a predetermined operation after detecting the occupant.
  • the determination as to the presence / absence of unauthorized authentication is restarted, so the relay attack is performed after the legal occupant leaves the vehicle. It is possible to prohibit the drive source from being started when the fraudulent authentication due to is detected.
  • the start permission unit when the detection unit detects the occupant, the start permission unit, even if the determination result is obtained by the determination unit, The starting of the drive source is permitted.
  • An in-vehicle control device includes a transmission unit that transmits a response request signal requesting a response to a portable device in response to an operation for instructing a start of a drive source that drives a vehicle, and the response request signal.
  • An in-vehicle control device for authenticating the portable device based on a response signal from the portable device to the vehicle, and performing start control of the drive source according to success or failure of authentication by the authenticating unit.
  • Detection unit that detects a legitimate occupant, a determination unit that determines whether there is unauthorized authentication for the authentication unit, and if the determination unit determines that there is unauthorized authentication for the authentication unit, the start of the drive source is prohibited.
  • a start prohibition unit is provided, and the determination threshold used by the determination unit is made different depending on whether the detection unit detects the occupant or not.
  • a determination threshold can be set so that it is difficult to determine that there is fraudulent authentication, and a signal from a portable device owned by the legitimate occupant is erroneously relayed. The likelihood of being judged as an attack is reduced.
  • An in-vehicle control method transmits a response request signal requesting a response to a portable device in response to an operation for instructing a start of a drive source that drives a vehicle, and transmits the response request signal to the portable device.
  • An in-vehicle control method for executing an authentication process for authenticating the portable device based on a response signal from the device, and performing start control of the drive source according to success or failure of the authentication by the authentication process.
  • the presence or absence of authentication is determined, a legitimate occupant of the vehicle is detected, and if it is determined that there is fraudulent authentication for the authentication processing, the start of the drive source is prohibited, and if the occupant is detected, the presence or absence of fraudulent authentication Regardless of the determination, the start of the drive source is permitted.
  • communication for authenticating the portable device is performed in response to an operation instructing to start the drive source, and when the authentication of the portable device is successful, control for starting the drive source is performed.
  • control for starting the drive source is performed.
  • the control for prohibiting the start of the drive source is performed.
  • the drive source is allowed to start regardless of whether or not there is improper authentication. Is avoided.
  • An in-vehicle control method transmits a response request signal requesting a response to a portable device in response to an operation for instructing a start of a drive source that drives a vehicle, and transmits the response request signal to the portable device.
  • An in-vehicle control method for executing an authentication process for authenticating the portable device based on a response signal from the device, and performing start control of the drive source according to success or failure of the authentication by the authentication process. Detecting an occupant, when detecting the occupant, and when not detecting the occupant, set different determination threshold, determine the presence or absence of unauthorized authentication for the authentication process using the set determination threshold, If it is determined that there is unauthorized authentication for the authentication process, the starting of the drive source is prohibited.
  • a determination threshold can be set so that it is difficult to determine that there is fraudulent authentication, and a signal from a portable device owned by the legitimate occupant is erroneously relayed. The likelihood of being judged as an attack is reduced.
  • a computer program transmits a response request signal requesting a response to a portable device in response to an operation for instructing a start of a drive source that drives a vehicle, and the portable device responds to the response request signal.
  • communication for authenticating the portable device is performed in response to an operation instructing to start the drive source, and when the authentication of the portable device is successful, control for starting the drive source is performed.
  • control for starting the drive source is performed.
  • the control for prohibiting the start of the drive source is performed.
  • the drive source is allowed to start regardless of whether or not there is improper authentication. Is avoided.
  • a computer program transmits a response request signal requesting a response to a portable device in response to an operation for instructing a start of a drive source that drives a vehicle, and the portable device responds to the response request signal.
  • a legitimate occupant of the vehicle is detected, and when the occupant is detected and when the occupant is not detected, different determination threshold values are set, and the authentication process is performed using the determined determination threshold value.
  • the vehicle-mounted control device In order to cause the vehicle-mounted control device to execute the process of prohibiting the start of the drive source when the presence or absence of unauthorized authentication is determined and it is determined that there is unauthorized authentication for the authentication process. Is a computer program.
  • a determination threshold can be set so that it is difficult to determine that there is fraudulent authentication, and a signal from a portable device owned by the legitimate occupant is erroneously relayed. The likelihood of being judged as an attack is reduced.
  • FIG. 1 is a schematic diagram illustrating a schematic configuration of the vehicle-mounted control system according to the first embodiment.
  • the in-vehicle control system according to the first embodiment includes, for example, an in-vehicle control device 100 mounted on the vehicle C and a portable device 200 carried by an occupant.
  • the in-vehicle control device 100 is, for example, an ECU (Electronic Controller Unit), and integrally controls the operation of the engine of the vehicle C, the control of locking and unlocking the vehicle door, and the like.
  • ECU Electronic Controller Unit
  • the in-vehicle control device 100 includes a plurality of LF transmission antennas 106a to 106e and an RF reception antenna 107a for performing wireless communication with the portable device 200.
  • the LF transmission antennas 106a to 106e are antennas provided, for example, around each vehicle door provided in the vehicle C or in each tire house, and transmit a signal having an LF band frequency (hereinafter, also referred to as an LF signal).
  • the LF transmission antennas 106a to 106e are provided, for example, around the vehicle doors for the driver's seat, passenger seat, right rear seat, left rear seat, and around the rear door, and in each tire house.
  • the ranges in which the signals transmitted from the LF transmission antennas 106a to 106e reach the portable device 200 are shown in FIG. 1 as the communication ranges Ra to Re, respectively.
  • the RF receiving antenna 107a is, for example, an antenna built in the in-vehicle control device 100, and receives a signal having a frequency in the RF band (hereinafter, also referred to as an RF signal).
  • the portable device 200 includes an LF receiving antenna 204a and an RF transmitting antenna 205a in order to perform wireless communication with the vehicle-mounted control device 100 mounted on the vehicle C (see FIG. 3).
  • the LF receiving antenna 204a is an antenna built in the portable device 200, and receives the LF signal transmitted from the vehicle-mounted control device 100.
  • the RF transmission antenna 205a is an antenna built in the portable device 200, and when receiving the LF signal transmitted from the vehicle-mounted control device 100, for example, transmits the RF signal to the vehicle-mounted control device 100 as a response signal.
  • the communication range of the wireless communication using the RF signal is about several tens of meters, whereas the communication range of the wireless communication using the LF signal. Is about several meters. Therefore, the situation in which the portable device 200 receives the LF signal transmitted from the vehicle-mounted control device 100 and transmits the RF signal as a response signal from the portable device 200 is originally a proper portable device 200. It is limited to the case where the occupant who exists in the vehicle is in or around the vehicle C.
  • a relay that relays the LF signal transmitted from the vehicle-mounted control device 100 to the mobile device 200 and the RF signal transmitted from the mobile device 200 to the vehicle-mounted control device 100, an occupant carrying the mobile device 200 can be used. Even when the vehicle C is away from the vehicle C, the in-vehicle control device 100 and the portable device 200 can communicate with each other. Due to such a relay attack, communication for illegally authenticating the portable device 200 to the vehicle-mounted control device 100 occurs, and when the portable device 200 is illegally authenticated, a malicious third party can start the engine. There is a nature.
  • the in-vehicle control device 100 determines the presence / absence of fraudulent authentication based on, for example, the signal strength of the RF signal received by the RF receiving antenna 107a. Then, when the on-vehicle control device 100 determines that there is unauthorized authentication, the on-vehicle control device 100 prohibits the engine from being started by a malicious third party by prohibiting the engine from starting.
  • the vehicle-mounted control device 100 makes an erroneous determination when receiving the RF signal transmitted from the portable device 200 owned by the legitimate occupant of the vehicle C, it is determined that the portable device 200 is authenticated according to the legitimate procedure. However, it is determined that there is unauthorized authentication, and engine start is prohibited. Therefore, in the present embodiment, when the vehicle-mounted control device 100 detects the presence of a legitimate occupant of the vehicle C, the engine start is permitted regardless of the determination regarding the presence or absence of unauthorized authentication.
  • FIG. 2 is a block diagram illustrating the internal configuration of the vehicle-mounted control device 100.
  • the vehicle-mounted control device 100 includes a control unit 101, a storage unit 102, an input unit 103, an output unit 104, an in-vehicle communication unit 105, an LF transmission unit 106, and an RF reception unit 107.
  • the control unit 101 includes, for example, a CPU (Central Processing Unit), a ROM (Read Only Memory), and a RAM (Random Access Memory).
  • a CPU Central Processing Unit
  • ROM Read Only Memory
  • RAM Random Access Memory
  • the control unit 101 is not limited to the above configuration, and may be one or a plurality of processing circuits including a single-core CPU, a multi-core CPU, a microcomputer, a volatile or non-volatile memory, or the like. Further, the control unit 101 may have functions such as a clock for outputting date and time information, a timer for measuring an elapsed time from giving a measurement start instruction to giving a measurement end instruction, and a counter for counting the number.
  • the storage unit 102 is composed of a non-volatile memory such as an EEPROM (Electronically Erasable Programmable Read Only Memory) and stores various information.
  • the various information stored in the storage unit 102 includes, for example, the ID (Identifier) of the vehicle C in which the in-vehicle control device 100 is mounted, the ID of the portable device 200 that is a communication partner, the key information used for encryption processing, and the like. Information is included.
  • the input unit 103 includes an interface for connecting request switches such as an engine start switch 111 and a door lock switch 112.
  • the engine start switch 111 is a request switch that receives an operation for instructing the start of the engine of the vehicle C, and is provided on the console inside the vehicle.
  • the door lock switch 112 is a request switch that receives instructions for locking and unlocking the vehicle door, and is provided on a key cylinder, a door handle, etc. provided on the vehicle door for the driver's seat. It should be noted that these request switches may be mechanical switches, or may be switches equipped with a sensor that detects an operation of an occupant in a contact system or a non-contact system.
  • the output unit 104 includes an interface that connects the engine starter 121, the door lock mechanism 122, and the like.
  • the engine starter 121 is a starting device for starting the engine of the vehicle C.
  • the door lock mechanism 122 includes a mechanical mechanism for locking and unlocking each vehicle door of the vehicle C, an actuator for electrically operating the mechanical mechanism, and the like.
  • the in-vehicle communication unit 105 includes, for example, a CAN communication interface (CAN: Controller Area Network), and is connected to another ECU of the vehicle C via a CAN bus.
  • the in-vehicle communication unit 105 transmits / receives data to / from another ECU (not shown) according to the CAN protocol.
  • the LF transmission unit 106 includes a signal generation circuit that generates an LF signal based on the signal output from the control unit 101, an amplification circuit that amplifies the generated signal, and the like.
  • the LF transmission antennas 106a to 106e receive the amplified signal. Send to the outside.
  • the LF transmission unit 106 transmits, for example, a detection signal (LF signal) for detecting the portable device 200 via the LF transmission antennas 106a to 106e.
  • a detection signal LF signal
  • the RF receiving unit 107 is connected to the RF receiving antenna 107a and includes a receiving circuit and the like that receives an RF signal through the RF receiving antenna 107a.
  • the RF reception unit 107 sends the RF signal received through the RF reception antenna 107a to the control unit 101.
  • the received RF signal includes the authentication information added by the transmission source (for example, the portable device 200), and it is possible to determine whether to authenticate the transmission source using this authentication information.
  • the control unit 101 of the in-vehicle control device 100 When accepting the operation of the engine start switch 111 through the input unit 103, the control unit 101 of the in-vehicle control device 100 outputs a signal (response request signal) requesting a response to the portable device 200 from the LF transmission unit 106, The LF signal is transmitted to the outside from the LF transmission antennas 106a to 106e.
  • the control unit 101 of the in-vehicle control device 100 receives an RF signal (response signal) as a response to the response request signal through the RF reception antenna 107a, the transmission source (portable device 200) is based on the authentication information included in the RF signal. Authenticate.
  • the control unit 101 When the portable device 200 is authenticated, the control unit 101 outputs a control signal to the engine starter 121 through the output unit 104 to control the engine of the vehicle C to start. Similarly, the control unit 101 receives the operation of the door lock switch 112 through the input unit 103, receives the RF signal as a response to the LF signal transmitted from the LF transmission unit 106, and includes the RF signal in the received RF signal.
  • a control signal is output to the door lock mechanism 122 through the output unit 104 to control the unlocking of the vehicle door.
  • the vehicle-mounted control device 100 is configured to control the start of the engine. However, when the vehicle C is equipped with a drive battery system instead of the engine as a drive source, the drive battery system is started. It may be configured to control. Further, in the present embodiment, for the sake of simplification, the vehicle-mounted control device 100 is configured to execute the control related to the engine start and the locking and unlocking of the vehicle door, but the control related to the engine start is performed.
  • An engine ECU and a door lock ECU that controls the locking and unlocking of the vehicle door may be connected to the in-vehicle communication unit 105, and these controls may be executed through the engine ECU and the door lock ECU.
  • FIG. 3 is a block diagram illustrating the internal configuration of the mobile device 200.
  • the portable device 200 includes a control unit 201, a storage unit 202, an operation unit 203, an LF reception unit 204, an RF transmission unit 205, and a notification unit 206.
  • the control unit 201 includes, for example, a CPU and a ROM.
  • the CPU in the control unit 201 controls the operation of each hardware included in the portable device 200 by executing the control program stored in the ROM, and causes the entire device to function as the portable device of the present application.
  • the control unit 201 may be provided with functions such as a timer that measures the elapsed time from when the measurement start instruction is given to when the measurement end instruction is given, a counter that counts the number, and the like.
  • the storage unit 202 is composed of a non-volatile memory such as an EEPROM and stores various information.
  • the various information stored in the storage unit 202 includes, for example, the ID of the portable device 200, the ID of the vehicle C equipped with the on-vehicle control device 100 that is a communication partner, and the authentication information such as the key information used for the encryption process. Be done.
  • the operation unit 203 has an interface for accepting an operation by a passenger.
  • the operation unit 203 includes an unlock button 203a that is operated when unlocking the door of the vehicle C, and a lock button 203b that is operated when locking the door of the vehicle C.
  • the operation unit 203 outputs to the control unit 201 a signal indicating that the unlock button 203a (or the lock button 203b) has been operated.
  • control unit 201 When the control unit 201 receives a signal indicating that the unlock button 203a (or the lock button 203b) has been operated, the control unit 201 sends a control signal for instructing unlocking (or locking) of the door of the vehicle C to the RF transmitting unit 205. To do.
  • the LF receiving unit 204 is connected to the LF receiving antenna 204a, a receiving circuit that receives an LF signal through the LF receiving antenna 204a, measures the signal strength of the received signal, and acquires RSSI (Received Signal Strength Indicator). It is equipped with circuits. When receiving the detection signal transmitted from the vehicle-mounted control device 100, the LF reception unit 204 acquires the RSSI of the received detection signal and sends the received detection signal and the acquired RSSI to the control unit 201.
  • RSSI Receiveived Signal Strength Indicator
  • the control unit 201 When the control unit 201 acquires the detection signal and the RSSI, the control unit 201 performs a process of authenticating the on-vehicle control device 100 that is the transmission source, and when the detection signal is a valid detection signal from the on-vehicle control device 100, the control unit 201 transmits RF transmission as a response. Processing for transmitting an RF signal from the unit 205 is performed. At this time, the control unit 201 outputs the RSSI and the authentication information to the RF transmission unit 205 in order to add the RSSI of the detection signal and the authentication information of the portable device 200 to the RF signal transmitted by the RF transmission unit 205. Perform processing to
  • the RF transmission unit 205 includes a signal generation circuit that generates an RF signal including RSSI and authentication information based on an instruction from the control unit 201, an amplification circuit that amplifies the generated signal, and the like.
  • the signal is transmitted from the RF transmission antenna 205a to the outside.
  • the notification unit 206 includes, for example, an LED (Light Emitting Diode), and emits light in response to a signal transmitted from the in-vehicle control device 100 to notify the information notified from the in-vehicle control device 100.
  • the notification unit 206 includes, for example, a vibration element, and is configured to notify the information notified from the in-vehicle control device 100 by vibrating the portable device 200 according to a signal transmitted from the in-vehicle control device 100.
  • the notification unit 206 may be configured to include a display unit that displays character information.
  • FIG. 4 is a flowchart illustrating a procedure of processing executed by vehicle-mounted control device 100 according to the first embodiment.
  • the in-vehicle control device 100 executes the following processing, for example, at regular timing.
  • the control unit 101 first determines whether or not there is an engine start operation (step S101). Specifically, the control unit 101 determines whether or not a signal indicating that the engine start switch 111 has been operated has been input from the input unit 103. When there is no engine start operation (S101: NO), the control unit 101 ends the process according to this flowchart.
  • the control unit 101 When the engine start operation is performed (S101: YES), the control unit 101 performs smart communication (step S102). Specifically, the control unit 101 outputs a response request signal requesting a response to the portable device 200 from the LF transmission unit 106 and transmits it as an LF signal from the LF transmission antennas 106a to 106e to the outside of the vehicle C. The control unit 101 also receives a response signal (RF signal) transmitted from the portable device 200 that has received the response request signal, through the RF receiving unit 107. Since the response signal transmitted from the mobile device 200 includes the authentication information, the control unit 101 authenticates the mobile device 200 based on the authentication information.
  • RF signal response signal
  • the control unit 101 determines whether or not a valid passenger has been detected (step S103). For example, when the unlocking operation of the vehicle door (keyless entry) is established by remote operation using the portable device 200, the control unit 101 can determine that a valid occupant is detected. In the keyless entry, the control unit 101 receives at the RF reception unit 107 an RF signal transmitted when the unlock button 203a is pressed down at the operation unit 203 of the portable device 200. Since the received RF signal includes the authentication information, the control unit 101 can authenticate the source of the RF signal based on the authentication information. When the authentication is successful, the control unit 101 outputs a control signal for unlocking the vehicle door lock from the output unit 104 to the door lock mechanism 122, and unlocks the vehicle door lock.
  • the present embodiment is configured to indirectly detect the presence of a legitimate occupant by unlocking the vehicle door using the portable device 200
  • the legitimate occupant detection method is not limited to the above. Not something.
  • the portable device 200 is provided with an answer back button for confirming the position of the vehicle C, by receiving a signal transmitted from the portable device 200 when the answer back button is operated, a valid occupant can be detected. It may be configured to detect the presence.
  • the engine start switch 111 may be provided with a reading unit for reading biometric information of the occupant such as fingerprint information, and a valid occupant may be detected based on the read biometric information.
  • the control unit 101 determines whether there is unauthorized authentication in smart communication (step S104).
  • the control unit 101 uses a known method to determine the presence / absence of unauthorized authentication of the portable device 200 using the relay attack.
  • the control unit 101 can determine the presence / absence of unauthorized authentication based on the difference between the signal strength of the RF signal directly received from the portable device 200 and the signal strength of the RF signal received via the relay device. it can.
  • step S105 If it is determined that there is fraudulent authentication (S104: YES), the control unit 101 prohibits starting the engine (step S105). In this case, the control unit 101 does not output the control signal for controlling the operation of the engine starter 121, and ends the process according to this flowchart.
  • step S104 when it is determined in step S104 that there is no unauthorized authentication (S104: NO), the control unit 101 permits the engine to be started (step S106). In this case, the control unit 101 outputs a control signal for controlling the operation of the engine starter 121 from the output unit 104 to start the engine of the vehicle C.
  • step S103 If it is determined in step S103 that a legitimate occupant has been detected (S103: YES), the control unit 101 permits the engine to be started (step S106). That is, the control unit 101 outputs a control signal for controlling the operation of the engine starter 121 from the output unit 104 to start the engine of the vehicle C.
  • FIG. 5 is a flowchart illustrating a procedure of processing executed by the vehicle-mounted control device 100 according to the second embodiment.
  • the in-vehicle control device 100 executes the following processing, for example, at regular timing.
  • the control unit 101 first determines whether or not there is an engine start operation (step S201). Specifically, the control unit 101 determines whether or not a signal indicating that the engine start switch 111 has been operated has been input from the input unit 103. When there is no engine start operation (S201: NO), the control unit 101 ends the process according to this flowchart.
  • the control unit 101 performs smart communication (step S202). Specifically, the control unit 101 outputs a response request signal requesting a response to the portable device 200 from the LF transmission unit 106 and transmits it as an LF signal from the LF transmission antennas 106a to 106e to the outside of the vehicle C. The control unit 101 also receives a response signal (RF signal) transmitted from the portable device 200 that has received the response request signal, through the RF receiving unit 107. Since the response signal transmitted from the mobile device 200 includes the authentication information, the control unit 101 authenticates the mobile device 200 based on the authentication information.
  • RF signal response signal
  • control unit 101 determines whether or not a valid occupant has been detected (step S203). As described above, when the vehicle door release operation (keyless entry) is established, or when the signal transmitted from the portable device 200 is received when the answer back button is operated, the legitimate occupant biometric information is read. In some cases, it can be determined that a valid occupant has been detected.
  • the control unit 101 determines whether or not there is unauthorized authentication in smart communication (step S204).
  • the control unit 101 uses a known method to determine the presence / absence of unauthorized authentication of the portable device 200 using the relay attack.
  • the control unit 101 can determine the presence / absence of unauthorized authentication based on the difference between the signal strength of the RF signal directly received from the portable device 200 and the signal strength of the RF signal received via the relay device. it can.
  • control unit 101 prohibits engine start (step S205). In this case, the control unit 101 does not output the control signal for controlling the operation of the engine starter 121, and ends the process according to this flowchart.
  • step S204 when it is determined in step S204 that there is no unauthorized authentication (S204: NO), the control unit 101 permits the engine to be started (step S206). In this case, the control unit 101 outputs a control signal for controlling the operation of the engine starter 121 from the output unit 104 to start the engine of the vehicle C.
  • step S203 determines whether or not a set time (for example, 5 minutes) has elapsed after the legitimate occupant was detected. Yes (step S207).
  • step S207 determines that the set time has elapsed (S207: YES)
  • the control unit 101 shifts the processing to step S204 and restarts the determination of the presence / absence of unauthorized authentication.
  • control unit 101 permits the engine start (step S206). That is, the control unit 101 outputs a control signal for controlling the operation of the engine starter 121 from the output unit 104 to start the engine of the vehicle C.
  • the determination of the presence / absence of unauthorized authentication is restarted, so when the unauthorized authentication by the relay attack is detected, the drive source is started. Can be prohibited.
  • FIG. 6 is a flowchart illustrating a procedure of processing executed by the vehicle-mounted control device 100 according to the third embodiment.
  • the in-vehicle control device 100 executes the following processing, for example, at regular timing.
  • the control unit 101 first determines whether or not there is an engine start operation (step S301). Specifically, the control unit 101 determines whether or not a signal indicating that the engine start switch 111 has been operated has been input from the input unit 103. When there is no engine start operation (S301: NO), the control unit 101 ends the process according to this flowchart.
  • the control unit 101 performs smart communication (step S302). Specifically, the control unit 101 outputs a response request signal requesting a response to the portable device 200 from the LF transmission unit 106 and transmits it as an LF signal from the LF transmission antennas 106a to 106e to the outside of the vehicle C. The control unit 101 also receives a response signal (RF signal) transmitted from the portable device 200 that has received the response request signal, through the RF receiving unit 107. Since the response signal transmitted from the mobile device 200 includes the authentication information, the control unit 101 authenticates the mobile device 200 based on the authentication information.
  • RF signal response signal
  • control unit 101 determines whether or not a valid passenger has been detected (step S303). As described above, when the vehicle door release operation (keyless entry) is established, or when the signal transmitted from the portable device 200 is received when the answer back button is operated, the legitimate occupant biometric information is read. In some cases, it can be determined that a valid occupant has been detected.
  • the control unit 101 determines whether there is unauthorized authentication in smart communication (step S304).
  • the control unit 101 uses a known method to determine the presence / absence of unauthorized authentication of the portable device 200 using the relay attack.
  • the control unit 101 can determine the presence / absence of unauthorized authentication based on the difference between the signal strength of the RF signal directly received from the portable device 200 and the signal strength of the RF signal received via the relay device. it can.
  • control unit 101 prohibits starting the engine (step S305). In this case, the control unit 101 does not output the control signal for controlling the operation of the engine starter 121, and ends the process according to this flowchart.
  • step S304 determines that there is no unauthorized authentication in step S304 (S304: NO)
  • the control unit 101 permits the engine start (step S306).
  • the control unit 101 outputs a control signal for controlling the operation of the engine starter 121 from the output unit 104 to start the engine of the vehicle C.
  • step S303 determines whether or not a predetermined operation has been accepted (step S307).
  • the operation to be determined is a predetermined operation performed on the vehicle C. For example, the vehicle door is locked using a mechanical key, and the lock button 203b for locking the vehicle door using the portable device 200 is operated. Such operations are included.
  • the control unit 101 shifts the processing to step S304 and restarts the determination of the presence / absence of unauthorized authentication.
  • control unit 101 permits the engine start (step S306). That is, the control unit 101 outputs a control signal for controlling the operation of the engine starter 121 from the output unit 104 to start the engine of the vehicle C.
  • FIG. 7 is a flowchart illustrating a procedure of processing executed by the vehicle-mounted control device 100 according to the fourth embodiment.
  • the in-vehicle control device 100 executes the following processing, for example, at regular timing.
  • the control unit 101 first determines whether or not there is an engine start operation (step S401). Specifically, the control unit 101 determines whether or not a signal indicating that the engine start switch 111 has been operated has been input from the input unit 103. When there is no engine start operation (S401: NO), the control unit 101 ends the process according to this flowchart.
  • the control unit 101 performs smart communication (step S402). Specifically, the control unit 101 outputs a response request signal requesting a response to the portable device 200 from the LF transmission unit 106 and transmits it as an LF signal from the LF transmission antennas 106a to 106e to the outside of the vehicle C. The control unit 101 also receives a response signal (RF signal) transmitted from the portable device 200 that has received the response request signal, through the RF receiving unit 107. Since the response signal transmitted from the mobile device 200 includes the authentication information, the control unit 101 authenticates the mobile device 200 based on the authentication information.
  • RF signal response signal
  • control unit 101 determines whether or not there is unauthorized authentication in smart communication (step S403).
  • the control unit 101 uses a known method to determine the presence / absence of unauthorized authentication of the portable device 200 using the relay attack.
  • the control unit 101 can determine the presence / absence of unauthorized authentication based on the difference between the signal strength of the RF signal directly received from the portable device 200 and the signal strength of the RF signal received via the relay device. it can.
  • step S403 the control unit 101 permits the engine start (step S404).
  • the control unit 101 outputs a control signal for controlling the operation of the engine starter 121 from the output unit 104 to start the engine of the vehicle C.
  • step S403 determines whether a valid occupant is detected (step S405). As described above, when the vehicle door release operation (keyless entry) is established, or when the signal transmitted from the portable device 200 is received when the answer back button is operated, the legitimate occupant biometric information is read. In some cases, it can be determined that a valid occupant has been detected.
  • control unit 101 prohibits starting the engine (step S406). In this case, the control unit 101 does not output the control signal for controlling the operation of the engine starter 121, and ends the process according to this flowchart.
  • step S405 when it is determined in step S405 that a legitimate occupant is detected (S405: YES), the control unit 101 permits the engine to be started (step S404). That is, the control unit 101 outputs a control signal for controlling the operation of the engine starter 121 from the output unit 104 to start the engine of the vehicle C.
  • the engine start is permitted. The ban is avoided.
  • FIG. 8 is a flowchart illustrating a procedure of processing executed by the vehicle-mounted control device 100 according to the fifth embodiment.
  • the in-vehicle control device 100 executes the following processing, for example, at regular timing.
  • the control unit 101 first determines whether or not there is an engine start operation (step S501). Specifically, the control unit 101 determines whether or not a signal indicating that the engine start switch 111 has been operated has been input from the input unit 103. When there is no engine start operation (S501: NO), the control unit 101 ends the process according to this flowchart.
  • the control unit 101 performs smart communication (step S502). Specifically, the control unit 101 outputs a response request signal requesting a response to the portable device 200 from the LF transmission unit 106 and transmits it as an LF signal from the LF transmission antennas 106a to 106e to the outside of the vehicle C. The control unit 101 also receives a response signal (RF signal) transmitted from the portable device 200 that has received the response request signal, through the RF receiving unit 107. Since the response signal transmitted from the mobile device 200 includes the authentication information, the control unit 101 authenticates the mobile device 200 based on the authentication information.
  • RF signal response signal
  • control unit 101 determines whether or not a valid passenger has been detected (step S503). As described above, when the vehicle door release operation (keyless entry) is established, or when the signal transmitted from the portable device 200 is received when the answer back button is operated, the legitimate occupant biometric information is read. In some cases, it can be determined that a valid occupant has been detected.
  • the control unit 101 sets the determination threshold value used when determining the presence / absence of unauthorized authentication in smart communication to the first determination threshold value TH1 (step S504).
  • the control unit 101 sets the determination threshold to the second determination threshold TH2 different from the first determination threshold TH1 (step S505).
  • the second determination threshold TH2 is set to a value that makes it more difficult to determine that there is unauthorized authentication in step S506 described below, as compared with the first determination threshold TH1.
  • the second determination threshold TH2 is a value larger than the first determination threshold TH1.
  • the second determination threshold TH2 may be a value smaller than the first determination threshold TH1 depending on the determination method of step S506.
  • the control unit 101 uses the determination threshold value set in step S504 or S505 to determine the presence or absence of unauthorized authentication (step S506).
  • the control unit 101 uses a known method to determine the presence / absence of unauthorized authentication of the portable device 200 using the relay attack. For example, when the signal strength of the RF signal received by the RF reception unit 107 is higher than the determination threshold (the first determination threshold TH1 or the second determination threshold TH2), the control unit 101 can determine that there is unauthorized authentication. .
  • control unit 101 prohibits engine start (step S507). In this case, the control unit 101 does not output the control signal for controlling the operation of the engine starter 121, and ends the process according to this flowchart.
  • step S506 determines that there is no unauthorized authentication in step S506 (S506: NO)
  • the control unit 101 permits the engine to be started (step S508).
  • the control unit 101 outputs a control signal for controlling the operation of the engine starter 121 from the output unit 104 to start the engine of the vehicle C.
  • a determination threshold can be set so that it is difficult to determine that there is unauthorized authentication, and a signal from a portable device owned by the legitimate occupant can be set. The possibility of accidentally determining a relay attack is reduced.
  • In-vehicle control device 101 Control unit 102 Storage unit 103 Input unit 104 Output unit 105 In-vehicle communication unit 106 LF transmitting unit 106a to 106e LF transmitting antenna 107 RF receiving unit 107a RF receiving antenna 111 Engine start switch 112 Door lock switch 121 Engine starter 122 Door lock mechanism 200 Portable device 201 Control unit 202 Storage unit 203 Operation unit 204 LF receiving unit 204a LF receiving antenna 205 RF transmitting unit 205a RF transmitting antenna

Landscapes

  • Engineering & Computer Science (AREA)
  • Mechanical Engineering (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Lock And Its Accessories (AREA)

Abstract

車載制御装置、車載制御方法及びコンピュータプログラムの提供。　車両を走行させる駆動源の始動を指示する操作に応じて、携帯機に対して応答を要求する応答要求信号を送信する送信部と、応答要求信号に対する携帯機からの応答信号に基づき、携帯機を認証する認証部とを備え、認証部による認証の成否に応じて駆動源の始動制御を行う車載制御装置であって、認証部に対する不正認証の有無を判定する判定部と、車両の正当な乗員を検知する検知部と、認証部に対する不正認証ありと判定部が判定した場合、駆動源の始動を禁止する始動禁止部と、検知部が前記乗員を検知した場合、判定部の判定に関わらずに、駆動源の始動を許可する始動許可部とを備える。

Description

車載制御装置、車載制御方法及びコンピュータプログラム
　本発明は、車載制御装置、車載制御方法及びコンピュータプログラムに関する。
　本出願は、２０１８年１０月１９日出願の日本出願第２０１８－１９７８０８号に基づく優先権を主張し、前記日本出願に記載された全ての記載内容を援用するものである。
　メカニカルキーを用いずに車両ドアの施錠及び解錠を行う車両用通信システムが実用化されている。具体的には、使用者が所持する携帯機を用いた無線遠隔操作により車両ドアの施錠又は解錠を行うキーレスエントリシステム、携帯機を所持した使用者が車両に近づき、又はドアハンドルを握るだけで車両ドアの解錠を行うスマートエントリー（登録商標）システム等が実用化されている（例えば、特許文献１を参照）。また、メカニカルキーを用いずに車両のエンジン始動を行う車両用通信システムも実用化されている。具体的には、携帯機を所持した使用者がエンジンスタートボタンを押すだけでエンジンの始動を行うプッシュスタートシステムが実用化されている。更に、携帯機を所持した使用者が車両に近づいた際、車内灯又は車外灯を点灯させるウェルカムライトシステムが実用化されている。
　上述した車両用通信システムにおいて車載制御装置は、携帯機と無線通信を行う。当該無線通信は、車載制御装置の送信アンテナからＬＦ（Low Frequency）帯の電波を用いて各種信号を携帯機へ送信し、当該信号を受信した携帯機がＲＦ（Radio Frequency）帯の電波を用いて応答信号を送信することによって行われる。車載制御装置は、携帯機の認証及び位置確認を行った後に解錠、施錠、エンジン始動、ウェルカムライト点灯等の制御を行う。
特開２０１５－１０１９０８号公報
　ところで、車載制御装置から送信される信号はＬＦ帯の信号であり、当該信号の送信範囲は車両周辺の所定範囲内に限定されている。このため、車載制御装置から送信されるＬＦ帯の信号を携帯機にて受信し、その応答としてＲＦ帯の信号を携帯機から返信する状況は、本来であれば、正当な携帯機を所持した乗員が車両の内部又は周辺に存在する場合に限られる。
　しかしながら、車載制御装置から携帯機へ送信されるＬＦ帯の信号と、携帯機から車載制御装置へ送信されるＲＦ帯の信号とを中継する中継機を用いることにより、携帯機を所持した乗員が車両から離れている場合であっても、車載制御装置と携帯機との間で通信を実行させることが可能となる。このような中継機を用いたリレーアタックにより、車載制御装置に対する不正認証が発生した場合、正当な乗員が車両の内部又は周辺に存在しない場合であっても、車両の駆動源であるエンジン等が始動される可能性がある。
　このため、中継機を用いた不正認証の有無を判定し、不正認証が発生したと判定した場合、駆動源の始動を禁止する車載制御装置が提案されている。
　このような車載制御装置では、携帯機から送信された信号と、中継機を介して送信された信号とを精度良く判別する必要がある。しかしながら、判別精度は、ＬＦアンテナの数及び配置等に依存するため、車載制御装置は、正当な携帯機からの信号を中継機からの信号と誤って判別する可能性がある。この場合、正当な乗員が車両内に乗り込んでいたとしても、車両の駆動源を始動できない可能性がある。
　本発明は、斯かる事情に鑑みてなされたものであり、正当な乗員が車両の駆動源を始動できない可能性を低減できる車載制御装置、車載制御方法及びコンピュータプログラムを提供することを目的とする。
　本願の一態様に係る車載制御装置は、車両を走行させる駆動源の始動を指示する操作に応じて、携帯機に対して応答を要求する応答要求信号を送信する送信部と、前記応答要求信号に対する前記携帯機からの応答信号に基づき、前記携帯機を認証する認証部とを備え、該認証部による認証の成否に応じて前記駆動源の始動制御を行う車載制御装置であって、前記認証部に対する不正認証の有無を判定する判定部と、前記車両の正当な乗員を検知する検知部と、前記認証部に対する不正認証ありと前記判定部が判定した場合、前記駆動源の始動を禁止する始動禁止部と、前記検知部が前記乗員を検知した場合、前記判定部の判定に関わらずに、前記駆動源の始動を許可する始動許可部とを備える。
　本願の一態様に係る車載制御装置は、車両を走行させる駆動源の始動を指示する操作に応じて、携帯機に対して応答を要求する応答要求信号を送信する送信部と、前記応答要求信号に対する前記携帯機からの応答信号に基づき、前記携帯機を認証する認証部とを備え、該認証部による認証の成否に応じて前記駆動源の始動制御を行う車載制御装置であって、前記車両の正当な乗員を検知する検知部と、前記認証部に対する不正認証の有無を判定する判定部と、前記認証部に対する不正認証ありと前記判定部が判定した場合、前記駆動源の始動を禁止する始動禁止部とを備え、前記検知部が前記乗員を検知した場合と、前記検知部が乗員を検知していない場合とで、前記判定部が用いる判定閾値を異ならせる。
　本願の一態様に係る車載制御方法は、車両を走行させる駆動源の始動を指示する操作に応じて、携帯機に対して応答を要求する応答要求信号を送信し、前記応答要求信号に対する前記携帯機からの応答信号に基づき、前記携帯機を認証する認証処理を実行し、該認証処理による認証の成否に応じて前記駆動源の始動制御を行う車載制御方法であって、前記認証処理に対する不正認証の有無を判定し、前記車両の正当な乗員を検知し、前記認証処理に対する不正認証ありと判定した場合、前記駆動源の始動を禁止し、前記乗員を検知した場合、前記不正認証の有無の判定に関わらずに、前記駆動源の始動を許可する。
　本願の一態様に係る車載制御方法は、車両を走行させる駆動源の始動を指示する操作に応じて、携帯機に対して応答を要求する応答要求信号を送信し、前記応答要求信号に対する前記携帯機からの応答信号に基づき、前記携帯機を認証する認証処理を実行し、該認証処理による認証の成否に応じて前記駆動源の始動制御を行う車載制御方法であって、前記車両の正当な乗員を検知し、前記乗員を検知した場合と、前記乗員を検知していない場合とで、異なる判定閾値を設定し、設定した判定閾値を用いて前記認証処理に対する不正認証の有無を判定し、前記認証処理に対する不正認証ありと判定した場合、前記駆動源の始動を禁止する。
　本願の一態様に係るコンピュータプログラムは、車両を走行させる駆動源の始動を指示する操作に応じて、携帯機に対して応答を要求する応答要求信号を送信し、前記応答要求信号に対する前記携帯機からの応答信号に基づき、前記携帯機を認証する認証処理を実行し、該認証処理による認証の成否に応じて前記駆動源の始動制御を行う処理を車載制御装置に実行させるためのコンピュータプログラムであって、前記認証処理に対する不正認証の有無を判定し、前記車両の正当な乗員を検知し、前記認証処理に対する不正認証ありと判定した場合、前記駆動源の始動を禁止し、前記乗員を検知した場合、前記不正認証の有無の判定に関わらずに、前記駆動源の始動を許可する処理を前記車載制御装置に実行させるためのコンピュータプログラムである。
　本願の一態様に係るコンピュータプログラムは、車両を走行させる駆動源の始動を指示する操作に応じて、携帯機に対して応答を要求する応答要求信号を送信し、前記応答要求信号に対する前記携帯機からの応答信号に基づき、前記携帯機を認証する認証処理を実行し、該認証処理による認証の成否に応じて前記駆動源の始動制御を行う処理を車載制御装置に実行させるためのコンピュータプログラムであって、前記車両の正当な乗員を検知し、前記乗員を検知した場合と、前記乗員を検知していない場合とで、異なる判定閾値を設定し、設定した判定閾値を用いて前記認証処理に対する不正認証の有無を判定し、前記認証処理に対する不正認証ありと判定した場合、前記駆動源の始動を禁止する処理を前記車載制御装置に実行させるためのコンピュータプログラムである。
　本願によれば、正当な乗員が車両の駆動源を始動できない可能性を低減できる。
実施の形態１に係る車載制御システムの概略構成を説明する模式図である。 車載制御装置の内部構成を説明するブロック図である。 携帯機の内部構成を説明するブロック図である。 実施の形態１に係る車載制御装置が実行する処理の手順を説明するフローチャートである。 実施の形態２に係る車載制御装置が実行する処理の手順を説明するフローチャートである。 実施の形態３に係る車載制御装置が実行する処理の手順を説明するフローチャートである。 実施の形態４に係る車載制御装置が実行する処理の手順を説明するフローチャートである。 実施の形態５に係る車載制御装置が実行する処理の手順を説明するフローチャートである。
　本発明の実施態様を列記して説明する。また、以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。
　本願の一態様に係る車載制御装置は、車両を走行させる駆動源の始動を指示する操作に応じて、携帯機に対して応答を要求する応答要求信号を送信する送信部と、前記応答要求信号に対する前記携帯機からの応答信号に基づき、前記携帯機を認証する認証部とを備え、該認証部による認証の成否に応じて前記駆動源の始動制御を行う車載制御装置であって、前記認証部に対する不正認証の有無を判定する判定部と、前記車両の正当な乗員を検知する検知部と、前記認証部に対する不正認証ありと前記判定部が判定した場合、前記駆動源の始動を禁止する始動禁止部と、前記検知部が前記乗員を検知した場合、前記判定部の判定に関わらずに、前記駆動源の始動を許可する始動許可部とを備える。
　上記一態様にあっては、駆動源の始動を指示する操作に応じて携帯機を認証するための通信を行い、携帯機の認証に成功した場合、駆動源を始動させる制御を行う。一方、リレーアタックのような不正認証がある場合には、駆動源の始動を禁止する制御を行う。更に、駆動源の始動制御を行う際に、正当な乗員が検知された場合、不正認証の有無の判定に関わらず、駆動源の始動が許可されるので、誤判定に伴う駆動源の始動禁止が回避される。
　本願の一態様に係る車載制御装置は、前記車両のドアの解錠を指示する操作に応じて携帯機から送信される制御信号を受信する受信部と、該受信部にて受信した制御信号に基づき、前記ドアの解錠制御を行う解錠制御部とを備え、前記検知部は、前記解錠制御部の解錠制御によって前記ドアが解錠された場合、前記乗員を検知したと判断する。
　上記一態様にあっては、解錠を指示する操作を携帯機にて受け付け、携帯機から送信される制御信号に基づき車両のドアが解錠された場合、車両の正当な乗員の意志によってドアが解錠されたことを示しているので、乗員を検知したと判断できる。
　本願の一態様に係る車載制御装置は、前記検知部が前記乗員を検知した場合、前記判定部は、前記不正認証の有無の判定を行わないようにしてある。
　上記一態様にあっては、車両の正当な乗員を検知した場合、不正認証の有無の判定を行わないため、誤判定に伴う駆動源の始動禁止が回避される。
　本願の一態様に係る車載制御装置は、前記検知部が前記乗員を検知してから設定時間が経過した場合、前記判定部は、前記不正認証の有無の判定を再開する。
　上記一態様にあっては、車両の正当な乗員を検知してから設定時間が経過した場合、不正認証の有無の判定を再開するので、正当な乗員が車両から離れた後にリレーアタックによる不正認証を検知した場合、駆動源が始動されるのを禁止できる。
　本願の一態様に係る車載制御装置は、前記検知部が前記乗員を検知した後に、予め定められた操作を受け付けた場合、前記判定部は、前記不正認証の有無の判定を再開する。
　上記一態様にあっては、車両の正当な乗員を検知した後に、予め定められた操作を受付けた場合、不正認証の有無の判定を再開するので、正当な乗員が車両から離れた後にリレーアタックによる不正認証を検知した場合、駆動源が始動されるのを禁止できる。
　本願の一態様に係る車載制御装置は、前記検知部が前記乗員を検知した場合、前記始動許可部は、前記判定部にて不正認証ありとの判定結果が得られた場合であっても、前記駆動源の始動を許可する。
　上記一態様にあっては、車両の乗員を検知した場合、不正認証ありとの判定結果が得られた場合であっても、駆動源の始動が許可されるので、誤判定に伴う駆動源の始動禁止が回避される。
　本願の一態様に係る車載制御装置は、車両を走行させる駆動源の始動を指示する操作に応じて、携帯機に対して応答を要求する応答要求信号を送信する送信部と、前記応答要求信号に対する前記携帯機からの応答信号に基づき、前記携帯機を認証する認証部とを備え、該認証部による認証の成否に応じて前記駆動源の始動制御を行う車載制御装置であって、前記車両の正当な乗員を検知する検知部と、前記認証部に対する不正認証の有無を判定する判定部と、前記認証部に対する不正認証ありと前記判定部が判定した場合、前記駆動源の始動を禁止する始動禁止部とを備え、前記検知部が前記乗員を検知した場合と、前記検知部が乗員を検知していない場合とで、前記判定部が用いる判定閾値を異ならせる。
　上記一態様にあっては、正当な乗員を検知した場合、不正認証ありと判定され難くなるように判定閾値を設定することができ、正当な乗員が所持する携帯機からの信号を誤ってリレーアタックと判定する可能性が少なくなる。
　本願の一態様に係る車載制御方法は、車両を走行させる駆動源の始動を指示する操作に応じて、携帯機に対して応答を要求する応答要求信号を送信し、前記応答要求信号に対する前記携帯機からの応答信号に基づき、前記携帯機を認証する認証処理を実行し、該認証処理による認証の成否に応じて前記駆動源の始動制御を行う車載制御方法であって、前記認証処理に対する不正認証の有無を判定し、前記車両の正当な乗員を検知し、前記認証処理に対する不正認証ありと判定した場合、前記駆動源の始動を禁止し、前記乗員を検知した場合、前記不正認証の有無の判定に関わらずに、前記駆動源の始動を許可する。
　上記一態様にあっては、駆動源の始動を指示する操作に応じて携帯機を認証するための通信を行い、携帯機の認証に成功した場合、駆動源を始動させる制御を行う。一方、リレーアタックのような不正認証がある場合には、駆動源の始動を禁止する制御を行う。更に、駆動源の始動制御を行う際に、正当な乗員が検知された場合、不正認証の有無の判定に関わらず、駆動源の始動が許可されるので、誤判定に伴う駆動源の始動禁止が回避される。
　本願の一態様に係る車載制御方法は、車両を走行させる駆動源の始動を指示する操作に応じて、携帯機に対して応答を要求する応答要求信号を送信し、前記応答要求信号に対する前記携帯機からの応答信号に基づき、前記携帯機を認証する認証処理を実行し、該認証処理による認証の成否に応じて前記駆動源の始動制御を行う車載制御方法であって、前記車両の正当な乗員を検知し、前記乗員を検知した場合と、前記乗員を検知していない場合とで、異なる判定閾値を設定し、設定した判定閾値を用いて前記認証処理に対する不正認証の有無を判定し、前記認証処理に対する不正認証ありと判定した場合、前記駆動源の始動を禁止する。
　上記一態様にあっては、正当な乗員を検知した場合、不正認証ありと判定され難くなるように判定閾値を設定することができ、正当な乗員が所持する携帯機からの信号を誤ってリレーアタックと判定する可能性が少なくなる。
　本願の一態様に係るコンピュータプログラムは、車両を走行させる駆動源の始動を指示する操作に応じて、携帯機に対して応答を要求する応答要求信号を送信し、前記応答要求信号に対する前記携帯機からの応答信号に基づき、前記携帯機を認証する認証処理を実行し、該認証処理による認証の成否に応じて前記駆動源の始動制御を行う処理を車載制御装置に実行させるためのコンピュータプログラムであって、前記認証処理に対する不正認証の有無を判定し、前記車両の正当な乗員を検知し、前記認証処理に対する不正認証ありと判定した場合、前記駆動源の始動を禁止し、前記乗員を検知した場合、前記不正認証の有無の判定に関わらずに、前記駆動源の始動を許可する処理を前記車載制御装置に実行させるためのコンピュータプログラムである。
　上記一態様にあっては、駆動源の始動を指示する操作に応じて携帯機を認証するための通信を行い、携帯機の認証に成功した場合、駆動源を始動させる制御を行う。一方、リレーアタックのような不正認証がある場合には、駆動源の始動を禁止する制御を行う。更に、駆動源の始動制御を行う際に、正当な乗員が検知された場合、不正認証の有無の判定に関わらず、駆動源の始動が許可されるので、誤判定に伴う駆動源の始動禁止が回避される。
　本願の一態様に係るコンピュータプログラムは、車両を走行させる駆動源の始動を指示する操作に応じて、携帯機に対して応答を要求する応答要求信号を送信し、前記応答要求信号に対する前記携帯機からの応答信号に基づき、前記携帯機を認証する認証処理を実行し、該認証処理による認証の成否に応じて前記駆動源の始動制御を行う処理を車載制御装置に実行させるためのコンピュータプログラムであって、前記車両の正当な乗員を検知し、前記乗員を検知した場合と、前記乗員を検知していない場合とで、異なる判定閾値を設定し、設定した判定閾値を用いて前記認証処理に対する不正認証の有無を判定し、前記認証処理に対する不正認証ありと判定した場合、前記駆動源の始動を禁止する処理を前記車載制御装置に実行させるためのコンピュータプログラムである。
　上記一態様にあっては、正当な乗員を検知した場合、不正認証ありと判定され難くなるように判定閾値を設定することができ、正当な乗員が所持する携帯機からの信号を誤ってリレーアタックと判定する可能性が少なくなる。
　以下、本発明をその実施の形態を示す図面に基づいて具体的に説明する。
　（実施の形態１）
　図１は実施の形態１に係る車載制御システムの概略構成を説明する模式図である。実施の形態１に係る車載制御システムは、例えば、車両Ｃに搭載される車載制御装置１００と、乗員によって携帯される携帯機２００とを備える。
　車載制御装置１００は、例えばＥＣＵ（Electronic Controller Unit）であり、車両Ｃが備えるエンジンの動作に係る制御、車両ドアの施錠及び解錠に係る制御等を統合的に行なう。
　車載制御装置１００は、携帯機２００と無線通信を行うために、複数のＬＦ送信アンテナ１０６ａ～１０６ｅ及びＲＦ受信アンテナ１０７ａを備える。ＬＦ送信アンテナ１０６ａ～１０６ｅは、例えば車両Ｃが備える各車両ドアの周辺や各タイヤハウス内に設けられるアンテナであり、ＬＦ帯の周波数を有する信号（以下、ＬＦ信号ともいう）を送信する。ＬＦ送信アンテナ１０６ａ～１０６ｅは、例えば、運転席、助手席、右後部座席、左後部座席用の車両ドアの周辺、及び後部ドアの周辺や各タイヤハウス内に設けられる。ＬＦ送信アンテナ１０６ａ～１０６ｅから送信される信号が携帯機２００に到達する範囲は、それぞれ通信範囲Ｒａ～Ｒｅとして図１に示されている。ＲＦ受信アンテナ１０７ａは、例えば車載制御装置１００に内蔵されるアンテナであり、ＲＦ帯の周波数を有する信号（以下、ＲＦ信号ともいう）を受信する。
　携帯機２００は、車両Ｃに搭載された車載制御装置１００と無線通信を行うために、ＬＦ受信アンテナ２０４ａ及びＲＦ送信アンテナ２０５ａを備える（図３を参照）。ＬＦ受信アンテナ２０４ａは、携帯機２００に内蔵されるアンテナであり、車載制御装置１００から送信されるＬＦ信号を受信する。また、ＲＦ送信アンテナ２０５ａは、携帯機２００に内蔵されるアンテナであり、例えば車載制御装置１００から送信されるＬＦ信号を受信した際、その応答信号としてＲＦ信号を車載制御装置１００へ送信する。
　このような車載制御装置１００及び携帯機２００間の車両用通信システムにおいて、ＲＦ信号を用いた無線通信の通信範囲は数十ｍ程度であるのに対し、ＬＦ信号を用いた無線通信の通信範囲は数ｍ程度である。このため、車載制御装置１００から送信されるＬＦ信号を携帯機２００にて受信し、その応答信号としてＲＦ信号を携帯機２００から送信する状況は、本来であれば、正当な携帯機２００を所持した乗員が車両Ｃの内部又は周辺に存在する場合に限られる。
　しかしながら、車載制御装置１００から携帯機２００へ送信されるＬＦ信号、及び携帯機２００から車載制御装置１００へ送信されるＲＦ信号を中継する中継機を用いることにより、携帯機２００を所持した乗員が車両Ｃから離れている場合であっても、車載制御装置１００と携帯機２００との間で通信させることが可能となる。このようなリレーアタックにより、車載制御装置１００に対して携帯機２００を不正に認証させる通信が発生し、携帯機２００が不正認証された場合、悪意のある第三者によりエンジンが始動される可能性がある。
　そこで、本実施の形態に係る車載制御装置１００は、例えば、ＲＦ受信アンテナ１０７ａで受信したＲＦ信号の信号強度等に基づき、不正認証の有無を判定する。そして、車載制御装置１００は、不正認証ありと判断した場合、エンジンの始動を禁止することにより、悪意のある第三者によりエンジンが始動されるのを回避する。
　一方、車両Ｃの正当な乗員が所持する携帯機２００から送信されるＲＦ信号を受信した際に、車載制御装置１００において誤判定が発生した場合、正当な手順に従って携帯機２００が認証されたとしても、不正認証ありと判定され、エンジンの始動が禁止される。そこで、本実施の形態では、車両Ｃの正当な乗員の存在が車載制御装置１００により検知された場合、不正認証の有無に係る判定に関わらず、エンジンの始動を許可する。
　図２は車載制御装置１００の内部構成を説明するブロック図である。車載制御装置１００は、制御部１０１、記憶部１０２、入力部１０３、出力部１０４、車内通信部１０５、ＬＦ送信部１０６、及びＲＦ受信部１０７を備える。
　制御部１０１は、例えば、ＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）などを備える。制御部１０１内のＣＰＵは、ＲＯＭに格納された制御プログラムを実行することにより、車載制御装置１００が備える上記ハードウェアの動作を制御し、機器全体を本願の車載装置として機能させる。制御部１０１内のＲＡＭには、制御プログラムの実行中に生成される各種データが記憶される。
　なお、制御部１０１は、上記の構成に限定されるものではなく、シングルコアＣＰＵ、マルチコアＣＰＵ、マイコン、揮発性又は不揮発性のメモリ等を含む１又は複数の処理回路であればよい。また、制御部１０１は、日時情報を出力するクロック、計測開始指示を与えてから計測終了指示を与えるまでの経過時間を計測するタイマ、数をカウントするカウンタ等の機能を備えていてもよい。
　記憶部１０２は、例えば、ＥＥＰＲＯＭ（Electronically Erasable Programmable Read Only Memory）などの不揮発性メモリにより構成されており、各種情報を記憶する。ここで、記憶部１０２が記憶する各種情報には、例えば、車載制御装置１００を搭載する車両ＣのＩＤ（Identifier）、通信相手となる携帯機２００のＩＤ、暗号処理に用いる鍵情報等の認証情報が含まれる。
　入力部１０３は、エンジン始動スイッチ１１１、ドアロックスイッチ１１２等のリクエストスイッチを接続するインタフェースを備える。
　エンジン始動スイッチ１１１は、車両Ｃが備えるエンジンの始動を指示する操作を受付けるリクエストスイッチであり、車両内部のコンソールに設けられている。ドアロックスイッチ１１２は、車両ドアの施錠及び解錠に係る指示を受付けるリクエストスイッチであり、運転席用の車両ドアに設けられたキーシリンダ、ドアハンドル等に設けられている。なお、これらのリクエストスイッチは、機械式のスイッチであってもよく、接触方式又は非接触方式で乗員の操作を検知するセンサを備えたスイッチであってもよい。
　出力部１０４は、エンジンスタータ１２１、ドアロック機構１２２等を接続するインタフェースを備える。
　エンジンスタータ１２１は、車両Ｃのエンジンを始動させるための始動装置である。ドアロック機構１２２は、車両Ｃの各車両ドアの施錠及び解錠するための機械機構、及びこの機械機構を電気的に動作させるためのアクチュエータ等を備える。
　車内通信部１０５は、例えばＣＡＮ通信インタフェース（CAN : Controller Area Network）を備えており、ＣＡＮバスを介して車両Ｃが備える他のＥＣＵに接続されている。車内通信部１０５は、ＣＡＮプロトコルに従って他のＥＣＵ（不図示）とデータの送受信を行う。
　ＬＦ送信部１０６は、制御部１０１から出力される信号に基づきＬＦ信号を生成する信号生成回路、生成した信号を増幅する増幅回路等を備えており、増幅後の信号をＬＦ送信アンテナ１０６ａ～１０６ｅより外部へ送信する。ＬＦ送信部１０６は、制御部１０１からの指示により、例えば携帯機２００を検出するための検出信号（ＬＦ信号）をＬＦ送信アンテナ１０６ａ～１０６ｅを通じて送信する。ここで、ＬＦ送信部１０６から送信されるＬＦ信号には、記憶部１０２に記憶されている認証情報が付加されるものとする。
　ＲＦ受信部１０７は、ＲＦ受信アンテナ１０７ａに接続されており、ＲＦ受信アンテナ１０７ａを通じてＲＦ信号を受信する受信回路等を備える。本実施の形態では、ＲＦ受信部１０７は、ＲＦ受信アンテナ１０７ａを通じて受信したＲＦ信号を制御部１０１へ送出する。受信したＲＦ信号には、送信元（例えば携帯機２００）にて付加された認証情報が含まれており、この認証情報を用いて送信元を認証するか否かを判断することができる。
　車載制御装置１００の制御部１０１は、入力部１０３を通じてエンジン始動スイッチ１１１の操作を受付けた場合、携帯機２００に対して応答を要求する信号（応答要求信号）をＬＦ送信部１０６から出力し、ＬＦ信号としてＬＦ送信アンテナ１０６ａ～１０６ｅより外部へ送信する。車載制御装置１００の制御部１０１は、ＲＦ受信アンテナ１０７ａを通じて、応答要求信号に対する応答としてＲＦ信号（応答信号）を受信した場合、ＲＦ信号に含まる認証情報に基づき、送信元（携帯機２００）を認証する。制御部１０１は、携帯機２００を認証した場合、出力部１０４を通じてエンジンスタータ１２１に制御信号を出力することにより、車両Ｃのエンジンを始動させる制御を行う。同様に、制御部１０１は、入力部１０３を通じてドアロックスイッチ１１２の操作を受付けた場合であって、ＬＦ送信部１０６から送信したＬＦ信号に対する応答としてＲＦ信号を受信し、受信したＲＦ信号に含まれる認証情報に基づき送信元（携帯機２００）を認証した場合、出力部１０４を通じてドアロック機構１２２に制御信号を出力することにより、車両ドアのロックを解錠する制御を行う。
　なお、本実施の形態では、車載制御装置１００がエンジンの始動を制御する構成としたが、車両Ｃが駆動源としてエンジンの代わりに駆動用バッテリシステムを搭載する場合、駆動用バッテリシステムの始動を制御する構成としてもよい。また、本実施の形態では、簡略化のために、車載制御装置１００がエンジンの始動、並びに車両ドアの施錠及び解錠に係る制御を実行する構成としたが、エンジンの始動に係る制御を行うエンジンＥＣＵ、並びに車両ドアの施錠及び解錠に係る制御を行うドアロックＥＣＵを車内通信部１０５に接続し、エンジンＥＣＵ及びドアロックＥＣＵを通じてこれらの制御を実行する構成としてもよい。
　図３は携帯機２００の内部構成を説明するブロック図である。携帯機２００は、制御部２０１、記憶部２０２、操作部２０３、ＬＦ受信部２０４、ＲＦ送信部２０５、及び報知部２０６を備える。
　制御部２０１は、例えば、ＣＰＵ、ＲＯＭなどを備える。制御部２０１内のＣＰＵは、ＲＯＭに格納された制御プログラムを実行することにより、携帯機２００が備える各ハードウェアの動作を制御し、機器全体を本願の携帯機として機能させる。なお、制御部２０１は、計測開始指示を与えてから計測終了指示を与えるまでの経過時間を計測するタイマ、数をカウントするカウンタ等の機能を備えていてもよい。
　記憶部２０２は、ＥＥＰＲＯＭなどの不揮発性メモリにより構成されており、各種情報を記憶する。ここで、記憶部２０２が記憶する各種情報には、例えば、携帯機２００のＩＤ、通信相手となる車載制御装置１００を搭載する車両ＣのＩＤ、暗号処理に用いる鍵情報等の認証情報が含まれる。
　操作部２０３は、乗員による操作を受付けるためのインタフェースを備える。本実施の形態では、操作部２０３は、車両Ｃのドアを解錠する際に操作されるアンロックボタン２０３ａ、及び車両Ｃのドアを施錠する際に操作されるロックボタン２０３ｂを備える。操作部２０３は、アンロックボタン２０３ａ（又はロックボタン２０３ｂ）が乗員により操作された場合、アンロックボタン２０３ａ（又はロックボタン２０３ｂ）が操作されたこと示す信号を制御部２０１へ出力する。制御部２０１は、アンロックボタン２０３ａ（又はロックボタン２０３ｂ）が操作されたこと示す信号を受信した場合、車両Ｃのドアの解錠（又は施錠）を指示する制御信号をＲＦ送信部２０５へ送出する。
　ＬＦ受信部２０４は、ＬＦ受信アンテナ２０４ａに接続されており、ＬＦ受信アンテナ２０４ａを通じてＬＦ信号を受信する受信回路、受信した信号の信号強度を測定し、ＲＳＳＩ（Received Signal Strength Indicator）を取得する測定回路等を備える。ＬＦ受信部２０４は、車載制御装置１００から送信された検出信号を受信した場合、受信した検出信号のＲＳＳＩを取得すると共に、受信した検出信号及び取得したＲＳＳＩを制御部２０１へ送出する。制御部２０１は、検出信号及びＲＳＳＩを取得した場合、送信元の車載制御装置１００を認証する処理を実行すると共に、正当な車載制御装置１００からの検出信号である場合、その応答として、ＲＦ送信部２０５よりＲＦ信号を送信させる処理を行う。このとき、制御部２０１は、ＲＦ送信部２０５に送信させるＲＦ信号に対して、検出信号のＲＳＳＩと携帯機２００の認証情報とを付加させるために、ＲＳＳＩ及び認証情報をＲＦ送信部２０５に出力する処理を行う。
　ＲＦ送信部２０５は、制御部２０１からの指示に基づき、ＲＳＳＩ及び認証情報を含んだＲＦ信号を生成する信号生成回路、生成した信号を増幅する増幅回路等を備えており、増幅後の信号をＲＦ送信アンテナ２０５ａより外部へ送信する。
　報知部２０６は、例えばＬＥＤ（Light Emitting Diode）を備え、車載制御装置１００から送信される信号に応じて光を発することにより、車載制御装置１００から通知される情報を報知する。また、報知部２０６は、例えば振動素子を備え、車載制御装置１００から送信される信号に応じて携帯機２００を振動させることにより、車載制御装置１００から通知される情報を報知する構成であってもよい。更に、報知部２０６は、文字情報を表示する表示部を備える構成であってもよい。
　以下、車載制御装置１００が実行する処理の手順を説明する。
　図４は実施の形態１に係る車載制御装置１００が実行する処理の手順を説明するフローチャートである。車載制御装置１００は、以下の処理を例えば定期的なタイミングで実行する。制御部１０１は、まず、エンジン始動操作の有無を判断する（ステップＳ１０１）。具体的には、制御部１０１は、エンジン始動スイッチ１１１が操作されたことを示す信号が入力部１０３より入力されたか否かを判断する。エンジン始動操作がない場合（Ｓ１０１：ＮＯ）、制御部１０１は、本フローチャートによる処理を終了する。
　エンジン始動操作がある場合（Ｓ１０１：ＹＥＳ）、制御部１０１は、スマート通信を実施する（ステップＳ１０２）。具体的には、制御部１０１は、携帯機２００に対して応答を要求する応答要求信号をＬＦ送信部１０６から出力し、ＬＦ信号としてＬＦ送信アンテナ１０６ａ～１０６ｅから車両Ｃの外部へ送信する。また、制御部１０１は、応答要求信号を受信した携帯機２００から送信される応答信号（ＲＦ信号）を、ＲＦ受信部１０７を通じて受信する。携帯機２００から送信される応答信号には認証情報が含まれているので、制御部１０１は、その認証情報に基づき、携帯機２００を認証する。
　次いで、制御部１０１は、正当な乗員を検知したか否かを判断する（ステップＳ１０３）。例えば、携帯機２００を用いた遠隔操作により車両ドアの解錠操作（キーレスエントリ）が成立した場合、制御部１０１は、正当な乗員を検知したと判断することができる。キーレスエントリにおいて、制御部１０１は、携帯機２００の操作部２０３にてアンロックボタン２０３ａが押下操作された場合に送信されるＲＦ信号をＲＦ受信部１０７にて受信する。受信したＲＦ信号には認証情報が含まれるので、制御部１０１は、認証情報に基づきＲＦ信号の送信元を認証することができる。認証が成立した場合、制御部１０１は、車両ドアのロックを解錠する制御信号を出力部１０４からドアロック機構１２２へ出力し、車両ドアのロックを解錠する。
　なお、本実施の形態では、携帯機２００を用いた車両ドアの解錠操作により、間接的に正当な乗員の存在を検知する構成としたが、正当な乗員の検知手法は、上記に限定されるものではない。例えば、携帯機２００が車両Ｃの位置を確認するためのアンサーバックボタンを備える場合、このアンサーバックボタンが操作されたときに携帯機２００から送信される信号を受信することによって、正当な乗員の存在を検知する構成としてもよい。また、指紋情報などの乗員の生体情報を読み取る読取部をエンジン始動スイッチ１１１に設け、読み取った生体情報に基づき、正当な乗員を検知する構成としてもよい。
　正当な乗員を検知していない場合（Ｓ１０３：ＮＯ）、制御部１０１は、スマート通信における不正認証の有無を判定する（ステップＳ１０４）。ここでは、制御部１０１は、公知の手法を用いて、リレーアタックを用いた携帯機２００の不正認証の有無を判定する。例えば、制御部１０１は、携帯機２００から直接的に受信したＲＦ信号の信号強度と、中継機を介して受信したＲＦ信号の信号強度との差異に基づき、不正認証の有無を判定することができる。
　不正認証ありと判定した場合（Ｓ１０４：ＹＥＳ）、制御部１０１は、エンジンの始動を禁止する（ステップＳ１０５）。この場合、制御部１０１は、エンジンスタータ１２１の動作を制御する制御信号の出力を行わずに、本フローチャートによる処理を終了する。
　一方、ステップＳ１０４で不正認証なしと判定した場合（Ｓ１０４：ＮＯ）、制御部１０１は、エンジンの始動を許可する（ステップＳ１０６）。この場合、制御部１０１は、エンジンスタータ１２１の動作を制御する制御信号を出力部１０４から出力し、車両Ｃのエンジンを始動させる。
　また、ステップＳ１０３において、正当な乗員を検知したと判断した場合（Ｓ１０３：ＹＥＳ）、制御部１０１は、エンジンの始動を許可する（ステップＳ１０６）。すなわち、制御部１０１は、エンジンスタータ１２１の動作を制御する制御信号を出力部１０４から出力し、車両Ｃのエンジンを始動させる。
　以上のように、本実施の形態では、スマート通信を通じてエンジンの始動制御を行う際に、正当な乗員が検知された場合、不正認証の有無を判定しないので、誤検知に伴うエンジン始動の禁止が回避される。
（実施の形態２）
　実施の形態２では、正当な乗員を検知してから設定時間が経過した場合、不正認証の有無の判定を再開する構成について説明する。
　実施の形態２における車載制御システムの全体構成、車載制御装置１００及び携帯機２００の各内部構成は、実施の形態１と同様であるため、その説明を省略することとする。
　図５は実施の形態２に係る車載制御装置１００が実行する処理の手順を説明するフローチャートである。車載制御装置１００は、以下の処理を例えば定期的なタイミングで実行する。制御部１０１は、まず、エンジン始動操作の有無を判断する（ステップＳ２０１）。具体的には、制御部１０１は、エンジン始動スイッチ１１１が操作されたことを示す信号が入力部１０３より入力されたか否かを判断する。エンジン始動操作がない場合（Ｓ２０１：ＮＯ）、制御部１０１は、本フローチャートによる処理を終了する。
　エンジン始動操作がある場合（Ｓ２０１：ＹＥＳ）、制御部１０１は、スマート通信を実施する（ステップＳ２０２）。具体的には、制御部１０１は、携帯機２００に対して応答を要求する応答要求信号をＬＦ送信部１０６から出力し、ＬＦ信号としてＬＦ送信アンテナ１０６ａ～１０６ｅから車両Ｃの外部へ送信する。また、制御部１０１は、応答要求信号を受信した携帯機２００から送信される応答信号（ＲＦ信号）を、ＲＦ受信部１０７を通じて受信する。携帯機２００から送信される応答信号には認証情報が含まれているので、制御部１０１は、その認証情報に基づき、携帯機２００を認証する。
　次いで、制御部１０１は、正当な乗員を検知したか否かを判断する（ステップＳ２０３）。上述したように、車両ドアの解除操作（キーレスエントリ）が成立した場合、アンサーバックボタンが操作された場合に携帯機２００から送信される信号を受信した場合、正当な乗員の生体情報を読み取った場合等において、正当な乗員を検知したと判断することができる。
　正当な乗員を検知していない場合（Ｓ２０３：ＮＯ）、制御部１０１は、スマート通信における不正認証の有無を判定する（ステップＳ２０４）。ここでは、制御部１０１は、公知の手法を用いて、リレーアタックを用いた携帯機２００の不正認証の有無を判定する。例えば、制御部１０１は、携帯機２００から直接的に受信したＲＦ信号の信号強度と、中継機を介して受信したＲＦ信号の信号強度との差異に基づき、不正認証の有無を判定することができる。
　不正認証ありと判定した場合（Ｓ２０４：ＹＥＳ）、制御部１０１は、エンジンの始動を禁止する（ステップＳ２０５）。この場合、制御部１０１は、エンジンスタータ１２１の動作を制御する制御信号の出力を行わずに、本フローチャートによる処理を終了する。
　一方、ステップＳ２０４で不正認証なしと判定した場合（Ｓ２０４：ＮＯ）、制御部１０１は、エンジンの始動を許可する（ステップＳ２０６）。この場合、制御部１０１は、エンジンスタータ１２１の動作を制御する制御信号を出力部１０４から出力し、車両Ｃのエンジンを始動させる。
　また、ステップＳ２０３において、正当な乗員を検知したと判断した場合（Ｓ２０３：ＹＥＳ）、制御部１０１は、正当な乗員を検知してから設定時間（例えば５分）が経過したか否かを判断する（ステップＳ２０７）。設定時間が経過したと判断した場合（Ｓ２０７：ＹＥＳ）、制御部１０１は、処理をステップＳ２０４へ移行し、不正認証の有無の判定を再開する。
　一方、設定時間が経過していないと判断した場合（Ｓ２０７：ＮＯ）、制御部１０１は、エンジンの始動を許可する（ステップＳ２０６）。すなわち、制御部１０１は、エンジンスタータ１２１の動作を制御する制御信号を出力部１０４から出力し、車両Ｃのエンジンを始動させる。
　以上のように、本実施の形態では、乗員を検知してから設定時間が経過した場合、不正認証の有無の判定を再開するので、リレーアタックによる不正認証を検知した場合、駆動源が始動されるのを禁止することができる。
（実施の形態３）
　実施の形態３では、正当な乗員を検知した後に所定の操作を受付けた場合、不正認証の有無の判定を再開する構成について説明する。
　実施の形態３における車載制御システムの全体構成、車載制御装置１００及び携帯機２００の各内部構成は、実施の形態１と同様であるため、その説明を省略することとする。
　図６は実施の形態３に係る車載制御装置１００が実行する処理の手順を説明するフローチャートである。車載制御装置１００は、以下の処理を例えば定期的なタイミングで実行する。制御部１０１は、まず、エンジン始動操作の有無を判断する（ステップＳ３０１）。具体的には、制御部１０１は、エンジン始動スイッチ１１１が操作されたことを示す信号が入力部１０３より入力されたか否かを判断する。エンジン始動操作がない場合（Ｓ３０１：ＮＯ）、制御部１０１は、本フローチャートによる処理を終了する。
　エンジン始動操作がある場合（Ｓ３０１：ＹＥＳ）、制御部１０１は、スマート通信を実施する（ステップＳ３０２）。具体的には、制御部１０１は、携帯機２００に対して応答を要求する応答要求信号をＬＦ送信部１０６から出力し、ＬＦ信号としてＬＦ送信アンテナ１０６ａ～１０６ｅから車両Ｃの外部へ送信する。また、制御部１０１は、応答要求信号を受信した携帯機２００から送信される応答信号（ＲＦ信号）を、ＲＦ受信部１０７を通じて受信する。携帯機２００から送信される応答信号には認証情報が含まれているので、制御部１０１は、その認証情報に基づき、携帯機２００を認証する。
　次いで、制御部１０１は、正当な乗員を検知したか否かを判断する（ステップＳ３０３）。上述したように、車両ドアの解除操作（キーレスエントリ）が成立した場合、アンサーバックボタンが操作された場合に携帯機２００から送信される信号を受信した場合、正当な乗員の生体情報を読み取った場合等において、正当な乗員を検知したと判断することができる。
　正当な乗員を検知していない場合（Ｓ３０３：ＮＯ）、制御部１０１は、スマート通信における不正認証の有無を判定する（ステップＳ３０４）。ここでは、制御部１０１は、公知の手法を用いて、リレーアタックを用いた携帯機２００の不正認証の有無を判定する。例えば、制御部１０１は、携帯機２００から直接的に受信したＲＦ信号の信号強度と、中継機を介して受信したＲＦ信号の信号強度との差異に基づき、不正認証の有無を判定することができる。
　不正認証ありと判定した場合（Ｓ３０４：ＹＥＳ）、制御部１０１は、エンジンの始動を禁止する（ステップＳ３０５）。この場合、制御部１０１は、エンジンスタータ１２１の動作を制御する制御信号の出力を行わずに、本フローチャートによる処理を終了する。
　一方、ステップＳ３０４で不正認証なしと判定した場合（Ｓ３０４：ＮＯ）、制御部１０１は、エンジンの始動を許可する（ステップＳ３０６）。この場合、制御部１０１は、エンジンスタータ１２１の動作を制御する制御信号を出力部１０４から出力し、車両Ｃのエンジンを始動させる。
　また、ステップＳ３０３において、正当な乗員を検知したと判断した場合（Ｓ３０３：ＹＥＳ）、制御部１０１は、所定の操作を受付けたか否かを判断する（ステップＳ３０７）。判断対象の操作は、車両Ｃに対して行われる予め定められた操作であり、例えば、メカニカルキーを用いた車両ドアの施錠操作、携帯機２００を用いて車両ドアを施錠するロックボタン２０３ｂの操作などの操作が含まれる。所定の操作を受付けたと判断した場合（Ｓ３０７：ＹＥＳ）、制御部１０１は、処理をステップＳ３０４へ移行し、不正認証の有無の判定を再開する。
　一方、所定の操作を受け付けていないと判断した場合（Ｓ３０７：ＮＯ）、制御部１０１は、エンジンの始動を許可する（ステップＳ３０６）。すなわち、制御部１０１は、エンジンスタータ１２１の動作を制御する制御信号を出力部１０４から出力し、車両Ｃのエンジンを始動させる。
　以上のように、本実施の形態では、乗員を検知した後に所定の操作を受付けた場合、不正認証の有無の判定を再開するので、リレーアタックによる不正認証を検知した場合、駆動源が始動されるのを禁止することができる。
（実施の形態４）
　実施の形態４では、スマート通信を通じてエンジンの始動制御を行う際に、正当な乗員が検知された場合、不正認証の有無の判定結果に関わらず、エンジンの始動を許可する構成について説明する。
　実施の形態４における車載制御システムの全体構成、車載制御装置１００及び携帯機２００の各内部構成は、実施の形態１と同様であるため、その説明を省略することとする。
　図７は実施の形態４に係る車載制御装置１００が実行する処理の手順を説明するフローチャートである。車載制御装置１００は、以下の処理を例えば定期的なタイミングで実行する。制御部１０１は、まず、エンジン始動操作の有無を判断する（ステップＳ４０１）。具体的には、制御部１０１は、エンジン始動スイッチ１１１が操作されたことを示す信号が入力部１０３より入力されたか否かを判断する。エンジン始動操作がない場合（Ｓ４０１：ＮＯ）、制御部１０１は、本フローチャートによる処理を終了する。
　エンジン始動操作がある場合（Ｓ４０１：ＹＥＳ）、制御部１０１は、スマート通信を実施する（ステップＳ４０２）。具体的には、制御部１０１は、携帯機２００に対して応答を要求する応答要求信号をＬＦ送信部１０６から出力し、ＬＦ信号としてＬＦ送信アンテナ１０６ａ～１０６ｅから車両Ｃの外部へ送信する。また、制御部１０１は、応答要求信号を受信した携帯機２００から送信される応答信号（ＲＦ信号）を、ＲＦ受信部１０７を通じて受信する。携帯機２００から送信される応答信号には認証情報が含まれているので、制御部１０１は、その認証情報に基づき、携帯機２００を認証する。
　次いで、制御部１０１は、スマート通信における不正認証の有無を判定する（ステップＳ４０３）。ここでは、制御部１０１は、公知の手法を用いて、リレーアタックを用いた携帯機２００の不正認証の有無を判定する。例えば、制御部１０１は、携帯機２００から直接的に受信したＲＦ信号の信号強度と、中継機を介して受信したＲＦ信号の信号強度との差異に基づき、不正認証の有無を判定することができる。
　ステップＳ４０３で不正認証なしと判定した場合（Ｓ４０３：ＮＯ）、制御部１０１は、エンジンの始動を許可する（ステップＳ４０４）。この場合、制御部１０１は、エンジンスタータ１２１の動作を制御する制御信号を出力部１０４から出力し、車両Ｃのエンジンを始動させる。
　ステップＳ４０３で不正認証ありと判断した場合（Ｓ４０３：ＹＥＳ）、制御部１０１は、正当な乗員を検知したか否かを判断する（ステップＳ４０５）。上述したように、車両ドアの解除操作（キーレスエントリ）が成立した場合、アンサーバックボタンが操作された場合に携帯機２００から送信される信号を受信した場合、正当な乗員の生体情報を読み取った場合等において、正当な乗員を検知したと判断することができる。
　正当な乗員を検知していない場合（Ｓ４０５：ＮＯ）、制御部１０１は、エンジンの始動を禁止する（ステップＳ４０６）。この場合、制御部１０１は、エンジンスタータ１２１の動作を制御する制御信号の出力を行わずに、本フローチャートによる処理を終了する。
　一方、ステップＳ４０５において、正当な乗員を検知したと判断した場合（Ｓ４０５：ＹＥＳ）、制御部１０１は、エンジンの始動を許可する（ステップＳ４０４）。すなわち、制御部１０１は、エンジンスタータ１２１の動作を制御する制御信号を出力部１０４から出力し、車両Ｃのエンジンを始動させる。
　以上のように、本実施の形態では、不正認証を検出した場合であっても、正当な乗員の存在を検知できる場合には、エンジンの始動が許可されるので、誤検知に伴うエンジン始動の禁止が回避される。
（実施の形態５）
　実施の形態５では、正当な乗員を検知した場合と正当な乗員を検知していない場合とで、不正認証を判定する際に用いる判定閾値を異ならせる構成について説明する。
　実施の形態５における車載制御システムの全体構成、車載制御装置１００及び携帯機２００の各内部構成は、実施の形態１と同様であるため、その説明を省略することとする。
　図８は実施の形態５に係る車載制御装置１００が実行する処理の手順を説明するフローチャートである。車載制御装置１００は、以下の処理を例えば定期的なタイミングで実行する。制御部１０１は、まず、エンジン始動操作の有無を判断する（ステップＳ５０１）。具体的には、制御部１０１は、エンジン始動スイッチ１１１が操作されたことを示す信号が入力部１０３より入力されたか否かを判断する。エンジン始動操作がない場合（Ｓ５０１：ＮＯ）、制御部１０１は、本フローチャートによる処理を終了する。
　エンジン始動操作がある場合（Ｓ５０１：ＹＥＳ）、制御部１０１は、スマート通信を実施する（ステップＳ５０２）。具体的には、制御部１０１は、携帯機２００に対して応答を要求する応答要求信号をＬＦ送信部１０６から出力し、ＬＦ信号としてＬＦ送信アンテナ１０６ａ～１０６ｅから車両Ｃの外部へ送信する。また、制御部１０１は、応答要求信号を受信した携帯機２００から送信される応答信号（ＲＦ信号）を、ＲＦ受信部１０７を通じて受信する。携帯機２００から送信される応答信号には認証情報が含まれているので、制御部１０１は、その認証情報に基づき、携帯機２００を認証する。
　次いで、制御部１０１は、正当な乗員を検知したか否かを判断する（ステップＳ５０３）。上述したように、車両ドアの解除操作（キーレスエントリ）が成立した場合、アンサーバックボタンが操作された場合に携帯機２００から送信される信号を受信した場合、正当な乗員の生体情報を読み取った場合等において、正当な乗員を検知したと判断することができる。
　正当な乗員を検知していない場合（Ｓ５０３：ＮＯ）、制御部１０１は、スマート通信における不正認証の有無を判定する際に用いる判定閾値を第１判定閾値ＴＨ１に設定する（ステップＳ５０４）。一方、正当な乗員を検知した場合（Ｓ５０３：ＹＥＳ）、制御部１０１は、判定閾値を第１判定閾値ＴＨ１とは異なる第２判定閾値ＴＨ２に設定する（ステップＳ５０５）。ここで、第２判定閾値ＴＨ２は、第１判定閾値ＴＨ１と比較して、後述するステップＳ５０６で不正認証ありと判定され難くなるような値が設定される。一例では、第２判定閾値ＴＨ２は、第１判定閾値ＴＨ１よりも大きな値である。また、ステップＳ５０６の判定手法によっては、第２判定閾値ＴＨ２は、第１判定閾値ＴＨ１よりも小さな値であってもよい。
　次いで、制御部１０１は、ステップＳ５０４又はＳ５０５で設定した判定閾値を用いて、不正認証の有無を判定する（ステップＳ５０６）。ここでは、制御部１０１は、公知の手法を用いて、リレーアタックを用いた携帯機２００の不正認証の有無を判定する。例えば、制御部１０１は、ＲＦ受信部１０７にて受信したＲＦ信号の信号強度が判定閾値（第１判定閾値ＴＨ１又は第２判定閾値ＴＨ２）よりも高い場合、不正認証ありと判断することができる。
　不正認証ありと判定した場合（Ｓ５０６：ＹＥＳ）、制御部１０１は、エンジンの始動を禁止する（ステップＳ５０７）。この場合、制御部１０１は、エンジンスタータ１２１の動作を制御する制御信号の出力を行わずに、本フローチャートによる処理を終了する。
　一方、ステップＳ５０６で不正認証なしと判定した場合（Ｓ５０６：ＮＯ）、制御部１０１は、エンジンの始動を許可する（ステップＳ５０８）。この場合、制御部１０１は、エンジンスタータ１２１の動作を制御する制御信号を出力部１０４から出力し、車両Ｃのエンジンを始動させる。
　以上のように、本実施の形態では、正当な乗員を検知した場合、不正認証ありと判定され難くなるように判定閾値を設定することができ、正当な乗員が所持する携帯機からの信号を誤ってリレーアタックと判定する可能性が少なくなる。
　今回開示された実施の形態は、全ての点で例示であって、制限的なものではないと考えられるべきである。本発明の範囲は、上述した意味ではなく、請求の範囲によって示され、請求の範囲と均等の意味及び範囲内での全ての変更が含まれることが意図される。
　１００　車載制御装置
　１０１　制御部
　１０２　記憶部
　１０３　入力部
　１０４　出力部
　１０５　車内通信部
　１０６　ＬＦ送信部
　１０６ａ～１０６ｅ　ＬＦ送信アンテナ
　１０７　ＲＦ受信部
　１０７ａ　ＲＦ受信アンテナ
　１１１　エンジン始動スイッチ
　１１２　ドアロックスイッチ
　１２１　エンジンスタータ
　１２２　ドアロック機構
　２００　携帯機
　２０１　制御部
　２０２　記憶部
　２０３　操作部
　２０４　ＬＦ受信部
　２０４ａ　ＬＦ受信アンテナ
　２０５　ＲＦ送信部
　２０５ａ　ＲＦ送信アンテナ

Claims (11)

  1. 　車両を走行させる駆動源の始動を指示する操作に応じて、携帯機に対して応答を要求する応答要求信号を送信する送信部と、前記応答要求信号に対する前記携帯機からの応答信号に基づき、前記携帯機を認証する認証部とを備え、該認証部による認証の成否に応じて前記駆動源の始動制御を行う車載制御装置であって、
    　前記認証部に対する不正認証の有無を判定する判定部と、
    　前記車両の正当な乗員を検知する検知部と、
    　前記認証部に対する不正認証ありと前記判定部が判定した場合、前記駆動源の始動を禁止する始動禁止部と、
    　前記検知部が前記乗員を検知した場合、前記判定部の判定に関わらずに、前記駆動源の始動を許可する始動許可部と
    　を備える車載制御装置。
  2. 　前記車両のドアの解錠を指示する操作に応じて携帯機から送信される制御信号を受信する受信部と、
    　該受信部にて受信した制御信号に基づき、前記ドアの解錠制御を行う解錠制御部と
    　を備え、
    　前記検知部は、前記解錠制御部の解錠制御によって前記ドアが解錠された場合、前記乗員を検知したと判断する
    　請求項１に記載の車載制御装置。
  3. 　前記検知部が前記乗員を検知した場合、前記判定部は、前記不正認証の有無の判定を行わないようにしてある
    　請求項１又は請求項２に記載の車載制御装置。
  4. 　前記検知部が前記乗員を検知してから設定時間が経過した場合、前記判定部は、前記不正認証の有無の判定を再開する
    　請求項３に記載の車載制御装置。
  5. 　前記検知部が前記乗員を検知した後に、予め定められた操作を受け付けた場合、前記判定部は、前記不正認証の有無の判定を再開する
    　請求項３に記載の車載制御装置。
  6. 　前記検知部が前記乗員を検知した場合、前記始動許可部は、前記判定部にて不正認証ありとの判定結果が得られた場合であっても、前記駆動源の始動を許可する
    　請求項１又は請求項２に記載の車載制御装置。
  7. 　車両を走行させる駆動源の始動を指示する操作に応じて、携帯機に対して応答を要求する応答要求信号を送信する送信部と、前記応答要求信号に対する前記携帯機からの応答信号に基づき、前記携帯機を認証する認証部とを備え、該認証部による認証の成否に応じて前記駆動源の始動制御を行う車載制御装置であって、
    　前記車両の正当な乗員を検知する検知部と、
    　前記認証部に対する不正認証の有無を判定する判定部と、
    　前記認証部に対する不正認証ありと前記判定部が判定した場合、前記駆動源の始動を禁止する始動禁止部と
    　を備え、
    　前記検知部が前記乗員を検知した場合と、前記検知部が乗員を検知していない場合とで、前記判定部が用いる判定閾値を異ならせる
    　車載制御装置。
  8. 　車両を走行させる駆動源の始動を指示する操作に応じて、携帯機に対して応答を要求する応答要求信号を送信し、前記応答要求信号に対する前記携帯機からの応答信号に基づき、前記携帯機を認証する認証処理を実行し、該認証処理による認証の成否に応じて前記駆動源の始動制御を行う車載制御方法であって、
    　前記認証処理に対する不正認証の有無を判定し、
    　前記車両の正当な乗員を検知し、
    　前記認証処理に対する不正認証ありと判定した場合、前記駆動源の始動を禁止し、
    　前記乗員を検知した場合、前記不正認証の有無の判定に関わらずに、前記駆動源の始動を許可する
    　車載制御方法。
  9. 　車両を走行させる駆動源の始動を指示する操作に応じて、携帯機に対して応答を要求する応答要求信号を送信し、前記応答要求信号に対する前記携帯機からの応答信号に基づき、前記携帯機を認証する認証処理を実行し、該認証処理による認証の成否に応じて前記駆動源の始動制御を行う車載制御方法であって、
    　前記車両の正当な乗員を検知し、
    　前記乗員を検知した場合と、前記乗員を検知していない場合とで、異なる判定閾値を設定し、
    　設定した判定閾値を用いて前記認証処理に対する不正認証の有無を判定し、
    　前記認証処理に対する不正認証ありと判定した場合、前記駆動源の始動を禁止する
    　車載制御方法。
  10. 　車両を走行させる駆動源の始動を指示する操作に応じて、携帯機に対して応答を要求する応答要求信号を送信し、前記応答要求信号に対する前記携帯機からの応答信号に基づき、前記携帯機を認証する認証処理を実行し、該認証処理による認証の成否に応じて前記駆動源の始動制御を行う処理を車載制御装置に実行させるためのコンピュータプログラムであって、
    　前記認証処理に対する不正認証の有無を判定し、
    　前記車両の正当な乗員を検知し、
    　前記認証処理に対する不正認証ありと判定した場合、前記駆動源の始動を禁止し、
    　前記乗員を検知した場合、前記不正認証の有無の判定に関わらずに、前記駆動源の始動を許可する
    　処理を前記車載制御装置に実行させるためのコンピュータプログラム。
  11. 　車両を走行させる駆動源の始動を指示する操作に応じて、携帯機に対して応答を要求する応答要求信号を送信し、前記応答要求信号に対する前記携帯機からの応答信号に基づき、前記携帯機を認証する認証処理を実行し、該認証処理による認証の成否に応じて前記駆動源の始動制御を行う処理を車載制御装置に実行させるためのコンピュータプログラムであって、
    　前記車両の正当な乗員を検知し、
    　前記乗員を検知した場合と、前記乗員を検知していない場合とで、異なる判定閾値を設定し、
    　設定した判定閾値を用いて前記認証処理に対する不正認証の有無を判定し、
    　前記認証処理に対する不正認証ありと判定した場合、前記駆動源の始動を禁止する
    　処理を前記車載制御装置に実行させるためのコンピュータプログラム。
PCT/JP2019/038461 2018-10-19 2019-09-30 車載制御装置、車載制御方法及びコンピュータプログラム WO2020080076A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN201980067171.7A CN112839844B (zh) 2018-10-19 2019-09-30 车载控制装置、车载控制方法及计算机程序
US17/286,357 US11993226B2 (en) 2018-10-19 2019-09-30 On-vehicle control device, on-vehicle control method and computer program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2018197808A JP7125323B2 (ja) 2018-10-19 2018-10-19 車載制御装置、車載制御方法及びコンピュータプログラム
JP2018-197808 2018-10-19

Publications (1)

Publication Number Publication Date
WO2020080076A1 true WO2020080076A1 (ja) 2020-04-23

Family

ID=70284499

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/038461 WO2020080076A1 (ja) 2018-10-19 2019-09-30 車載制御装置、車載制御方法及びコンピュータプログラム

Country Status (4)

Country Link
US (1) US11993226B2 (ja)
JP (1) JP7125323B2 (ja)
CN (1) CN112839844B (ja)
WO (1) WO2020080076A1 (ja)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2020137929A1 (ja) * 2018-12-25 2020-07-02 住友電気工業株式会社 車載伝送システム
JP7414648B2 (ja) * 2020-06-05 2024-01-16 株式会社東海理化電機製作所 制御装置および制御方法
JP2023048861A (ja) * 2021-09-28 2023-04-07 トヨタ自動車株式会社 情報処理装置、情報処理方法、及びプログラム

Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010121297A (ja) * 2008-11-17 2010-06-03 Calsonic Kansei Corp スマートキーレスエントリシステム
JP2012060482A (ja) * 2010-09-10 2012-03-22 Denso Corp 制御システム
JP2012175518A (ja) * 2011-02-23 2012-09-10 Nippon Soken Inc スマートシステム
US20150302673A1 (en) * 2013-06-24 2015-10-22 Texas Instruments Incorporated Relay attack prevention for passive entry/passive start systems
JP2016003539A (ja) * 2014-06-19 2016-01-12 株式会社シブタニ 電気錠システム
WO2016059451A1 (en) * 2014-10-15 2016-04-21 Continental Automotive Gmbh Method and system for detecting relay attack for pase system
WO2017110207A1 (ja) * 2015-12-24 2017-06-29 株式会社デンソー 車載装置及び認証システム
JP2018020611A (ja) * 2016-08-01 2018-02-08 株式会社デンソー 車両ドア解錠装置
WO2018127353A1 (en) * 2017-01-09 2018-07-12 Jaguar Land Rover Limited Vehicle keyless entry systems

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20130099940A1 (en) * 2011-10-21 2013-04-25 Ford Global Technologies, Llc Method and Apparatus for User Authentication and Security
JP5783034B2 (ja) 2011-12-28 2015-09-24 株式会社デンソー 車両用認証装置
JP5880271B2 (ja) 2012-05-16 2016-03-08 株式会社デンソー 車両制御装置
JP2015101908A (ja) * 2013-11-27 2015-06-04 アルプス電気株式会社 キーレスエントリシステム
CN107109860B (zh) * 2014-07-25 2019-04-23 株式会社自动网络技术研究所 车载通信系统及车载设备
JP2017203314A (ja) 2016-05-12 2017-11-16 トヨタ自動車株式会社 無線通信システム

Patent Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010121297A (ja) * 2008-11-17 2010-06-03 Calsonic Kansei Corp スマートキーレスエントリシステム
JP2012060482A (ja) * 2010-09-10 2012-03-22 Denso Corp 制御システム
JP2012175518A (ja) * 2011-02-23 2012-09-10 Nippon Soken Inc スマートシステム
US20150302673A1 (en) * 2013-06-24 2015-10-22 Texas Instruments Incorporated Relay attack prevention for passive entry/passive start systems
JP2016003539A (ja) * 2014-06-19 2016-01-12 株式会社シブタニ 電気錠システム
WO2016059451A1 (en) * 2014-10-15 2016-04-21 Continental Automotive Gmbh Method and system for detecting relay attack for pase system
WO2017110207A1 (ja) * 2015-12-24 2017-06-29 株式会社デンソー 車載装置及び認証システム
JP2018020611A (ja) * 2016-08-01 2018-02-08 株式会社デンソー 車両ドア解錠装置
WO2018127353A1 (en) * 2017-01-09 2018-07-12 Jaguar Land Rover Limited Vehicle keyless entry systems

Also Published As

Publication number Publication date
JP2020063022A (ja) 2020-04-23
CN112839844B (zh) 2023-02-28
US20210370870A1 (en) 2021-12-02
CN112839844A (zh) 2021-05-25
JP7125323B2 (ja) 2022-08-24
US11993226B2 (en) 2024-05-28

Similar Documents

Publication Publication Date Title
US9761075B2 (en) Smart key system
JP5425446B2 (ja) スマートキーレスエントリシステム
JP6451622B2 (ja) 車載装置及び認証システム
WO2015107609A1 (ja) 制御システム
US9786110B2 (en) On-vehicle apparatus control system and on-vehicle control device
WO2020080076A1 (ja) 車載制御装置、車載制御方法及びコンピュータプログラム
JP5432192B2 (ja) 電子キーシステム
JP6540570B2 (ja) 車両ドア解錠システム及び車載制御装置
US12096212B2 (en) Unauthorized communication prevention system and unauthorized communication prevention method
JP2018021338A (ja) 車両用制御装置
EP3640880B1 (en) Vehicular control system
JP2020029715A (ja) 認証システム及び認証方法
KR102192457B1 (ko) 차량 탑재 통신 장치 및 통신 방법
JP2018053489A (ja) スマートキーシステム
WO2019116923A1 (ja) 車載制御装置、車載制御システム、車載制御方法及びコンピュータプログラム
JP2013100717A (ja) スマートキーレスエントリシステム
JP2020082856A (ja) 車載制御装置、車載制御方法及びコンピュータプログラム
JP5502769B2 (ja) 電子キーシステム
WO2019116924A1 (ja) 車載制御装置、車載制御方法及びコンピュータプログラム
JP2020093627A (ja) 車載制御装置、車載制御方法及びコンピュータプログラム
WO2020054333A1 (ja) 制御装置及び車両セキュリティシステム
JP2023129010A (ja) 車両用電子キーシステム
JP2023048861A (ja) 情報処理装置、情報処理方法、及びプログラム
WO2018043108A1 (ja) 通信システム及び携帯機
JP2020127134A (ja) 通信システム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19874473

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19874473

Country of ref document: EP

Kind code of ref document: A1