(57)【要約】【課題】外部ツールによって車両制御装置が不正動作させられることを防ぐ。【解決手段】携帯機（１）は、ユーザの入力操作に応じて、ローリングコード（３１）と機能コードとを含む第１信号を車両制御装置（２）へ送信する第１信号生成部（１１）と、第１信号を送信した後に、ローリングコード（３１）を含むが機能コードを含まない第２信号を車両制御装置（２）へ送信する第２信号生成部（１２）と、第１信号を送信する度、および、第２信号を送信する度に、機能コードの数値を大きい数値に変更する、または、機能コードの符号列を順序が後の符号列に変更するコード更新部（１３）と、を備える。【選択図】図１
2020023854.tif 000002
【特許請求の範囲】
【請求項１】
数値、または、順序が定められた複数の符号列から選択される符号列を含む識別コードに基づいて受信信号が正当か否かを判定する車両制御装置であり、正当な信号に含まれる制御要求に従って所定の制御を行う車両制御装置に対して、信号を送信する携帯機であって、
ユーザの入力操作に応じて、前記識別コードと、前記制御要求と、を含む第１信号を前記車両制御装置へ送信する第１送信部と、
前記第１送信部が前記第１信号を送信した後に、前記識別コードを含むが前記制御要求を含まない第２信号を前記車両制御装置へ送信する第２送信部と、
前記第１信号を送信する度、および、前記第２信号を送信する度に、前記数値を大きい数値に変更する、または、前記符号列を前記順序が後の符号列に変更する、識別コード変更部と、を備えることを特徴とする、携帯機。
【請求項２】
前記第２送信部は、前記第１送信部が前記第１信号を送信した後、前記第２信号を２回以上連続して送信することを特徴とする、請求項１に記載の携帯機。
【請求項３】
前記所定の制御は車両のドアの錠機構の解錠または施錠であり、
前記第１送信部は、前記錠機構に対する解錠または施錠の要求を前記制御要求として含んだ前記第１信号を送信することを特徴とする、請求項１または２に記載の携帯機。
【請求項４】
請求項１〜３のいずれか１項に記載の携帯機から信号を受信する受信部と、
前記受信部が受信した信号が正当か否かを判定する正否判定部と、
前記正否判定部が前記第１信号を正当であると判定した場合、前記第１信号に含まれる前記制御要求に応じて所定の制御を行う制御実行部と、を備え、
前記正否判定部は、前記受信部が受信した信号に含まれている前記識別コードが、前回正当であると判定した信号に含まれていた識別コードよりも数値が小さい、または、前記符号列の順序が前である識別コードであった場合、前記受信した信号は不正な信号であると判定することを特徴とする、車両制御装置。
【請求項５】
請求項１〜３のいずれか１項に記載の携帯機と、
請求項４に記載の車両制御装置と、
前記車両制御装置によって制御される車両負荷と、を含む、制御システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、正当な信号に含まれる制御要求に従って動作する車両制御装置に対して信号を送信する携帯機等に関する。
【背景技術】
【０００２】
従来から、キーレスエントリー（ＲＫＥ）システムを搭載した車両が開発されている。キーレスエントリーシステムは、ユーザの所持するリモコンと、車両制御装置と、車両の錠機構とから成る。車両制御装置はリモコンからの信号（キーレス信号）を受け付け、該信号に含まれている要求に従って、錠機構を制御（解錠または施錠）する。キーレス信号には認証用の種々のコードが含まれており、車両制御装置は、該コードに基づいて正当であると認証した信号の解錠要求または施錠要求のみに従って動作する。
【０００３】
ところが、近年、ＲＫＥシステムを搭載した車両の錠機構を不正に解錠し、該車両を盗むという犯罪（所謂、「ロールジャム」）が発生している。そして、ロールジャム対策として、種々の技術が開発されている。
【０００４】
例えば、特許文献１には、車載機におけるコードの照合（第１照合）時に、携帯機側ローリングコードを第１の値だけ更新し、第１照合完了後のエンジン始動時の第２照合でも照合が成立した場合に、第１の値より大きな第２の値だけ更新する技術が記載されている。また、特許文献２には、ＲＫＥシステムに係る制御信号の出力とは異なる要因によりドアロック装置の解錠や施錠が実行された場合、車両制御装置の保持しているコードの順番を先に進めることにより、後から不正取得された認証情報を受信した場合に、該情報を正当でないと判定する技術が記載されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１７−１４５５６９号公報（２０１７年８月２４日公開）
【特許文献２】特開２０１７−１２８９１３号公報（２０１７年７月２７日公開）
【発明の概要】
【発明が解決しようとする課題】
【０００６】
ロールジャムによるキーレス信号の不正取得は、ユーザがリモコンを操作するあらゆる場面で起こり得る。ところが、前記特許文献１および２に記載の発明は、ロールジャムが起こり得る場面のうち、限定的な場面でのみ有効な防止策である。
【０００７】
例えば、特許文献１に記載の発明では、ＲＫＥシステムだけで車両の解錠および施錠を行う場合、ロールジャムを防止できないという問題がある。特許文献１に記載の発明では、ＲＫＥシステムを利用して施錠した後、物理キーでの解錠またはオートロックによる施錠等、ＲＫＥシステムとは別の解錠または施錠の制御が行われることが前提となっているからである。
【０００８】
また例えば、特許文献２に記載の発明では、ユーザが車のドアを施錠する場面でのロールジャムには対応できないという問題がある。特許文献２に記載の発明は、車両の解錠後、ブレーキペダルの踏込等をトリガとして第２照合を行い、該第２照合が成立した時に、キーレス信号に含まれるコードを更新するからである。
【０００９】
本発明の一態様は、前記問題点に鑑みたものであり、外部ツールによって車両制御装置が不正動作させられることを防ぐことが可能な携帯機等を実現することを目的とする。
【課題を解決するための手段】
【００１０】
前記の課題を解決するために、本発明の一態様に係る携帯機は、数値、または、順序が定められた複数の符号列から選択される符号列を含む識別コードに基づいて受信信号が正当か否かを判定する車両制御装置であり、正当な信号に含まれる制御要求に従って所定の制御を行う車両制御装置に対して、信号を送信する携帯機であって、ユーザの入力操作に応じて、前記識別コードと、前記制御要求と、を含む第１信号を前記車両制御装置へ送信する第１送信部と、前記第１送信部が前記第１信号を送信した後に、前記識別コードを含むが前記制御要求を含まない第２信号を前記車両制御装置へ送信する第２送信部と、前記第１信号を送信する度、および、前記第２信号を送信する度に、前記数値を大きい数値に変更する、または、前記符号列を前記順序が後の符号列に変更する、識別コード変更部と、を備える。
【発明の効果】
【００１１】
本発明の一態様によれば、外部ツールによって車両制御装置が不正動作させられることを防ぐことができる。
【図面の簡単な説明】
【００１２】
【図１】本発明の実施形態１に係る制御システムに含まれる携帯機および車両制御装置の要部構成を示すブロック図である。
【図２】信号のデータ構造の一例を示す図である。
【図３】前記携帯機の処理の流れを示すフローチャートである。
【図４】前記車両制御装置の処理の流れを示すフローチャートである。
【図５】前記車両制御装置における認証処理の流れを示すフローチャートである。
【図６】前記携帯機と前記車両制御装置との信号の送受信の流れを示すシーケンス図である。
【図７】ユーザが車のドアを施錠する場合のロールジャムの手口を示す図である。
【発明を実施するための形態】
【００１３】
〔実施形態１〕
（制御システムの概要）
以下、本発明の一実施形態について、詳細に説明する。本発明に係る制御システムは、少なくとも、車両負荷と、該車両負荷を制御する車両制御装置と、該車両制御装置と無線通信する携帯機であって、該車両制御装置に対して指示（要求）を送信する携帯機と、を含む。
【００１４】
本発明に係る制御システムは、例えば、車の錠機構のキーレスエントリー（ＲＫＥ）システムに適用可能である。近年、ＲＫＥシステムの動作を逆手にとって、ＲＫＥシステムに対応した車両の錠機構を不正に解錠する、所謂ロールジャムという犯罪が発生している。
【００１５】
図７は、ユーザが車のドアを施錠する場合のロールジャムの手口を示す図である。図７の（ａ）は、ユーザが車両を駐車場等に停めた後、リモコンを該車両に向けて１回操作した場合の各装置の動作を示している。ユーザのリモコン操作に応じて、リモコンは車両（より厳密には、車両内部の車両制御装置）に対して、キーレス信号（１回目）を送信する。車両を盗もうとする犯罪者は、外部ツールを用いて、この１回目のキーレス信号を不正取得する。
【００１６】
より詳しくは、外部ツールは、妨害電波を発信することで、車両制御装置におけるキーレス信号の受信を妨害する。また、外部ツールは妨害電波の発信とともに、該キーレス信号を取得および記憶する。これにより、外部ツールには１回目のキーレス信号が記憶された状態となる。車両制御装置はキーレス信号を受信していないため、当然ながら、車両は施錠されない。見かけ上ではキーレス信号の不正取得は分からないため、ユーザはキーレス信号が不正取得されたことには気づかず、再度リモコンを操作し車両の施錠を試みる。
【００１７】
図７の（ｂ）は、ユーザがリモコンを再度操作した場合の各装置の動作を示している。図示の通り、外部ツールは２回目のキーレス信号についても妨害電波の発信と、該２回目のキーレス信号の取得とを行う。そして、外部ツールは、前回取得した１回目のキーレス信号を、２回目のキーレス信号の代わりに車両に送信する。車両制御装置は、該１回目のキーレス信号を受信する。このキーレス信号自体は、元々携帯機１から発信された正規の信号であるため、車両制御装置は該キーレス信号を認証して、該キーレス信号に従って車両を施錠する。これにより、見かけ上は、２回目のユーザのリモコン操作に応じて車両が施錠されたように見える。したがって、ユーザは２回目のキーレス信号が不正取得されたことにも気づかずに、車両から離れる。
【００１８】
図７の（ｃ）は、ユーザが車両の近傍から立ち去った後の、各装置の動作を示している。ユーザが立ち去った後、犯罪者は外部ツールに対し所定の操作（例えば、キーレス信号送信を指示するボタンの押下）を行う。外部ツールは該操作を受け付けると、記憶していた２回目のキーレス信号を送信する。車両制御装置は該２回目のキーレス信号を受信し、錠機構を解錠する。これにより、ユーザの居ない所で、車両の鍵を不正解錠することができる。
【００１９】
本発明に係る制御システムは、特にこのロールジャムによる車両の不正解錠および施錠の防止に有効である。以下、図１〜６を用いて、本発明の一実施形態に係る、各種装置の構成および処理について説明する。
【００２０】
（要部構成）
図１は、本実施形態に係る制御システム５００に含まれる携帯機１および車両制御装置２の要部構成を示すブロック図である。同図では、車両負荷の一例として、錠機構３を併せて図示している。
【００２１】
（携帯機１の要部構成）
携帯機１は、車両制御装置２に信号を送信する装置である。携帯機１の具体例としては、例えばリモコン、携帯電話、スマートフォン、タブレットＰＣ（personal computer）等の、ユーザが持ち運び可能な端末装置が挙げられる。携帯機１は、制御部１０、入力部２０、記憶部３０、および通信部４０を備えている。
【００２２】
入力部２０は、ユーザの入力操作を受け付ける。入力部２０は例えば携帯機１の物理ボタンまたはタッチパネルで実現される。携帯機１は、車両制御装置２に対する指示内容に応じて複数の入力部２０を備えていてもよい。例えば、携帯機１は入力部２０として、施錠を指示するためのボタンであるロックボタンと、解錠を指示するためのボタンであるアンロックボタンとを備えていてもよい。入力部２０はユーザの入力操作を制御部１０に伝える。
【００２３】
記憶部３０は、携帯機１が使用する各種データを記憶する。記憶部３０は少なくとも、ローリングコード（識別コード）３１を記憶している。ローリングコード３１は、数値、または、順序が定められた複数の符号列から選択される符号列を含む。
【００２４】
例えば、ローリングコード３１は所定桁数の数値であってもよいし、数字、記号、および文字から構成される所定数の符号列に順序付けをしたリスト（符号列リスト）から選択される符号列であってもよい。また、ローリングコード３１はランダム生成されるランダムコードに、前記数値または前記符号列を付したものであってもよい。なお、ローリングコード３１が前記符号列を含む場合、記憶部３０は該符号列リストも記憶している。
【００２５】
記憶部３０は、ローリングコード３１の他に、各種信号を生成するために必要なデータを記憶していてもよい。例えば、記憶部３０は各種信号の同期コード、機能コード、および認証用データを記憶していてもよい。これらのデータについては、後で詳述する。
【００２６】
制御部１０は、携帯機１を統括的に制御する。制御部１０は入力部２０から伝えられたユーザの入力操作について、指示内容（例えば、施錠の指示か解錠の指示か）を特定し、該指示に応じて携帯機１の各部を制御する。制御部１０は、第１信号生成部（第１送信部）１１、第２信号生成部（第２送信部）１２、およびコード更新部（識別コード変更部）１３を含む。
【００２７】
第１信号生成部１１は、第１信号を生成して送信する。制御部１０が入力部２０から伝えられた入力操作が所定の入力操作（例えば、所定のボタンの押下）であった場合、制御部１０は第１信号生成部１１に信号の生成を指示する。第１信号生成部１１は、記憶部３０からローリングコード３１と、第１信号の生成に必要な各種データとを読み出して、第１信号を生成する。第１信号生成部１１は生成した信号を、通信部４０を介して車両制御装置２に送信する。
【００２８】
コード更新部１３は、ローリングコード３１の数値または符号列を更新する。コード更新部１３は、第１信号生成部１１または第２信号生成部１２から信号を送信した旨を通知されると、ローリングコード３１（またはローリングコード３１の一部の数値または符号列）を、大きい数値、または、符号列リストにおける順序が後の符号列に変更する。以降、ローリングコード（ローリングコード３１または後述するローリングコード７１）の数値または符号列を大きい数値、または、符号列リストにおける順序が後の符号列に変更することを、「ローリングコードをインクリメント（増加）する」と称する。
【００２９】
換言すると、コード更新部１３は、第１信号生成部１１が第１信号を送信する度、および、第２信号生成部１２が第２信号を送信する度に、ローリングコード３１をインクリメントする。コード更新部１３はローリングコード３１のインクリメントが完了すると、該インクリメントが完了した旨を第２信号生成部１２に通知する。
【００３０】
第２信号生成部１２は、第２信号を生成して送信する。第２信号生成部１２は、コード更新部１３からインクリメントの完了を通知されると、記憶部３０からローリングコード３１（すなわち、インクリメント後のローリングコード）と、第２信号の生成に必要な各種データとを読み出して、第２信号を生成する。第２信号生成部１２は生成した第２信号を、通信部４０を介して車両制御装置２に送信する。第２信号生成部１２は、第２信号の生成および送信を、所定回数だけ繰り返す。
【００３１】
通信部４０は、第１信号生成部１１から受信した第１信号、および第２信号生成部１２から受信した第２信号を、無線通信で車両制御装置２に送信する。無線通信の帯域および方式は特に限定しないが、例えばUHF（Ultra High Frequency）帯の帯域で無線通信を行うことができる。
【００３２】
（信号のデータ構成）
次に、第１信号および第２信号のデータ構造について図２を用いて説明する。図２は、信号のデータ構造の一例を示す図である。図２の（ａ）は第１信号のデータ構造の一例を示している。一方、図２の（ｂ）は第２信号のデータ構造の一例を示している。
【００３３】
第１信号は、例えば、同期コードと、機能コードと、認証用データと、ローリングコードと、を含む。一方、第２信号は、第１信号に含まれる各種データのうち、機能コード以外のデータを含む。
【００３４】
同期コードは、携帯機１と車両制御装置２との間で通信の同期をとるための符号列である。外部ツールは同期コードを検知したことをトリガとして妨害電波の発信、およびキーレス信号の不正取得の試行を開始する場合がある。機能コードは、携帯機１に対する制御のリクエスト（制御要求）を示す符号列である。
【００３５】
外部ツールは、キーレス信号の同期コードを検知してから、さらに該キーレス信号に機能コードが含まれているか否かを検知する場合がある。例えば、キーレス信号に機能コードが含まれている場合は妨害電波の発信およびキーレス信号の不正取得の試行を継続し、機能コードが含まれていない場合は妨害電波の発信およびキーレス信号の不正取得の試行を継続する外部ツールが存在し得る。機能コードの一例として、施錠要求および解錠要求等が挙げられる。認証用データは、携帯機１の識別子（装置のＩＤ等）、および携帯機１と車両制御装置２との間で取り決められる暗号の演算結果等、携帯機１が正規の携帯機であることを確認するためのデータである。ローリングコードは、記憶部３０から読み出されたローリングコードである。
【００３６】
（車両制御装置２の要部構成）
車両制御装置２は、携帯機１からの受信信号の正否を判定する装置である。また、車両制御装置２は、正当であると判定した信号に機能コードが含まれている場合、該機能コードに従って動作する。本実施形態における車両制御装置２は、車両１００に搭載された車載装置である。また、車両制御装置２が制御する対象である錠機構３は、車両１００のドアの錠機構である。車両制御装置２は、通信部５０と、制御部６０と、記憶部７０とを含む。
【００３７】
通信部（受信部）５０は、携帯機１の通信部４０が送信した第１信号および第２信号を受信する。詳しくは後述するが、通信部５０は、携帯機１以外（例えば、外部ツール）が送信した第１信号および第２信号も受信し得る。
【００３８】
制御部６０は、車両制御装置２を統括的に制御する。制御部６０は、認証部（正否判定部）６１、コード更新部６２、および錠機構制御部（制御実行部）６３を含む。
【００３９】
認証部６１は、受信した信号が正当な信号であるか否かを判定し、正当な信号である場合、該信号を認証する。具体的には、受信した信号に含まれているローリングコードが、記憶部７０に記憶されているローリングコード７１よりも数値が大きい、または符号列の順序が後であった場合、認証部６１は、該信号は正当な信号であると判定する。一方、受信した信号に含まれているローリングコードが、ローリングコード７１よりも数値が小さい、または符号の順序が前であった場合、認証部６１は、該信号は不正な信号であると判定する。認証部６１は判定結果（すなわち、認証可否）をコード更新部６２および錠機構制御部６３に通知する。
【００４０】
コード更新部６２は、信号が認証された場合、記憶部７０のローリングコード７１を更新する。より具体的には、コード更新部６２は、ローリングコード７１を、認証された信号に含まれているローリングコードに書き替える。上述のように、認証された信号に含まれるローリングコードは、少なくともローリングコード７１よりも数値が大きい、または符号列の順序が後である。したがって、コード更新部６２は、ローリングコード７１を更新することで、ローリングコード７１をインクリメントする。
【００４１】
錠機構制御部６３は、認証された信号に機能コードが含まれているか否かを判定し、機能コードが含まれている場合、該機能コードに従って錠機構３を制御する。例えば、機能コードが施錠要求を示す場合、錠機構制御部６３は錠機構３を施錠させる。また例えば、機能コードが解錠要求を示す場合、錠機構制御部６３は錠機構３を解錠させる。
【００４２】
記憶部７０は、車両制御装置２が使用する各種データを記憶する。記憶部７０は少なくともローリングコード（識別コード）７１を記憶している。ローリングコード７１は、ローリングコード３１と同じ形式を有する。記憶部７０には、前回正当と判定されて認証された信号に含まれていたローリングコード（ローリングコード３１）が、ローリングコード７１として記憶される。なお、ローリングコード７１がローリングコード３１と同様に符号列リストから選択される符号列を含んでいる場合、記憶部７０は、記憶部３０と同じ符号列リストを記憶している。
【００４３】
（携帯機の処理の流れ）
図３は、携帯機１の処理の流れを示すフローチャートである。同図では、ユーザが携帯機１に対して１回入力操作（例えば、ボタンの押下）が行われた場合の処理の流れを示している。携帯機１の入力部２０がユーザの入力操作を受け付けると（Ｓ１０でＹＥＳ）、第１信号生成部１１は第１信号を生成する。第１信号生成部１１は生成した第１信号を、通信部４０を介して車両制御装置２へ送信する（Ｓ１２）。
【００４４】
第１信号生成部１１は、第１信号を送信した旨をコード更新部１３に通知する。コード更新部１３は第１信号生成部１１からの通知を受けると、記憶部３０のローリングコード３１をインクリメントする（Ｓ１４）。コード更新部１３は、ローリングコード３１のインクリメントが完了した旨を第２信号生成部１２に通知する。
【００４５】
第２信号生成部１２はコード更新部１３からの通知を受けると、Ｓ１２における第１信号の送信後から数えて、第２信号を所定回数送信したか否かを判定する（Ｓ１６）。第１信号の送信直後は、第２信号は未送信である（Ｓ１６でＮＯ）。この場合、第２信号生成部１２は第２信号を生成する。第２信号生成部１２は生成した第２信号を、通信部４０を介して車両制御装置２へ送信する（Ｓ１８）。第２信号生成部１２は、第２信号を送信した旨をコード更新部１３に通知する。
【００４６】
コード更新部１３は、第２信号生成部１２からの通知を受けると、ローリングコード３１をインクリメントする（Ｓ２０）。コード更新部１３は、ローリングコード３１のインクリメントが完了した旨を第２信号生成部１２に通知する。
【００４７】
第２信号生成部１２はコード更新部１３からの通知を受けると、再びＳ１６の判定を行う。以下、第２信号生成部１２およびコード更新部１３は、第２信号を所定回数送信するまで、Ｓ１６〜Ｓ２０の処理を繰り返す。第２信号を所定回数送信した場合（Ｓ１６でＹＥＳ）、第２信号生成部１２は第２信号の送信を終了し、携帯機１における処理が完了する。
【００４８】
（車両制御装置の処理の流れ）
図４は、車両制御装置２の処理の流れを示すフローチャートである。同図では、車両制御装置２が１回信号（第１信号または第２信号）を受信した場合の処理の流れを示している。車両制御装置２の通信部５０が信号を受信すると（Ｓ４０）、制御部６０の認証部６１は、認証処理を実行する（Ｓ４２）。
【００４９】
認証処理の結果、受信した信号が認証された（認証ＯＫであった）場合（Ｓ４４でＹＥＳ）、制御部６０のコード更新部６２は、記憶部７０のローリングコード７１をインクリメントする（Ｓ４６）。また、制御部６０の錠機構制御部６３は、認証された信号に、機能コードが含まれているか否かを判定する（Ｓ４８）。
【００５０】
認証された信号が第１信号である場合、該信号には機能コードが含まれている（Ｓ４８でＹＥＳ）。この場合、錠機構制御部６３は、該機能コードに従って錠機構を制御する（Ｓ５０）。一方、認証された信号が第２信号である場合、該信号には機能コードが含まれていない（Ｓ４８でＮＯ）。この場合、錠機構制御部６３は錠機構３の制御を行わない。また、車両制御装置２は以降の処理を行わず、処理を終了する。また、受信した信号が認証されなかった（認証ＮＧであった）場合も（Ｓ４４でＮＯ）、車両制御装置２は以降の処理を行わず、処理を終了する。
【００５１】
（認証処理）
図５は、車両制御装置２における認証処理（図４におけるＳ４２）の流れを示すフローチャートである。通信部５０が信号を受信すると、認証部６１は、該信号の認証用データおよび機能コードが正しいか否かを判定する（Ｓ６０）。例えば、認証部６１は、認証用データに含まれる識別子を確認し、該識別子が、車両制御装置２が対応している携帯機１の識別子である場合に、認証用コードが正しいと判定する。また例えば、認証部６１は、機能コードの符号列が、車両制御装置２が読み取りおよび実行可能な形式である場合、機能コードが正しいと判定する。
【００５２】
信号の認証用データおよび機能コードが正しい場合（Ｓ６０でＹＥＳ）、認証部６１はさらに、受信した信号のローリングコードが、自装置の記憶部７０に記憶しているローリングコード７１（すなわち、前回受信した信号に含まれていたローリングコード）以上か否かを判定する（Ｓ６２）。受信した信号のローリングコードが、ローリングコード７１以上である場合（Ｓ６２でＹＥＳ）、認証部６１はさらに、受信した信号のローリングコードと、ローリングコード７１との差が、所定値以下であるか否かを判定する（Ｓ６３）。受信した信号のローリングコードと、ローリングコード７１との差が所定値以下である場合（Ｓ６３でＹＥＳ）、認証部６１は受信した信号が正当な信号であると判定し、該信号を認証する（認証ＯＫ、Ｓ６４）。
【００５３】
一方、信号の認証用データおよび機能コードが正しくない場合（Ｓ６０でＮＯ）、受信した信号のローリングコードがローリングコード７１より小さい場合（Ｓ６２でＮＯ）、または、受信した信号のローリングコードと、ローリングコード７１との差が所定値よりも大きい場合（Ｓ６３でＮＯ）、認証部６１は受信した信号が不当な信号であると判定して、該信号を認証しない（認証ＮＧ、Ｓ６６）。
【００５４】
（信号の送受信とローリングコードの更新）
図６は、携帯機１と車両制御装置２との信号の送受信の流れを示すシーケンス図である。以降のシーケンス図では、携帯機１のローリングコード３１は所定の整数Ｋから開始することとする。また、以降のシーケンス図では、車両制御装置２のローリングコード７１は、ローリングコード３１の開始値よりも１小さいＫ−１から開始することとする。また、以降のシーケンス図では、ローリングコードを単に「コード」とも表記する。
【００５５】
携帯機１は所定の入力操作を受け付けると（Ｓ１００）、第１信号（ローリングコード：Ｋ）を送信する（Ｓ１０２）。車両制御装置２は該信号を受信し（Ｓ１０４）、認証部６１において認証処理を行う。受信した信号のローリングコードはＫであり、ローリングコード７１の値よりも大きいため、認証部６１は該信号を認証ＯＫとする（Ｓ１０６）。そして、錠機構制御部６３は認証された第１信号の機能コードに従って、錠機構３の施錠を制御する（Ｓ１０８）。
【００５６】
ところで、携帯機１では、第１信号の送信後に、第２信号が所定回数（図示の例では、ｎ回）だけ生成されて送信され、車両制御装置２は各第２信号について認証処理を行う（Ｓ１１０〜Ｓ１２０）。また、携帯機１のコード更新部１３は信号を送信する度にローリングコード３１をインクリメントする。また、車両制御装置２のコード更新部６２は信号が認証される度に、ローリングコード７１をインクリメントする。
【００５７】
したがって、第２信号をｎ回送信した後のローリングコード３１はＫ＋（ｎ＋１）となる。また、第２信号をｎ回受信および認証した後のローリングコード７１は、Ｋ＋ｎとなる。なお、ｎ回送信された第２信号のうち、いずれかの第２信号の受信に失敗した場合でも、ローリングコード３１は常にローリングコード７１よりも大きい数値となる。そのため、携帯機１から送信される第１信号および第２信号は、通常の動作では、認証ＮＧとなることはない。
【００５８】
なお、携帯機１における第１信号の送信（Ｓ１０２）から第２信号の送信（Ｓ１１０）までの時間は、出来る限り短い方が好ましい。すなわち、本実施形態に係る携帯機１は、第１信号の送信直後に、遅滞なく１回目の第２信号を送信することが望ましい。Ｓ１０２からＳ１１０までの時間は、少なくとも、ユーザが携帯機１を操作してから車両１００の近傍から立ち去ることが可能な時間よりも短く設定される。
【００５９】
第２信号の生成および送信の回数は、２回以上であることが好ましい。通信環境が悪い場所等では、１回目に送信した第２信号を車両制御装置２が受信できない場合がある。第２信号を複数回送信することで、携帯機１は車両制御装置２に確実に第２信号を受信させることができる。また、詳しくは後述するが、１回目に送信した第２信号が外部ツール等で受信妨害されてしまうことがある。第２信号を複数回送信することで、いずれかの第２信号が車両制御装置２に届き受信される可能性を向上させることができる。すなわち、第２信号をより確実に車両制御装置２に受信させることができる。
【００６０】
また、第２信号の送信間隔は、短い方が好ましい。例えば、第２信号の送信間隔は１秒以下であることが望ましい。第２信号の送信間隔を短くすることで、１回目に送信した第２信号を車両制御装置２が受信できなかった場合でも、携帯機１を持ったユーザが車両１００の近傍から立ち去ってしまう前に、２回目の第２信号を車両制御装置２に向けて送信することができる。
【００６１】
以上を総合すると、携帯機１は、第１信号の送信後に連続して第２信号を送信することが望ましいといえる。
【００６２】
（ロールジャムを受けた場合の処理１）
次に、外部ツールによりロールジャムが試みられた場合の、携帯機１および車両制御装置２の動作について説明する。上述のように、ロールジャムの手口では、外部ツールで取得したキーレス信号を一旦記憶しておき、後で車両制御装置２に向けて送信することで、車両の解錠を試みるのが一般的である。つまり、外部ツールがキーレス信号を不正取得してから、そのキーレス信号を車両制御装置２に向けて再送信するまで、ある程度の時間が空くといえる。本発明に係る制御システム５００によれば、このタイムラグの間に携帯機１および車両制御装置２のローリングコードを増加させる、または進めることができるため、外部ツールによるロールジャムを防止することができる。
【００６３】
外部ツールは、例えば同期コード等を確認することで、キーレス信号の種別を特定して、該キーレス信号を選択的に不正取得できる場合がある。まず始めに、外部ツールが第１信号および第２信号の、いずれかを選択的に不正取得する構造である場合について説明する。
【００６４】
例えば、外部ツールが第１信号を選択的に不正取得する構造であるとする。この場合、外部ツールが発信する妨害電波により、車両制御装置２は第１信号を受信できない。しかしながら、車両制御装置２は、第１信号の後に送信される第２信号を受信することができる。すなわち、外部ツールによって第１信号が不正取得された場合、車両制御装置２における第１信号と第２信号との受信順序は入れ替わることになる。
【００６５】
車両制御装置２は受信した第２信号に応じてローリングコード７１をインクリメントするため、後で第１信号を受信した場合、受信した信号のローリングコードよりも、ローリングコード７１の方が大きくなる（図５のＳ６２でＮＯ）。したがって、車両制御装置２は該第１信号を不正な信号と判定し、認証しない。
【００６６】
このように、車両制御装置２は、受信した信号のローリングコードと、自身のローリングコード７１との比較に基づいて、本来の信号の受信順序が入れ替わった場合、後から送信された第１信号を認証しないようにすることができる。これにより、携帯機１および車両制御装置２は、外部ツールによって車両制御装置２が不正動作させられることを防ぐことができる。
【００６７】
なお、携帯機１の制御部１０は、第２信号生成部１２により第２信号を所定回数分だけ送信し終わるまでに、再び所定の入力操作が行われた場合、第２信号の送信回数をリセットするとともに、第２信号の送信を途中で（所定回数に到達する前に）終了してもよい。そして、第１信号生成部１１により第１信号を送信した後に、再び１回目から所定回数分だけ、第２信号を送信してもよい。
【００６８】
例えば、ユーザが携帯機１に連続して入力操作を行った場合等、第１信号が続けて２回以上送信される場合がある。制御部１０は、このような場合に、第１信号を送信し終わってから第２信号を所定回数分送信することにより、車両制御装置２におけるローリングコードを確実に増加させておくことができる。したがって、例え外部ツールによっていずれかの第１信号が不正取得されても、車両制御装置２においてその第１信号を認証しないようにすることができる。
【００６９】
（ロールジャムを受けた場合の処理２）
また例えば、外部ツールが第２信号を選択的に不正取得する構造であるとする。この場合、第２信号にはそもそも機能コードが含まれていないため、不正取得された第２信号が車両制御装置２に再送信されても、車両制御装置２は動作しない。つまり、第２信号では錠機構３の解錠も施錠もできない。したがって、ロールジャムは成功しない。
【００７０】
（ロールジャムを受けた場合の処理３）
外部ツールが第１信号も第２信号も妨害および不正取得する場合でも、本実施形態に係る制御システム５００は有効である。
【００７１】
上述の通り、１回目の第２信号は、第１信号の送信後に自動的に送信される。従って、外部ツールが第１信号も第２信号も不正取得する場合、外部ツールは第２信号しかストックしておくことができない。ロールジャムに用いられる一般的な外部ツールは、１つの信号しか記憶しておくことができず、新たな信号を不正取得した場合、前回取得した信号は押し出し方式で送信され消えてしまうからである。
【００７２】
携帯機１が今、第１信号を送信しているのか、それとも第２信号を送信しているのかは、見た目上分からない。そのため、外部ツールの使用者は、外部ツールに対し信号の不正取得の試行終了のタイミングを特定することができない。そのため、外部ツールは一旦第１信号を取得しても、その後に第２信号を捕捉および取得してしまい、第１信号を自装置のメモリに留めておくことができない。上述のように、車両制御装置２は第２信号を受信し認証はするが、該信号には機能コードは含まれないため、錠機構３は動作しない。したがって、ロールジャムは成功しない。
【００７３】
このような場合、第２信号は、機能コードを含む第１信号のダミー信号として機能しているともいえる。したがって、携帯機１および車両制御装置２は、外部ツールが同期コードに関わらず信号を妨害および不正取得する場合でも、外部ツールによる車両制御装置２の不正動作を防ぐことができる。
【００７４】
〔変形例〕
前記実施形態では、錠機構３を施錠する場面におけるロールジャムの防止について説明した。しかしながら、制御システム５００は、錠機構３を解錠する場面におけるロールジャムも防止することができる。
【００７５】
例えば、ユーザは車両１００を利用する際、携帯機１を操作する。携帯機１は車両１００の車両制御装置２に解錠のための第１信号を送信する。この第１信号（および、その後の再操作により送信される、２回目の第１信号）を外部ツールが不正取得した場合、外部ツールの使用者が車両を不正解錠する機会が訪れるのは、通常、ユーザが解錠した車両を利用した後に車両を施錠して去ったときである。
【００７６】
つまり、第１信号の不正取得から、該信号を用いて不正解錠を試みるまでに時間が経過する。携帯機１はこの間に、少なくとも１回は第２信号を車両制御装置２に送信しているため、車両制御装置２側のローリングコード７１は、外部ツールが保持している信号のローリングコードよりも大きくなる。したがって、外部ツールが保持している信号は車両制御装置２に送信しても認証されることはなく、よって不正解錠はできない。
【００７７】
前記実施形態では、錠機構３を解錠する場合の機能コード（解錠要求）と、錠機構３を施錠する場合の機能コード（施錠要求）とが同じである場合について説明した。しかしながら、制御システム５００に係る携帯機１の第１信号生成部１１および第２信号生成部１２は、錠機構３を解錠する場合と施錠する場合とで異なる機能コードを作成して、送信してもよい。
【００７８】
このように、解錠と施錠とで機能コードが異なる場合も、ロールジャムの手口は利用され得る。例えば、停車および施錠状態の車両を、ユーザが携帯機１を用いて解錠しようとした場合、外部ツールでこの解錠要求の機能コードが含まれた信号が不正取得される場合がある。解錠要求を含む信号が不正取得されると、ユーザは解錠が上手くいかなかったと認識して、再度携帯機１を操作して解錠を試みる。従来のＲＫＥシステムでは、この２回目の信号も不正取得された場合、外部ツールに解錠要求が保持された状態で車が解錠される。そのため、ユーザが解錠した車両を利用した後に車両を施錠して去った場合、後から外部ツールの使用者が車両を不正解錠することができる。
【００７９】
一方、制御システム５００に係る車両制御装置２は、認証した信号のローリングコードでローリングコード７１をインクリメントしていくため、後から小さいローリングコードを含む信号を受信しても、該信号を認証しない。したがって、上述のように、解錠要求を含む信号を不正取得された場合でも、車両制御装置２を不正に動作させられることを防ぐことができる。
【００８０】
車両制御装置２および錠機構３の用途は、上述した実施例に限定されない。例えば、車両制御装置２はおよび錠機構３は車載装置でなくてもよい。例えば、錠機構３は建物のドアの錠機構であってもよい。電子機器の電源のオンおよびオフを制御する機構であってもよい。そして、車両制御装置２はこれらの機構を制御する装置であってもよい。
【００８１】
また、車両制御装置２は、錠機構３以外の車両負荷を制御してもよい。例えば、車両制御装置２は、車両のドアの開閉機構を制御してもよい。この場合、第１信号に含まれる機能コードには、ドアを開くまたは閉じる制御動作のリクエストを含む。また例えば、車両制御装置２は、車両のエンジンの稼働および停止を制御してもよい。この場合、第１信号に含まれる機能コードには、エンジンを稼働させるまたは停止させる制御動作のリクエストが含まれる。また例えば、車両制御装置２は、車両のウェルカムライトの点灯および消灯を制御してもよい。この場合、第１信号に含まれる機能コードには、ウェルカムライトを点灯または消灯させる制御動作のリクエストが含まれる。
【００８２】
〔まとめ〕
本発明の態様１に係る携帯機（携帯機１）は、数値、または、順序が定められた複数の符号列から選択される符号列を含む識別コード（ローリングコード）に基づいて受信信号が正当か否かを判定する車両制御装置（車両制御装置２）であり正当な信号に含まれる制御要求（機能コード）に従って所定の制御を行う車両制御装置に対して、信号を送信する携帯機であって、ユーザの入力操作に応じて、前記識別コードと、前記制御要求と、を含む第１信号を前記車両制御装置へ送信する第１送信部（第１信号生成部１１）と、前記第１送信部が前記第１信号を送信した後に、前記識別コードを含むが前記制御要求を含まない第２信号を前記車両制御装置へ送信する第２送信部（第２信号生成部１２）と、前記第１信号を送信する度、および、前記第２信号を送信する度に、前記数値を大きい数値に変更する、または、前記符号列を前記順序が後の符号列に変更する、識別コード変更部（コード更新部１３）と、を備える。
【００８３】
制御要求を含んだ信号を不正取得する外部ツールが、従来から知られている。外部ツールの使用者は、ユーザの降車および乗車意思を見て、外部ツールを操作することにより、信号の不正取得を試みる。該使用者は、該外部ツールに不正取得させた信号を、後で車両制御装置に送信することで、車両制御装置を不正に操作することができた。
【００８４】
これに対し、前記の構成によれば、携帯機は、信号を送信する度に、該信号の識別コードを大きい数値、または順列が後の識別コードに変更する。換言すると、識別コードは携帯機からの信号の送信順序を示している。また、携帯機は、第１信号の送信後に第２信号を自動送信する。
【００８５】
外部ツールで第１信号が不正取得された場合、不正取得から該第１信号を再送信するまでに時間が空く。そのため、第１信号が不正取得された場合、車両制御装置における第１信号と第２信号との受信順序は入れ替わることになる。車両制御装置は識別コードに基づきこの受信順序の入れ替わりを検知し、入れ替わりが生じていた場合は不正な信号と判定することができる。したがって、前記の構成によれば、外部ツールによって車両制御装置が不正動作させられることを防ぐことができる。
【００８６】
また、外部ツールによって第２信号が不正取得されても、第２信号には制御要求が含まれていない。そのため、不正取得された第２信号が車両制御装置に再送信されても、車両制御装置は動作しない。したがって、前記の構成によれば、外部ツールによって車両制御装置が不正動作させられることを防ぐことができる。
【００８７】
本発明の態様２に係る携帯機は、前記態様１において、前記所定の制御は、前記第１送信部が前記第１信号を送信した後、前記第２信号を２回以上連続して送信してもよい。
【００８８】
前記の構成によれば、車両制御装置に第２信号をより確実に受信させることができる。
【００８９】
本発明の態様３に係る車両制御装置は、前記態様１または態様２において、  前記所定の制御は車両のドアの錠機構の解錠または施錠であり、前記第１送信部は、前記錠機構に対する解錠または施錠の要求を前記制御要求として含んだ前記第１信号を送信してもよい。
【００９０】
外部ツールを用いて、車載装置に対する解錠または施錠の要求を含む信号を不正に取得し、該信号を用いて車両のドアを不正に解錠する犯罪（所謂、ロールジャム）が、従来から存在する。前記の構成によれば、前記犯罪を防ぐことができる。
【００９１】
本発明の態様４に係る車両制御装置は、前記態様１から態様３のいずれか一態様に記載の携帯機から信号を受信する受信部（通信部４０）と、前記受信部が受信した信号が正当か否かを判定する正否判定部（認証部６１）と、前記正否判定部が前記第１信号を正当であると判定した場合、前記第１信号に含まれる前記制御要求に応じて所定の制御を行う制御実行部（錠機構制御部６３）と、を備え、前記正否判定部は、前記受信部が受信した信号に含まれている前記識別コードが、前回正当であると判定した信号に含まれていた識別コードよりも数値が小さい、または、前記符号列の順序が前である識別コードであった場合、前記受信した信号は不正な信号であると判定する。前記の構成によれば、前記態様１における携帯機と同様の効果を奏する。
【００９２】
本発明の態様５に係る制御システム（制御システム５００）は、前記態様１〜態様３のいずれか一態様に記載の携帯機（携帯機１）と、前記態様４に記載の車両制御装置（車両制御装置２）と、前記車両制御装置によって制御される車両負荷（錠機構３）と、を含む。前記の構成によれば、前記態様１における携帯機と同様の効果を奏する。
【００９３】
〔ソフトウェアによる実現例〕
携帯機１および車両制御装置２の制御ブロック（特に制御部１０および制御部６０）は、集積回路（ＩＣチップ）等に形成された論理回路（ハードウェア）によって実現してもよいし、ソフトウェアによって実現してもよい。
【００９４】
後者の場合、携帯機１および車両制御装置２は、各機能を実現するソフトウェアであるプログラムの命令を実行するコンピュータを備えている。このコンピュータは、例えば１つ以上のプロセッサを備えていると共に、前記プログラムを記憶したコンピュータ読み取り可能な記録媒体を備えている。そして、前記コンピュータにおいて、前記プロセッサが前記プログラムを前記記録媒体から読み取って実行することにより、本発明の目的が達成される。前記プロセッサとしては、例えばＣＰＵ（Central Processing Unit）を用いることができる。前記記録媒体としては、「一時的でない有形の媒体」、例えば、ＲＯＭ（Read Only Memory）等の他、テープ、ディスク、カード、半導体メモリ、プログラマブルな論理回路などを用いることができる。また、前記プログラムを展開するＲＡＭ（Random Access Memory）などをさらに備えていてもよい。また、前記プログラムは、該プログラムを伝送可能な任意の伝送媒体（通信ネットワークや放送波等）を介して前記コンピュータに供給されてもよい。なお、本発明の一態様は、前記プログラムが電子的な伝送によって具現化された、搬送波に埋め込まれたデータ信号の形態でも実現され得る。
【００９５】
本発明は上述した各実施形態に限定されるものではなく、請求項に示した範囲で種々の変更が可能であり、異なる実施形態にそれぞれ開示された技術的手段を適宜組み合わせて得られる実施形態についても本発明の技術的範囲に含まれる。
【符号の説明】
【００９６】
１  携帯機、１０  制御部、１１  第１信号生成部（第１送信部）、１２  第２信号生成部（第２送信部）、１３  コード更新部（識別コード変更部）、２０  入力部、３０  記憶部、３１  ローリングコード（識別コード）、４０  通信部、２  車両制御装置、５０  通信部（受信部）、６０  制御部、６１  認証部（正否判定部）、６２  コード更新部（制御実行部）、６３  錠機構制御部、７０  記憶部、７１  ローリングコード（識別コード）、３  錠機構（車両負荷）、１００  車両、５００  制御システム
【図１】
2020023854.tif 000003
【図２】
2020023854.tif 000004
【図３】
2020023854.tif 000005
【図４】
2020023854.tif 000006
【図５】
2020023854.tif 000007
【図６】
2020023854.tif 000008
【図７】
2020023854.tif 000009