(57)【特許請求の範囲】
【請求項１】
遠隔キーレス・エントリ・システム用のユーザ非依存型自動再同期の方法であって：
ディフォルト・チャレンジ・カウント窓を割り当てる段階；
第１送信機側記号カウントと第１コマンドとを含む第１データ・パケットを受信する段階；
前記第１受信データ・パケットを認証する段階；
前記第１送信機側記号カウントが前記ディフォルト・チャレンジ・カウント窓内にない場合、前記第１送信機側記号カウントに応じてオフセットされた自動同期チャレンジ・カウント窓を割り当てる段階；
第２送信機側記号カウントと第２コマンド・コードとを含む第２データ・パケットを受信する段階；
前記第２受信データ・パケットを認証する段階；
前記第２送信機側記号カウントが前記自動同期チャレンジ・カウント窓内にある場合、前記チャレンジ・カウント窓を前記ディフォルト・チャレンジ・カウント窓に戻す段階；および 前記第２コマンド・コードを実行する段階；
によって構成されることを特徴とする方法。
【請求項２】
前記自動同期チャレンジ・カウント窓は、前記ディフォルト・チャレンジ・カウント窓の範囲よりも小さい範囲を有することを特徴とする請求項１記載の方法。
【請求項３】
第３送信機側記号カウントと第３コマンド・コードとを含む第３データ・パケットを受信する段階；
前記第３受信データ・パケットを認証する段階；
前記第３送信機側記号カウントが前記自動同期チャレンジ・カウント窓内にある場合、前記チャレンジ・カウント窓を前記ディフォルト・チャレンジ・カウント窓に戻す段階；および 前記第３コマンド・コードを実行する段階；
をさらに含んで構成されることを特徴とする請求項１記載の方法。
【請求項４】
前記自動同期チャレンジ・カウント窓を割り当てる前記段階に応答して： 前記チャレンジ・カウント窓を前記ディフォルト・チャレンジ・カウント窓に戻す段階；
によって構成されることを特徴とする請求項１記載の方法。
【請求項５】
前記自動同期チャレンジ・カウント窓を割り当てる前記段階に応答して： 所定の回数のデータ・パケットを受信・認証する段階を待ってから、前記チャレンジ・カウント窓を前記ディフォルト・チャレンジ・カウント窓に戻す段階；
によって構成されることを特徴とする請求項１記載の方法。
【請求項６】
前記チャレンジ・カウント窓を前記ディフォルト・チャレンジ・カウント窓に戻す前記段階を実行した後に、自動同期成功メッセージを発行する段階；
をさらに含んで構成されることを特徴とする請求項１記載の方法。
【請求項７】
前記第２コマンド・コードを実行する前記段階の後、前記送信機側カウントに応じて前記受信機側カウントを合致させる段階；
をさらに含んで構成されることを特徴とする請求項１記載の方法。
【請求項８】
遠隔キーレス・エントリ・システム用のユーザ非依存型自動再同期の方法であって：
ディフォルト・チャレンジ・カウント窓を割り当てる段階；
第１送信機側記号カウントと第１コマンドとを含む第１データ・パケットを受信する段階；
前記第１受信データ・パケットを認証する段階；
前記第１送信機側記号カウントが前記ディフォルト・チャレンジ・カウント窓内にない場合、自動同期チャレンジ・カウント窓を割り当てる段階；
第２送信機側記号カウントと第２コマンド・コードとを含む第２データ・パケットを受信する段階；
前記第２受信データ・パケットを認証する段階；
前記第２送信機側記号カウントが前記自動同期チャレンジ・カウント窓内にある場合、前記チャレンジ・カウント窓を前記ディフォルト・チャレンジ・カウント窓に戻す段階；
前記チャレンジ・カウント窓を前記ディフォルト・チャレンジ・カウント窓に戻す前記段階を実行した後、自動同期成功メッセージを発行する段階；
前記第２コマンド・コードを実行する段階；および 前記第２コマンド・コードを実行する段階の後、前記送信機側カウントに応じて前記受信機側カウントを更新する段階；
によって構成されることを特徴とする方法。
【請求項９】
自動同期チャレンジ・カウント窓を割り当てる前記段階は、前記第１送信機側記号カウントが前記ディフォルト・チャレンジ・カウント窓内にない場合、前記第１送信機側記号カウントに応じてオフセットされた自動同期チャレンジ・カウント窓を割り当てる段階によって構成されることを特徴とする請求項８記載の方法。
【請求項１０】
前記自動同期チャレンジ・カウント窓は、前記ディフォルト・チャレンジ・カウント窓の範囲よりも小さい範囲を有することを特徴とする請求項８又は９に記載の方法。
【請求項１１】
遠隔キーレス・エントリ・システム用のユーザ非依存型自動再同期の装置であって：
第１送信機側記号カウントと第１コマンドとを含む第１データ・パケットを送信する送信機と、
ディフォルト・チャレンジ・カウント窓を割り当て；
前記送信機によって送信された前記第１データ・パケットを受信・認証し；
前記第１送信機側記号カウントが前記ディフォルト・チャレンジ・カウント窓内にない場合、前記第１送信機側記号カウントに応じてオフセットされた自動同期チャレンジ・カウント窓を割り当て；
第２送信機側記号カウントと第２コマンド・コードとを含む第２データ・パケットを受信し；
第２受信データ・パケットを認証し；
前記第２送信機側記号カウントが前記自動同期チャレンジ・カウント窓内にある場合、前記チャレンジ・カウント窓を前記ディフォルト・チャレンジ・カウント窓に戻し；
前記チャレンジ・カウント窓を前記ディフォルト・チャレンジ・カウント窓に戻す上記ステップを実行した後、自動同期成功メッセージを発行し；
前記第２コマンド・コードを実行し；
前記第２コマンド・コードを実行する上記ステップの後、前記送信機側カウントに応じて前記受信機側カウントを更新する；
受信機と、
を有することを特徴とする装置。
【発明の詳細な説明】
（産業上の利用分野）
本発明は、車両用途用の遠隔キーレス・エントリ・システムの分野に関し、さらに詳しくは、ユーザ非依存型自動再同期装置(user-transparent auto re-synchronization apparatus)を具備する認証システムおよび方法に関する。
【０００１】
（従来の技術）
最新の車両は、車両のドア・ロック解除，車両のエンジンのスタート，ガレージ・ドアの開閉などの制御機能を含む遠隔キーレス・エントリ（ＲＫＥ：Remote Keyless Entry）システムを採用する場合が多い。通常、一般に携帯装置であるＲＫＥ送信機から、一般に車両内またはガレージ内に装着されるＲＫＥ受信機に無線信号が送信される。無線信号が送信されると、電子盗聴を利用することにより、車両またはガレージ・ドア開閉装置の制御機能を動作すべく後で送信するために無線信号を記録することができる。
【０００２】
不正なアクセスを防ぐため、ＲＫＥシステムは、ＲＫＥ送信機とＲＫＥ受信機との間で送信される無線信号をデジタル符号化することによって、セキュリティが向上される。ＲＫＥ受信機によって受信されるデジタル符号化無線信号を利用する前に、元の信号を確証する必要がある。この確証プロセスは、認証(authentication)と呼ばれる場合が多い。
【０００３】
多くのＲＫＥ認証システムに組み込まれる一つの保護機構として、ローリング・カウンタ(rolling counter)という装置または手順がある。一般に、ＲＫＥキーパッド上の関連キーを押すことによって、「車両のドア・ロック解除」などの制御機能がユーザによって選択されると、ＲＫＥ送信機側カウンタが逓増される。このＲＫＥ送信機側カウンタの記号カウント(symbolic count)は、「車両のドア・ロック解除」コマンドおよび他の各データとともに符号化され、ＲＫＥ受信機に送信される。ＲＫＥ受信機は、ＲＫＥ送信機側カウンタの記号カウントを含む各データを復号し、これはＲＫＥ受信機側カウンタの記号カウントと比較される。これは、チャレンジ・カウント(challenge-count)と呼ばれることがある。ＲＫＥ送信機側カウンタの記号カウントがＲＫＥ受信機側カウンタの記号カウントと一致すると、ユーザ・コマンドは認証され、ＲＫＥ受信機は車両のドアをロック解除する。一致は、ＲＫＥ受信機側カウンタの範囲内の逓増記号値(incremental symbolic value)と一般にみなされる。例えば、ＲＫＥ受信機側カウンタが１，９８３カウントであり、１，９８３回のＲＫＥ真性送信(authentic transmissions)が受信されたことを示し、またＲＫＥ送信機側カウンタの受信した記号カウントが１９８４カウントであるならば、一致が暗示される。ＲＫＥ送信機側カウンタの受信した記号カウントが１，９９０であるならば、一致が生じたことになる。なぜならば、受信した記号カウントは受信機側カウンタとほぼ同じであるが、受信機側カウンタよりも大きいためである。あるシステムは単位逓増カウント(unit incremental count)を探し、またあるシステムは、２５６カウントの範囲など逓増カウントの範囲を許すものもある。この範囲を設けることは、ユーザがＲＫＥキーパッドのキーを誤って押すことによって、ＲＫＥ送信機側カウンタの記号カウントを逓増することを予期したものである。この範囲は、大規模なリプレイ攻撃(replay attacks)を防ぐように、２５６カウントなどの比較的小さな値に維持される。
【０００４】
また、ユーザはこの範囲を超えて送信機側カウンタを誤って逓増することがある。これが生じると、ＲＫＥシステムは再同期する必要がある。さまざまな認証方法およびシステムが存在するが、これらは不十分である。なぜならば、これらはさまざまな攻撃に対する既存の暗号強度(cryptographic robustness)を維持しつつ、ユーザ側の特定の行為を必要とせずに、ＲＫＥシステムを再同期する効率的な手法が欠けているためである。ある方式では、特定のユーザ再同期シーケンスを必要とするものがある。ユーザは、このシーケンスがどのようなものであるかを知るためには、マニュアルを探し出さなければならない。自分の車に乗り込んで、自分がマニュアルを探し出さなければならないことを想像してほしい。
【０００５】
従って、必要なのは、完全にユーザが意識することなく、かつシステムの既存の暗号強度を維持するやり方で、ＲＫＥ受信ユニットをその対応する送信ユニットのうちの一つに自動的に再同期する改善された方法である。
【０００６】
（好適な実施例の説明）
遠隔キーレス・エントリ（ＲＫＥ）システム用のユーザ非依存型の自動再同期の方法は、ディフォルト・チャレンジ・カウント窓(default challenge-count window)を割り当てることを含む。第１送信機側記号カウントと第１コマンド・コードとを含む第１データ・パケットは、送信機によって送信され、受信機によって認証される。第１送信機側記号カウントがディフォルト・チャレンジ・カウント窓内にない場合、自動同期チャレンジ・カウント窓が割り当てられる。第２送信機側記号カウントと第２コマンド・コードとを含む第２データ・パケットは、送信機によって送信され、受信機によって認証される。第２送信機側記号カウントが自動同期チャレンジ・カウント窓内にある場合、チャレンジ・カウント窓はディフォルト・チャレンジ・カウント窓に戻される。それから、第２コマンド・コードが実行される。
【０００７】
実質的には、システムの受信機側の記号カウンタは、一般にチャレンジ・カウント呼ばれるものを保持する。全てが真性である場合、すなわち、システムが同期されている場合、送信機側の記号カウンタは受信機側のカウントとまったく同じ記号値を保持していなければならない。ユーザがＲＫＥ送信機のコマンド・ボタンを起動すると、送信機側カウンタは単位記号カウントだけ進められる。次に、ＲＫＥ送信機はデータ・パケットの形式でデータを組立て、これを受信機に送信する。
【０００８】
受信・認証されると、この送信機側カウントは受信機側カウンタ内にあるチャレンジ・カウントと比較される。数回の誤ったコマンド・ボタンの起動を許すように、記号値の比較的広い窓、すなわち範囲は一致として認められる。一般に、２５６シンボル・カウントのディフォルト・チャレンジ・カウント窓が用いられるため、認証された送信機側カウントが受信機側カウンタにあるチャレンジ・カウントの値の２５６記号カウント内である場合、一致が認識され、受信機側カウンタにあるチャレンジ・カウントは認証された送信機側カウントの記号値に強制される。
【０００９】
受信・認証された送信機側カウントが２５６記号カウントのディフォルト・チャレンジ・カウント窓内にない場合、システムは同期ずれしている。手動の再同期を避けるため、自動方法が実施される。実質的には、許容カウントの一時チャレンジ・カウント窓(temporary challenge-count window)が生成される。このチャレンジ・カウント窓は範囲がより小さく、かつ受信・認証済み送信機側カウントとオフセット同期されている。
【００１０】
ここでは、使用例が役立つであろう。
受信機側チャレンジ・カウント＝３４５
記号カウント範囲＝２５６
３４５＜チャレンジ・カウント窓＜（３４５＋２５６）
受信・認証済み送信機側カウント＝１４５９である場合、チャレンジ・カウント窓を以下に変更する：
１４５９＜チャレンジ・カウント窓＜（１４５９＋１６）
そして、受信機は送信機からの次の送信を待つ。チャレンジ・カウント窓範囲を低減することにより、この方法では、ユーザがシステムをうまく再同期できるようにするために、前回のカウントを確認するために低減された範囲内のカウントが受信・認証されることを必要とする。この方法では、カウントは前進し続けることを必要とし、そのためシステムへのリプレイ攻撃を退けるので、システムのセキュリティは維持される。
【００１１】
以降の受信・認証済み送信機側カウントがより小さい範囲のオフセットされたチャレンジ・カウント窓内で受信機側カウントに一致すると、システムは再同期され、受信機側チャレンジ・カウンタは受信・認証済み送信機側カウンタの記号値に強制される。上記の使用例では、以降の受信・認証済み送信機側カウントが１４６０であり、あるいは実際には、チャレンジ・カウント１４５９＜カウント＜（１４５９＋１６）であるならば、受信機側チャレンジ・カウントは１４６０に設定され、チャレンジ・カウント窓は、１４６０＜チャレンジ・カウント窓＜（１４６０＋２５６）に設定される。その後、受信機からこの受信機が装着された車両のダッシュボード上の視覚ディスプレイにメッセージが送られ、自動再同期プロセスが成功した旨をユーザに通知する。
【００１２】
以降の受信・認証済み送信機側カウントが、より小さい範囲のチャレンジ・カウント窓内で受信機側カウントまたはチャレンジ・カウントに一致しない場合、本方法は、最初の認証済み記号カウントへの確認が受信されなかったのでチャレンジ・カウント窓範囲をディフォルト値に戻すか、あるいはそうする前にさらにいくつかの送信を待つことができる。以上、全体的な手法について説明したので、好適な方法を実行するためのハードウェア・プラットフォームについて説明する。
【００１３】
図３は、ＲＫＥシステムの概略ブロック図である。送信機ともいうハンドヘルドＲＫＥ送信機デバイス２００は、コマンド・スイッチ２０１を解析する送信コントローラ２０３を含み、送信機２０５を利用して組みたれられたデータ・パケット２２２を送信する。送信コントローラ２０３は、デジタル回路，マイクロコントローラ、もしくは符号化メッセージを実質的に送信する任意の他の機構を利用して構築できる。好適な実施例では、モトローラＭＣ６８ＨＣ０５マイクロコントローラが用いられる。
【００１４】
受信機ともいうＲＫＥ制御システム２５０は、受信機コントローラ２０９を含む。なお、ＲＫＥ制御システム２５０は車両に装着されることに留意されたい。受信機コントローラ２０９は、アクチュエータ駆動回路２１１および別のマイクロコントローラ２１３を含む。好適な実施例に従って、受信機コントローラ２０９は、受信機２０７を介して送信データ・パケット２２２を受信する。好ましくは、以下で説明する好適な方法の一部を格納するためのオンボード・メモリを具備するモトローラＭＣ６８ＨＣ０５マイクロコントローラであるマイクロコントローラ２１３は、データ・パケット２２２を解析し、アクチュエータ駆動２１１に外部アクチュエータを駆動するように命令する。これらの外部アクチュエータは、ドア・ロック・ソレノイドおよびエンジン・スタート・デバイスを含む。ダッシュボード・ディスプレイ２１５は、自動同期の試みが成功した旨の視覚的メッセージを車両のダッシュボード上に表示するために用いられる。以上、ハードウェア・プラットフォームについて説明したので、図１および図２を参照して好適なステップについて詳説する。
【００１５】
ステップ１０１において、ディフォルト・チャレンジ・カウント窓が割り当てられる。一般に、この窓は２５６カウントなど比較的大きな範囲であり、現受信機側記号カウントに基づいてオフセットされる。
【００１６】
次にステップ１０３において、受信機２５０は送信機デバイス２００からの第１データ・パケットを待ち、受信する。このデータ・パケットは、第１送信機側記号カウントと、コマンド・スイッチ２０１のうちの一つに相当する第１コマンド・コードとをを含む。また、一般に、データ・パケットは乱数，ユニット識別／シリアル番号，認証記号(authentication symbol)および巡回冗長検査（ＣＲＣ：Cyclic Redundancy Check）記号も含む。
【００１７】
次にステップ１０５において、第１受信データ・パケットは認証される。認証とは、受信メッセージの真性(authenticity)を調べるプロセスのことである。第１受信データ・パケットが真正であると判断されると、本方法はステップ１０７に進む。
【００１８】
ステップ１０７において、送信機側記号カウントはディフォルト・チャレンジ・カウント窓内であるかどうか調べられる。送信機側記号カウントがディフォルト・チャレンジ・カウント窓の範囲外である場合、自動同期プロセスを呼び出さなければならない。
【００１９】
ステップ１０９において、送信機側記号カウントによってオフセットされた、１６などの記号カウントの比較的小さな範囲を有する自動同期チャレンジ・カウント窓を割り当てることによって、チャレンジ・カウント窓は低減され、本方法はステップ１０３に戻り、別の送信データ・パケットを待つ。
【００２０】
送信機側記号カウントがディフォルト・チャレンジ・カウント窓内にある場合、ステップ１２１が実行される。ステップ１２１において、本方法はチャレンジ・カウント窓が自動同期チャレンジ・カウント窓にすでに変更されたかどうかを調べる。チャレンジ・カウント窓が変更されており、ステップ１０７の応答が「ＹＥＳ」である場合、最後のデータ・パケットで受信された送信機側カウントは受信機側チャレンジ・カウントに実質的に一致する。
【００２１】
次にステップ１２３において、チャレンジ・カウント窓は、ここでは２５６であるディフォルト値に戻され、受信した送信機側チャレンジ・カウントの記号値から開始する。
【００２２】
ステップ１２５において、自動同期成功メッセージがダッシュボード・ディスプレイ２１５に発行され、再同期の試みに成功した旨をユーザに通知する。
【００２３】
次にステップ１２７において、受信コマンド・コードが解析され、アクチュエータ駆動２１１を起動することによって実行される。
【００２４】
次にステップ１１１において、受信機側チャレンジ・カウンタは受信した送信機側記号カウントと一致するように合致され（更新され）、本方法はステップ１０３に戻り、別の送信データ・パケットを待つ。
【００２５】
別の場合では、送信が真性でないとステップ１０５で判断すると、ステップ１１３が実行される。ステップ１１３において、本方法はチャレンジ・カウント窓が自動同期チャレンジ・カウント窓にすでに変更されたかどうかを調べる。チャレンジ・カウント窓が変更されていない場合には、本方法はシステムを再同期することは試みず、非認証送信は無視され、本方法はステップ１０３に戻り、別の送信データ・パケットを待つ。
【００２６】
チャレンジ・カウント窓が自動同期チャレンジ・カウント窓に変更されている場合、ステップ１１５が呼び出される。ステップ１１５において、本方法はオプション１が選択されているかどうかを調べる。オプション１は、フィルタ機構のように機能する。オプション１が選択された場合、チャレンジ・カウント窓はステップ１１７においてディフォルト値に戻され、本方法はステップ１０３に戻り、別の送信データ・パケットを待つ。オプション１が選択されない場合、本方法はステップ１１９を介して数回（実質的には、方法ステップ１０３，１０５，１１３，１１５，１１９を介して「ｎ」送信または回数）待ってから、チャレンジ・カウント窓をディフォルト値に戻す。このオプション１の経路は、ユーザにシステムを再同期する機会をさらに数回与える。
【００２７】
上記の方法および装置は、完全にユーザが意識しないやり方で、ＲＫＥ受信ユニットを対応する送信ユニットのうちの一つに自動的に再同期する。上記の方法を実施することにより、暗号および非暗号走査攻撃は阻止され、システムの既存の暗号強度は維持される。
【図面の簡単な説明】
【図１】  本発明の好適な実施例による、遠隔キーレス・エントリ（ＲＫＥ）システムの受信機部分の好適な方法を示すフローチャートの前半部分である。
【図２】  本発明の好適な実施例による、遠隔キーレス・エントリ（ＲＫＥ）システムの受信機部分の好適な方法を示すフローチャートの後半部分である。
【図３】  本発明の好適な実施例による、ＲＫＥシステムの概略ブロック図である。
【図１】
0004190152.tif 000002
【図２】
0004190152.tif 000003
【図３】
0004190152.tif 000004