JP2018508858A - ユーザ端末で少なくとも１つの車両の機能を制御するサービスにユーザをサインアップする方法 - Google Patents

Abstract

ユーザ端末（２０）で車両（１０）の少なくとも１つの機能を制御するサービスにユーザをサインアップする方法であって、ユーザ識別名および車両（１０）に関連付けられた識別名をサーバ（５０）に伝達するステップと、サーバ（５０）で車両（１０）の電子ユニット（１１）を認証するステップと、認証に成功した場合は、ユーザ識別名と、車両（１０）に関連付けられた識別名とを互いに関連付けて、サーバ（５０）で登録するステップとを含む。

Description

本発明は、携帯電話等のユーザ端末による車両の機能の制御に関する。

より詳細には、ユーザ端末で車両の機能を制御するサービスに、ユーザをサインアップする方法に関する。

本発明は、この機能が車両のドアのロック解除である場合に、特に好適に適用され得る。

車両のユーザが通常使用する携帯電話等のユーザ端末で、車両のドアのロック解除等の自動車両のいくつかの機能を制御することが提案されている。

この制御を、実際に許可されている人物に限定するために、ユーザ端末に記憶された仮想鍵が使用され、この仮想鍵の有効性は、ドアのロック解除を命令する前に、車両の電子制御ユニットによって検証される。

このような仮想鍵は、ユーザ端末で機能を制御するサービスにサインアップした人物にのみ配布される。

この状況において、本発明は、ユーザ端末で車両の少なくとも１つの機能を制御するサービスに、ユーザをサインアップする方法を提案し、この方法は、以下のステップを含む。
−ユーザの識別名および車両に関連付けられた識別名をサーバに伝達するステップと、
−サーバによって車両の電子ユニットを認証するステップと、
−認証に成功した場合は、ユーザ識別名と、車両に関連付けられた識別名とを関連付けて、サーバでサインアップするステップ。

したがって、伝達された識別名によって指定された車両の電子ユニットが、サーバで認証されている場合にのみ、車両は、ユーザ識別名（例えば、ユーザ端末の識別名であってもよい）と関連付けてサービスにサインアップされる。

随意選択であり、したがって非限定的な他の特徴は、以下の通りである。
−認証は、サーバが、電子ユニットの参照番号と関連付けて記憶された暗号鍵を使用するステップを含む。
−認証は、ユーザ端末を介したサーバと電子ユニットとの間のデータ交換を含む。
−認証するステップは、サーバと電子制御ユニットとの間の相互認証プロセスの一部を形成する。
−サインアップ方法は、車両にリンクする物理的対象に対して、ユーザが行った動作を検知するステップを含む。
−サインアップは、認証に成功することだけでなく、前述の検知が行われることも条件とする。
−認証に成功している場合は、検知するステップは単独で行われる。
−サインアップ方法は、検知に成功した場合は、電子ユニットがサーバにサービス開始メッセージを送信するステップを含み、サービス開始メッセージを受け取ると、サーバによってサインアップが行われる。
−この方法は、サインアップに続いて、端末に仮想鍵を送信するステップを含む。
−物理的対象とは、車両のドアのロック解除を制御できる物理的な鍵である。
−物理的対象とは、車両の手動制御である。
−ユーザ識別名は、ユーザ端末の識別名である。
−この方法は、認証に成功した場合は、サーバおよび電子ユニットのカウンタを初期化するステップをさらに含む。
−カウンタは、初期化するステップにおいて、サーバおよび電子ユニットに記憶された初期値で初期化される。
−カウンタは周期的に増分され、その周期は、サーバおよび電子ユニットに記憶される。
−通信するステップは、例えばユーザ端末を介して、ユーザ識別名と、車両に関連付けられた識別名とを送信することによって行われる。
−通信するステップは、ユーザ識別名と、車両に関連付けられた識別名とをサーバで取得することによって行われる。

このサインアップ方法は、以下のステップをさらに含んでもよい。
−車両に関連付けられた識別名に対応する電子制御エンティティに宛てた、特定のメッセージを含む（例えば、事前にカスタマイズされた）アプリケーションを、サーバから端末にダウンロードするステップと、
−端末でアプリケーションを実行した結果として、車両の制御ユニットに特定のメッセージを送信するステップ。

この機能とは、例えば、車両のドアをロック解除またはロックすること、あるいは車両のトランクをロックまたはロック解除すること、あるいは車両のグローブボックスをロックまたはロック解除すること、あるいは代替的に車両のエンジンを始動または停止することである。

添付の図面を参照する以降の説明は、非限定的な例として提供され、本発明の性質および用途を明らかにするであろう。

特に、車両とユーザ端末とを備える、本発明が適用され得る状況の例を示す。 本発明の理解に役立つように、図１の自動車両およびユーザ端末の構成部品を概略的に示す。 ユーザ端末で車両の機能を制御するサービスにサインアップする方法の、主なステップを示す。 ユーザ端末で車両の機能を制御するサービスにサインアップする方法の例の、主なステップを示す。 ユーザ端末で車両の機能を制御するサービスにサインアップする方法の別の例の、主なステップを示す。

図１は、本発明が適用され得る状況の例を示す。

この状況では、車両１０は、電子制御ユニット（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ、ＥＣＵ）１１を備え、これは後述するように、例えば、ユーザ端末２０で自動車両１０の機能を制御するために（このような機能は、例えば、車両１０のドアをロック解除することであってもよい）、ユーザ端末２０とデータを交換する目的で、無線リンクを介してユーザ端末２０との通信に入ることができ、このユーザ端末２０は、例えば、一般的に使用されている英語名によれば、おそらくは「スマートフォン（ｓｍａｒｔｐｈｏｎｅ）」としても知られている「インテリジェント電話（ｉｎｔｅｌｌｉｇｅｎｔ ｔｅｌｅｐｈｏｎｅ）」タイプの携帯電話（またはモバイルフォン）である。

電子制御ユニット１１とユーザ端末２０との間の通信に使用される無線リンクは、例えば、Ｂｌｕｅｔｏｏｔｈ（登録商標）タイプのものである。

また、ユーザ端末２０は、携帯電話ネットワーク３０に接続するように設計され、携帯電話ネットワーク３０は特に、ユーザ端末２０およびラジオリンクを介して通信する基地局３２と、インターネット等の公衆ネットワーク４０に接続するためのゲートウェイ３４とを備える。

サーバ５０もまた、ユーザ端末２０とサーバ５０とが携帯電話ネットワーク３０および公衆ネットワーク４０を介して通信して、データを交換できるように、公衆ネットワーク４０に接続される。この事例では、サーバ５０は、電子制御ユニット１１の製造者によって管理される。

図２は、本発明の理解に役立つように、車両１０およびユーザ端末２０のいくつかの構成部品を概略的に示す。

自動車両１０は特に、前述した電子制御ユニット１１と、アクチュエータ１５（この事例では、車両１０のドアをロック解除するために設計される）と、アクチュエータ１７（車両を始動させるために設計される）と、無線通信モジュール１６と、ユーザインターフェース１８とを備える。

識別番号ＶＩＤが車両１０に割り当てられ、通し番号Ｎが電子制御ユニット１１に割り当てられる。車両１０の識別番号であるＶＩＤと、この車両１０に取り付けられた電子制御ユニット１１の通し番号Ｎとの間の関連性は、サーバ５０（車両１０の製造者、または供給者であってもよい）によって管理されるデータベースＤに記憶される。

電子制御ユニットは、プロセッサ１２と、書き換え可能な不揮発性メモリまたはハードディスク等の、記憶ユニット１４とを備える。

記憶ユニット１４は、特に、命令を含むコンピュータプログラムを記憶し、プロセッサ１２がこの命令を実行すると、電子制御ユニット１１が後述する方法を実行できるようになる。

また、記憶ユニット１４は、後述する方法の状況の中で使用されるデータ、特に、暗号鍵ＰｒＫ（例えば秘密鍵）およびルート鍵（または親鍵）ＭＫを記憶し、これらは以下の文で説明するように使用される。

暗号鍵ＰｒＫおよび／またはルート鍵ＭＫは、例えば、この電子制御ユニット１１が自動車両１０に取り付けられる前の、電子制御ユニット１１の製造中に記憶ユニット１４に書き込まれる。

また、暗号鍵ＰｒＫおよびルート鍵ＭＫは、電子制御ユニット１１の通し番号Ｎに関連付けて、サーバ５０（前述のように、電子制御ユニット１１の製造者によって管理される）にも記憶される。

後述するいくつかの用途では、記憶ユニット１４は、多様なカウンタを構成するための、カウンタの初期値Ｉおよびステップの期間Ｐ等の情報も記憶する。この情報もまた、この電子制御ユニット１１が自動車両１０に取り付けられる前に電子制御ユニット１１の製造中に、記憶ユニット１４に書き込まれてもよく、かつ電子制御ユニット１１の通し番号Ｎに関連付けて、さらにサーバ５０に記憶されてもよい。

このカウンタは、カウンタを構成するための情報（この事例では初期値Ｉおよびステップの期間Ｐ）が、電子制御ユニットによって異なり、したがって車両によって異なるという点において多様である。言い換えれば、各電子制御ユニット（したがって各車両）は、独自のカウンタ構成情報を記憶する。したがって、前述のように、サーバＳは、各電子制御ユニットの通し番号に関連付けて、このカウンタ構成情報を記憶する。

ユーザ端末２０は、プロセッサ２２、メモリ２４（例えば、書き換え可能な不揮発性メモリ）、無線通信モジュール２６、携帯電話ネットワーク３０での通信用のモジュール２８を備える。

ユーザ端末２０の無線通信モジュール２６は、車両１０の無線通信モジュール１６と無線リンク（この事例では、前述のＢｌｕｅｔｏｏｔｈタイプのもの）を確立することを可能にし、これを介して、電子制御ユニット１１のプロセッサ１２と、ユーザ端末２０のプロセッサ２２とは、特に後述するように、データを交換することができる。

通信モジュール２８は、ユーザ端末２０（あるいはより正確には、このユーザ端末２０に取り付けられたプロセッサ２２）が、前述のように、携帯電話ネットワーク３０、または公衆ネットワーク４０に接続された他のデバイス、特にサーバ５０とデータを交換できるようにする。いくつかの実施形態では、通信モジュールは、携帯電話サービスへの加入に関連付けられた接続データを記憶して、携帯電話ネットワーク３０で接続を確立できる、スマートカードを含んでもよい。

図３は、ユーザ端末２０で車両１０の機能を制御するサービスにサインアップする（または登録する）方法の、主なステップを示す。

なお、この方法を実施する前に、ユーザ端末２０は、車両１０の機能を制御するための特定の準備はされておらず、車両１０に関するデータを有していない。この端末は、したがって、例えば、車両１０の所有者が現在使用している携帯電話であってもよい。

同様に、この方法を実施する前は、ユーザ端末２０は車両１０に認識されておらず、したがって、車両１０は、このユーザ端末２０に関連付けられたデータについての情報を有していない。

ユーザＵ（１つの実施形態では車両１０の所有者であり、別の実施形態では車両１０を運転する人物）は、図３の方法を実行するために、（物理的な鍵等の）従来の手段で車両１０（図３において「Ｖ」でも参照される）にアクセスすると仮定する。

本明細書で述べる実施形態では、ユーザＵは、前述のように、一方では、（例えば、Ｂｌｕｅｔｏｏｔｈタイプの）無線リンクを介して電子制御ユニット１１と通信し、他方では、ラジオリンクを介して基地局３１と通信した後に、携帯電話ネットワーク３０および公衆ネットワーク４０を介してサーバ５０（図３では「Ｓ」で参照される）と通信する、ユーザ端末２０を保有して使用する。

ユーザ端末２０は、したがって、本明細書で述べる実施形態では、後述するように、車両Ｖ（より正確には電子制御ユニット１１）と、サーバＳとの間でデータを交換するためのゲートウェイとして使用されてもよい。

変形例では、車両Ｖ（すなわち電子制御ユニット１１）と、サーバＳとの間で、他の通信手段、例えば、車両Ｖに取り付けられ、車両Ｖと携帯電話ネットワーク３０との間に（直接的な）通信を確立するように設計された、通信モジュール（「テレマティクス制御ユニット（Ｔｅｌｅｍａｔｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）」と呼ばれる場合がある）を使用することが可能である。

図３の方法は、ステップＥ２から始まり、ユーザＵは、サーバＳ（図１では「５０」で参照される）に、ユーザ識別名ＵＩＤおよび車両Ｖ（図１では「１０」で参照される）の識別名ＶＩＤを伝達する。実現可能な実施形態では、ユーザＵは、このために、（例えば、ユーザ端末２０のプロセッサ２２が実行したブラウザにサーバＳのｈｔｔｐアドレスを入力して）サーバＳに接続し、例えば、前述の識別名ＵＩＤ、ＶＩＤをフォームに入力して、これをサーバＳに送信する。別の実現可能な実施形態では、事前にユーザ端末２０にインストールしたアプリケーションが、ユーザＵにこれらの識別名を入力することを要求して、これをサーバ５０に送信する。

変形例では、ユーザ識別名ＵＩＤおよび車両Ｖの識別名ＶＩＤは、例えば、車両Ｖの購入時に、事前にサーバＳに入力されていてもよい。

ユーザ識別名ＵＩＤは、必要に応じて、例えば、ユーザの氏名および誕生日を含む。しかしながら、変形例では、ユーザを識別するために別のタイプのデータを使用することができ、したがって、ユーザ識別名は、電子メールアドレス、電話番号（例えば、携帯電話サービスへの加入に際して割り当てられたＭＳＩＳＤＮ番号等の番号）、またはユーザＵのユーザ端末の識別名（ＩＭＥＩ番号等）であってもよい。

車両の識別名ＶＩＤは、例えば、「車両識別番号（Ｖｅｈｉｃｌｅ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ Ｎｕｍｂｅｒ）」として知られているタイプのものである。しかしながら、変形例では、車両１０に関連付けられた別の識別名、特に、車両１０の電子制御ユニット１１の通し番号Ｎを使用することが可能である。

サーバＳは、ステップＥ４において、ユーザ識別名Ｕおよび車両識別名ＶＩＤを受信し、このステップにおいて、ユーザ端末で車両の機能を制御するサービスへのサインアップが進行している車両専用の領域に、これらの識別名を記憶する。

電子制御ユニット１１の通し番号Ｎは、例えばステップＥ２において、例えば、ユーザＵによってサーバＳに伝達される。このために、通し番号Ｎはユーザに事前に供給され、これは例えば、車両のユーザマニュアルの中に貼りつけられたラベルに印刷される、かつ／あるいはユーザインターフェース１８を介して、ユーザにアクセスすることができる。

サーバＳは、したがって、ステップＥ１０において、（前述のように）この通し番号Ｎに関連付けて記憶されていた、暗号鍵ＰｒＫを判定することができる。

サーバＳは次に、乱数ＲＮＤ等の「チャレンジ（ｃｈａｌｌｅｎｇｅ）」（英語でこのように知られている）を生成する（ステップＥ１２）。

サーバＳは次にステップＥ１４において、暗号鍵ＰｒＫを用いて暗号関数ｆを適用することによって、このチャレンジに関連付けられる応答ＲＥＳＰを計算し、これはＲＥＳＰ＝ｆ（ＲＮＤ，ＶＫ）のように表してもよい。

サーバＳは、したがって、ステップＥ１６において、チャレンジＲＮＤおよび応答ＲＥＳＰの一部、この事例では、応答ＲＥＳＰの一部を形成する最下位バイト（Ｌｅａｓｔ Ｓｉｇｎｉｆｉｃａｎｔ Ｂｙｔｅ、ＬＳＢ）を車両Ｖ、より正確には電子制御ユニット１１に送信することができる。

前述のように、この事例では、サーバＳ（図１では「５０」で参照される）は、ユーザ端末２０を介して電子制御ユニット１１と通信する。

電子制御ユニット１１は、チャレンジＲＮＤおよび応答の一部ＬＳＢを受信し、次に、ステップＥ１８において、前述のように記憶ユニット１４に記憶されていた暗号鍵ＰｒＫを用いて、受信したチャレンジに暗号関数ｆを適用することによって、予期される応答ＲＥＳＰ’を計算し、これは、ＲＥＳＰ’＝ｆ（ＲＮＤ，ＰｒＫ）で表される。

電子制御ユニット１１は、次に、ステップＥ２０において、ステップＥ１８で計算した応答ＲＥＳＰ’の部分ＬＳＢ’（受信した応答ＲＥＳＰの一部に対応し、この事例では最下位バイト）が、サーバＳから受信した応答の一部ＬＳＢと実際に等しいことを確認する。

この相等性が確認されない場合は、電子制御ユニット１１はステップＥ２１に進んで、サインアッププロセスを終了する。実際にこれは、ステップＥ１４の計算に使用された暗号鍵が、ステップＥ１８の計算に使用されたものと異なっており、したがって（例えば、ステップＥ２で誤った車両識別名が送信されたために）エラーが発生したことを意味する。その後、エラーメッセージが、例えば、車両Ｖのユーザインターフェース１８に表示されてもよい。

相等性が確認された場合は、次に、ステップＥ２２において、電子制御ユニット１１は、ステップＥ１８で計算した応答ＲＥＳＰ’の別の一部、この事例では、最上位バイト（Ｍｏｓｔ Ｓｉｇｎｉｆｉｃａｎｔ Ｂｙｔｅ）ＭＳＢ’をサーバＳに送信する。

サーバＳは、応答ＲＥＳＰ’のこの他の部分ＭＳＢ’を受信し、ステップＥ２４において、ステップＥ１４で計算した応答ＲＥＳＰの部分ＭＳＢ（受信した応答ＲＥＳＰ’の部分ＭＳＢ’に対応し、この事例では最上位バイト）が、電子制御ユニット１１から受信した応答ＭＳＢの一部と実際に等しいことを確認する。

この相等性が確認されない場合は、サーバはステップＥ２５に進んで、サインアッププロセッサを終了する。これは、サーバＳの通信相手が、予期される応答を計算できておらず、おそらくはこの相手が予期した車両ではなく、したがって暗号鍵ＰｒＫを保持していないためであることを意味する。

通常の動作では、相等性が確認され、したがってサーバＳと電子制御ユニット１１との間で相互認証が行われる。

サーバＳは、次に、ユーザＵが車両Ｖにいることを確認するコマンドＣＭＤを電子制御ユニット１１に送信することによって、このサインアップ方法を継続させる（ステップＥ２６）。

コマンドＣＭＤを受け取ると、電子制御ユニット１１は、ステップＥ２８において、ユーザインターフェース１８に、１つ以上の動作ＡＣＴを行うことをユーザＵに要求する表示を生成させる。

この表示は、視覚的な表示（例えば、光信号またはユーザインターフェース１８の画面上での表示）、ならびに／あるいは音声による表示（例えば、特定の音または声によるメッセージ）であってもよい。要求される１つ以上の動作は、物理的な鍵の使用（例えば、場合によっては同時に、物理的な鍵の上の１つ以上のボタンを押下する、もしくは物理的な鍵でエンジンを始動および／または停止する）、ならびに／あるいはユーザインターフェース１８のボタンを押下する、ドアを開閉する、エンジンを始動および／または停止する等の、ユーザＵが車両Ｖに対して行う動作を含んでもよい。

ユーザは、ステップＥ３０において、要求された（複数の）動作ＡＣＴを行う。

電子制御ユニット１１は、ステップＥ３２において、（例えば、ユーザが動作を完了するための所定の期間を与えている間に）ユーザＵが行った動作が、要求した動作ＡＣＴと実際に一致するかどうかを検知する。

失敗した場合（つまり、与えられた時間内にユーザＵが要求された動作を行わない場合）は、電子制御ユニット１１は、ステップＥ３４に進んで、サインアッププロセスを終了する。また、エラーメッセージが、車両Ｖのユーザインターフェース１８に表示されてもよい。

一方、ユーザが与えられた時間内に要求された動作ＡＣＴを正しく行った場合は、サインアップを実施するために必要な全ての条件が満たされ、ユーザ端末で車両の機能を制御するためのサービスを開始できるとみなされる。

なお、ユーザ端末２０が受信して表示した１回限りのコードを、車両１０のユーザインターフェース１８に入力する等の、サインアップを検証するための他の条件が可能な場合がある。このような１回限りのコードは、例えば、いくつかの実施形態では、前述したように、ステップＥ２の複数の識別名を入力できるようにするアプリケーションの実行中に、サーバ５０によって、公衆ネットワーク４０を介してユーザ端末２０に送信されてもよい。変形例では、１回限りのコードは、これも前述したように、特に電話番号がユーザ識別名を形成しているときは、ユーザ端末２０が使用する、加入に関連付けられた電話番号（ＭＳＩＳＤＮ番号）を使用して、（例えば、ショートメッセージすなわちＳＭＳ（Ｓｈｏｒｔ Ｍｅｓｓａｇｅ Ｓｙｓｔｅｍ）の形式で）ユーザ端末２０に送信されてもよい。後者の例では、サーバ５０は、電話ネットワークでデータを送信するように設計される。

いくつかの実施形態では、次に、前述のように、記憶ユニット１４に記憶された構成情報を使用して、電子制御ユニット１１内でカウンタを開始するステップに進むことができ、ここで述べる実施形態では、カウンタは、初期値Ｉに初期化されて、周期Ｐで周期的に増分される（ステップＥ３６）。カウンタが所与のビット数にわたって記憶されるときは、カウンタが増分されて、最大値（カウンタのビット数によって決まる）を超えて（時折用いられる英語の用語によれば）オーバーフローが引き起こされると、ゼロにリセットされる。

電子制御ユニット１１は、サーバＳに、（電子制御ユニット１１の要求でユーザが行った動作ＡＣＴによって）ユーザの存在が検知されたことと、したがってサービスを開始できることとを示すメッセージをさらに送信する（ステップＥ３８）。

サーバＳはこのメッセージを受信し、カウンタが使用される場合は、車両識別名ＶＩＤに関連付けて、かつ電子制御エンティティ１１の通し番号Ｎに関連付けて記憶された構成情報に基づいて、その内部カウンタを開始し（ステップＥ４０）、この事例では、構成情報は、初期値Ｉおよびカウンタの増分の周期Ｐである。

したがってカウンタは、電子制御ユニット１１内に記憶されたカウンタと、サーバ５０に記憶されたカウンタとのオフセットが、おそらくは非常に小さい状態で（特に、ステップＥ３６とＥ４０との間の時間が短いことにより）、制御ユニット１１内とサーバＳ内とで並行して動作するが、これが弊害をもたらすことはない。

次に、サーバＳは、ユーザＵのサービスへの最終サインアップを実行することを決定してもよく、このために、サービスの加入者用の記憶領域に、ユーザ識別名ＵＩＤ、車両識別名ＶＩＤ、ならびにカウンタが使用される場合は、カウンタの現在の値（周期Ｐで周期的に増分される）、そして必要に応じて通し番号Ｎを、関連付けて記憶する（ステップＥ４２）。関連付けて記憶されたユーザ識別名ＵＩＤと、車両識別名ＶＩＤとは、提示されたサービスに対する、車両の所有権の電子証明とみなすことができる。

サーバＳは、次に、例えば、ユーザ端末２０に仮想鍵ＶＫを送信することによって、車両の機能を制御するサービスへのアクセス権をユーザＵに伝達し、仮想鍵ＶＫは、後述する例にあるように、ユーザ端末２０がこのような機能（例えば、車両のドアを開ける）を制御することを許可する。仮想鍵ＶＫは、ユーザ端末２０に記憶される（ステップＥ４４）。実際に、仮想鍵ＶＫは、事前にユーザ端末２０のメモリ２４にダウンロードされ、ユーザ端末２０のプロセッサ２２によって実行可能なアプリケーション、例えば、前述したように、ステップＥ２を実施するアプリケーションに、サーバ５０から送信することができる。変形例では、仮想鍵ＶＫは、これも前述したように、特に電話番号がユーザ識別名を形成しているときは、ユーザ端末２０が使用する、加入に関連付けられた電話番号（ＭＳＩＳＤＮ番号）を使用して、ユーザ端末２０に送信されてもよい。

図４は、（図１では「２０」で参照されるタイプの）ユーザ端末Ｔで、車両Ｖ（図１では「１０」で参照される）の機能を制御する方法の例の主なステップを示す。

必然的に、後述するステップ以外のステップが、車両１０の電子制御ユニット１１と、ユーザ端末２０との間に通信チャネルを確立するために、特に前もって実際に実施され得る。

ここで述べる制御方法は、車両Ｖが、予め定められた期間でユーザに貸し出される場合に、特によく適合する。

このために一時仮想鍵ＶＫが使用され、この鍵は、貸出期間開始時のカウンタ（前述したように、車両Ｖの電子制御ユニット１１と、サーバＳとに並行して取り付けられる）の値ＮＢ１と、貸出期間終了時のカウンタの値ＮＢ２とを考慮して導出される。

仮想鍵ＶＫを生成するために、サーバＳは、例えば、車両貸出業者から、車両識別名ＶＩＤ、貸出開始時間および貸出終了時間を受信し、記憶ユニット１４から読み出したカウンタ構成情報に基づいて、関連する電子制御ユニット１１（その通し番号Ｎは、例えば、図３の方法に従って、受信した車両識別名ＶＩＤに関連付けられている）に取り付けられ、貸出開始時間に対応するカウンタの値ＮＢ１と、貸出終了時間に対応する、このカウンタの値ＮＢ２とを決定する。

次に、（前述のように、通し番号Ｎに関連付けて記憶された）ルート鍵ＭＫ、開始値ＮＢ１および終了値ＮＢ２を使用して、例えば、これらの要素に導出関数ｇを使用することによって仮想鍵ＶＫが生成され、これは、ＶＫ＝ｇ（ＭＫ，ＮＢ１，ＮＢ２）で表される。

サーバＳは、次に、ユーザ（車両を借りる人物）の通常端末Ｔ（例えば携帯電話）に、例えば、この通常端末Ｔが本当にサービスを受ける資格があることを（ＩＭＥＩ番号および／またはＭＳＩＳＤＮ番号等の、端末に関連付けられた加入者番号等の端末の識別名に基づいて）確認するステップの後に、仮想鍵ＶＫおよび値ＮＢ１、ＮＢ２を送信し、仮想鍵ＶＫおよび値ＮＢ１、ＮＢ２は、その後端末Ｔ内に記憶される。（なお、ここで使用される端末Ｔは、したがって通常は、図３の状況で使用されるものではない。）

車両Ｖの機能は、その後、端末Ｔで制御することができる。

このために、ステップＥ１０２において、端末Ｔは、開始値ＮＢ１および終了値ＮＢ２と共に、機能を実行する要求を車両Ｖの電子制御ユニット１１に送信する（ステップＥ１０２）。

電子制御ユニット１１は、次に、ステップＥ１０４において、実行するカウンタの現在の値が、実際に値ＮＢ１と値ＮＢ２との間にあることを確認する（これは、前述した値ＮＢ１およびＮＢ２の構成によれば、現在の時点が貸出期間内に含まれることを意味する）。

そうでない場合は、電子制御ユニット１１は、ステップＥ１０６において、要求された機能を実行することなく（すなわち、この場合は車両Ｖのドアをロック解除することなく）、この方法を終了する。必要に応じて、失敗のメッセージを端末Ｔに送信してもよく、その結果、対応する表示を端末Ｔに表示させることができる。

ステップＥ１０４において、肯定的な確認が行われた場合は、この方法はステップＥ１０８に進み、電子制御ユニット１１は、（前述のように記憶ユニット１４に記憶された）ルート鍵ＭＫ、開始値ＮＢ１および終了値ＮＢ２に基づいて、前述のようにサーバＳで実施されたのと同じ計算によって、この場合はこれらの要素に導出関数ｇを適用することによって、仮想鍵ＶＫを計算し、この事例では、電子制御ユニット１１は、ＶＫ＝ｇ（ＭＫ，ＮＢ１，ＮＢ２）を計算する。

電子制御ユニット１１は、次に、ステップＥ１１０において、乱数ＲＮＤ’等のチャレンジを生成し、このチャレンジをユーザ端末Ｔに送信する。

ユーザ端末Ｔは、ステップＥ１１２において、このチャレンジを受信する。

ステップＥ１１４において、ユーザ端末Ｔ（すなわち、実際にはそのプロセッサ）は、（前述したように、前もってサーバＳから受信した）仮想鍵ＶＫを用いて、受信したチャレンジＲＮＤ’に暗号関数ｈを適用して応答Ｒを取得し、これは、Ｒ＝ｈ（ＲＮＤ’，ＶＫ）で表される。必要に応じて、他のデータ、例えば、車両識別名ＶＩＤを、このステップで行う計算に使用してもよい。

並行して、電子制御ユニットは、（通常動作時に）ステップＥ１１５において、予期される応答を取得するために自身の側で同じ計算を行い、この事例では、この計算の結果はＲ’で示され、これはＲ’＝ｈ（ＲＮＤ’，ＶＫ）で表される。

ユーザ端末Ｔは、（ステップＥ１１４で計算された）予期される応答Ｒを電子制御ユニット１１に送信する（ステップＥ１１６）。

電子制御ユニット１１は、次にステップＥ１１８において、ユーザ端末Ｔから受信した応答Ｒが、予期される応答Ｒ’と実際に等しいことを確認し、この場合、電子制御ユニット１１は、ユーザ端末Ｔが、車両へのアクセス権を与える仮想鍵ＶＫを実際に保持しているとみなすことができる。

ステップＥ１１８において、確認に失敗した場合（前述した通常の動作ではなく、おそらくは悪意ある人物が、仮想鍵ＶＫを知ることなく車両にアクセスしようとしている場合）は、電子制御ユニット１２０は、ステップＥ１２０において、要求された機能を行うことなく（すなわち、この場合は車両Ｖのドアをロック解除することなく）、この方法を終了する。必要に応じて、失敗のメッセージを端末Ｔに送信してもよく、その結果、対応する表示を端末Ｔに表示させることができる。

ステップＥ１１８において、ユーザ端末Ｔから受信した応答Ｒと、電子制御ユニット１１によって計算された予期される応答Ｒ’との相等性が確認された場合は、この方法はステップＥ１２２に進み、電子制御ユニットは、アクチュエータ１５に（あるいは、車両の始動の場合はアクチュエータ１７に）、対応するコマンドを送信することによって、要求された機能、この場合は車両のドアのロック解除を行う。

前述の例では、簡単な認証が使用されるが、変形例では、例えば所望される機能が車両の始動であるときは、相互認証が使用されてもよい。

また、前述の事例では、車両の貸し出しに特に適した、一時仮想鍵ＶＫが使用される。

他の実施形態では、例えば、ルート鍵ＭＫの代わりに記憶ユニット１４に記憶された鍵等の、固定の仮想鍵ＶＫを使用することが可能である。ユーザ端末で車両の機能を制御する前述のステップＥ１０２およびＥ１１０〜Ｅ１２２は、したがってこの固定仮想鍵を使用して実行することができる。仮想鍵ＶＫが記憶されるユーザ端末は、この場合は、図３の方法で使用されるユーザ端末であってもよい。ステップＥ３６、Ｅ４０およびＥ１０４〜Ｅ１０８が省略され、かつステップＥ１０２が、カウンタ値を追加することなく機能を実行する、簡単な要求である場合は、前述のカウンタを使用しないことも可能である。

図５は、ユーザ端末２０で車両１０の機能を制御するサービスにサインアップする方法の別の例の、主なステップを示す。

この方法は、ステップＥ２００から始まり、ユーザＵ（通常は車両Ｖの所有者）は、電子制御ユニット１１の通し番号Ｎと、自身の識別名ＵＩＤ（例えば、ＩＭＥＩ番号、または関連するＭＳＩＳＤＮ加入者番号等のユーザ端末２０の識別名）をサーバＳに伝達する。

この実施形態では、通し番号Ｎは、明らかに車両１０に関連付けられた識別名として使用されている。

この情報をサーバＳに伝達するために、ユーザＵは、例えば、サーバＳに関連付けられたウェブサイトに接続して、情報Ｎ、ＵＩＤをフォームに入力することができ、フォームはその後、サーバＳに送信される。このような動作は、必要に応じて端末２０を使用して行ってもよいが、ユーザＵのパソコンを使用して行ってもよい。

サーバＳは、ステップＥ２０２において、情報Ｎ、ＵＩＤを受信し、これを例えば、ユーザ端末で車両の機能を制御するサービスへのサインアップが進行している、車両専用の記憶領域に記憶する。

なお、変形例では、この情報Ｎ、ＵＩＤは、車両Ｖの購入時にサーバＳに入力されてもよい（この場合、ユーザＵは、サーバＳを管理している組織に、自身に関する情報を提供する）。

サーバＳは、次に、ステップＥ２０４において、端末２０向けのアプリケーションＡＰＰを準備し、このアプリケーションは、（ステップＥ２０２で通し番号Ｎを受信した電子制御ユニット１１のみによって読み出されるように設計された）特定のメッセージＭＳＧと、アプリケーションＡＰＰに固有の導出鍵Ｋとを含む。サーバＳは、特に、事前に記憶した情報Ｎ、ＵＩＤに関連付けて、導出鍵Ｋを記憶する。

ステップＥ２０６において、アプリケーションＡＰＰは、端末２０（以降、「端末Ｔ」として参照される）にダウンロードされてインストールされる。このために、サーバＳは端末２０に、（例えば、Ｅ２００で識別名ＵＩＤとして供給された、あるいはステップＥ２００で識別名ＵＩＤの補完物として供給された、ＭＳＩＳＤＮ加入者番号を使用して）ｈｔｔｐｓリンク等を送信し、このリンクは、ユーザＵによって、アプリケーションＡＰＰを端末Ｔにダウンロードするために後に使用される。

続くステップＥ２０８（ステップＥ２０６とは、より長い、あるいはより短い時間間隔で分離されてもよい）において、ユーザＵは、アプリケーションＡＰＰの端末Ｔでの実行を開始する。

車両Ｖの無線通信モジュール１６と、端末Ｔの無線通信モジュール２６との間の無線リンクを初期化する段階の後に、アプリケーションＡＰＰは、車両Ｖの電子制御ユニット１１に送信する特定のメッセージＭＳＧを生成する。

この特定のメッセージＭＳＧは、ステップＥ２１０において電子制御ユニット１１が受信し、特定のメッセージＭＳＧが、実際にこれに宛てたものであることを確認する。この確認が正しく行われない場合は、サインアッププロセスは終了する。

電子制御ユニット１１が、実際に特定のメッセージＭＳＧの意図された受信者である場合は、電子制御ユニット１１は、ステップＥ２１０において、例えばその通し番号Ｎ（または電子制御ユニット１１の他の識別名）と共に、サーバＳに認証要求を送信する。このような要求は、例えば、（図３の実施形態に関して前述したように）端末Ｔを介して、電子制御ユニット１１からサーバＳに送信される。このために、アプリケーションＡＰＰは、例えば、サーバ５０のＩＰアドレスを含み、このアドレスに、電子制御ユニット１１から受信した応答を送信する。変形例では、この要求は、車両Ｖの通信モジュールによって送信されてもよい。

サーバＳは認証要求および通し番号Ｎを受信し、次にステップＥ２１２において、端末Ｔ（その識別名または関連する加入番号は、前述のように、車両に関連付けられた識別名、この事例では通し番号Ｎに関連付けてサーバＳに記憶されている）にチャレンジＸを送信する。

端末Ｔは、チャレンジＸを受信して、導出されたデータ要素Ｙを取得するために、アプリケーションＡＰＰで予め受信した導出鍵Ｋを用いて（前述のステップＥ２０６を参照）、このチャレンジＸに暗号関数ｄを適用し（ステップＥ２１４）、ここで、Ｙ＝ｄ（Ｘ，Ｋ）で表される。

導出されたデータ要素Ｙは、ステップＥ２０８において前述したように、確立された無線リンクを介して、端末Ｔから、車両Ｖの電子制御ユニット１１に送信される。

電子制御ユニット１１は、導出されたデータ要素Ｙを受信し、ステップＥ２１６において、前述のように記憶ユニット１４に記憶されていた暗号鍵ＰｒＫを用いて、この導出したデータ要素Ｙに暗号関数ｆを適用することによって、応答Ｚを計算し、ここで、Ｚ＝ｆ（Ｙ，ＰｒＫ）で表される。

電子制御ユニット１１は、ステップＥ２１６で計算した応答Ｚを、例えば、前述のように端末Ｔを介して（あるいは変形例では、車両Ｖに取り付けられた通信モジュールによって）、サーバＳに送信する。

サーバＳは、応答Ｚを受信して、ステップＥ２１８において、この応答Ｚが実際に、予期した応答ｆ（ｄ（Ｘ，Ｋ），ＰｒＫ）であると確認することができる。これは、サーバＳは、電子制御ユニット１１の通し番号Ｎと関連付けて、（図２を参照して前述したように）暗号鍵ＰｒＫおよび導出鍵Ｋ（前述のステップＥ２０４を参照）を記憶するからであり、またサーバＳは、ステップＥ２１２で送信したチャレンジＸについても既知である。

電子制御ユニット１１から受信した応答Ｚが、予期した応答ｆ（ｄ（Ｘ，Ｋ），ＰｒＫ）と一致しない場合は、サインアッププロセスは終了する。

電子制御ユニット１１から受信した応答Ｚが、予期した応答ｆ（ｄ（Ｘ，Ｋ），ＰｒＫ）と一致する場合は、（各々が自身に固有の情報を使用して）応答Ｚの生成に関与した、端末Ｔと、車両Ｖの電子制御ユニット１１との各々が、実際にそれぞれ、（識別名ＵＩＤで識別された）ユーザＵと、（ここでは通し番号Ｎで識別された）車両Ｖとに関連付けられたものであることを意味し、したがって、サーバＳは、端末Ｔおよび電子制御ユニット１１を認証することができる。

次にサーバＳは、端末Ｔで車両Ｖの機能を制御するサービスへの、ユーザＵの最終的なサインアップを実行することを決定し、このために、ステップＥ２２０において、サービスの加入者用の記憶領域に、車両に関連付けた車両識別名（この事例では、通し番号Ｎ）に関連付けられた、ユーザ識別名ＵＩＤ（例えば前述のように、端末Ｔに関連付けた識別名）を記憶する。

サーバＳは次に、例えば、（ステップＥ２２２において）端末Ｔに仮想鍵ＶＫを送信することによって、車両の機能を制御するサービスへのアクセス権をユーザＵに伝達し、仮想鍵ＶＫは、前述の例にあるように、端末Ｔがこれらの機能を制御することを許可する。仮想鍵ＶＫは、したがってユーザ端末Ｔに記憶されてもよい（ステップＥ２２４）。

いくつかの実施形態では、最終サインアップ後にアクセス権がすぐに送信されるのではなく、サインアップ後に、例えばユーザＵに、（例えば、ステップＥ２００で入力した電子メールアドレスで）電子メールのメッセージを送信した後に、そしてこの電子メールメッセージに応答して、例えば、電子メールメッセージに書かれているコードを端末Ｔに入力して、ユーザＵがサービスを有効にしたことを確認した後に、アクセス権が送信されるようにしてもよい。

Claims (15)

1. ユーザ端末（２０；Ｔ）で車両（１０；Ｖ）の少なくとも１つの機能を制御するサービスにユーザ（Ｕ）をサインアップする方法であって、
   −前記ユーザ（Ｕ）の識別名（ＵＩＤ）および前記車両（１０；Ｖ）に関連付けられた識別名（ＶＩＤ；Ｎ）をサーバ（５０；Ｓ）に伝達するステップと、
   −前記サーバ（５０；Ｓ）で前記車両（１０；Ｖ）の電子ユニット（１１）を認証するステップと、
   −前記認証に成功した場合は、前記ユーザ（Ｕ）の識別名（ＵＩＤ）と、前記車両（１０、Ｖ）に関連付けられた識別名（ＶＩＤ；Ｎ）とを関連付けて、前記サーバ（５０；Ｓ）でサインアップするステップとを含むことを特徴とする、方法。
2. 前記認証するステップが、前記電子ユニット（１１）の参照番号（Ｎ）と関連付けて記憶された暗号鍵を前記サーバ（５０；Ｓ）が使用するステップ（Ｅ１４）を含む、請求項１に記載のサインアップ方法。
3. 前記認証するステップが、前記ユーザ端末（２０、Ｔ）を介した前記サーバ（５０；Ｓ）と前記電子ユニット（１１）との間のデータ交換（Ｅ１６；Ｅ２２）を含む、請求項１または２に記載のサインアップ方法。
4. 前記認証するステップが、前記サーバ（５０；Ｓ）と前記電子制御ユニット（１１）との間の相互認証プロセスの一部を形成する、請求項１〜３のいずれか一項に記載のサインアップ方法。
5. 前記車両（１０；Ｖ）にリンクする物理的対象に対して、前記ユーザ（Ｕ）が行った動作を検知するステップを含み、前記サインアップが、さらに前記検知を条件とする、請求項１〜４のいずれか一項に記載のサインアップ方法。
6. 前記認証に成功している場合は、前記検知するステップ（Ｅ３２）が単独で行われる、請求項５に記載のサインアップ方法。
7. 前記検知するステップに成功した場合は、前記電子ユニット（１１）が前記サーバ（５０；Ｓ）にサービス開始メッセージを送信するステップ（Ｅ３８）を含み、前記サービス開始メッセージを受け取ると、前記サーバ（５０；Ｓ）によって、前記サインアップするステップ（Ｅ４２）が行われる、請求項６に記載のサインアップ方法。
8. 前記物理的対象が、前記車両（１０；Ｖ）のドアのロック解除を制御できる物理的な鍵である、請求項５〜７のいずれか一項に記載の方法。
9. −前記車両（１０；Ｖ）に関連付けられた識別名（ＶＩＤ；Ｎ）に対応する、電子制御エンティティに宛てた特定のメッセージ（ＭＳＧ）を含むアプリケーション（ＡＰＰ）を、前記サーバ（５０；Ｓ）から前記端末（２０；Ｔ）にダウンロードするステップ（Ｅ２０６）と、
   −前記端末（２０；Ｔ）で前記アプリケーション（ＡＰＰ）を実行した結果として、前記特定のメッセージを前記車両（Ｖ）の前記制御ユニット（１１）に送信するステップ（Ｅ２０８）とを含む、請求項１〜８のいずれか一項に記載の方法。
10. 前記ユーザ（Ｕ）の識別名（ＵＩＤ）が、前記ユーザ端末（２０；Ｔ）の識別名である、請求項１〜９のいずれか一項に記載の方法。
11. 前記認証に成功した場合は、前記サーバ（５０；Ｓ）および前記電子ユニット（１１）のカウンタを初期化するステップ（Ｅ３６；Ｅ４０）をさらに含む、請求項１〜１０のいずれか一項に記載の方法。
12. 前記初期化ステップ（Ｅ３６；Ｅ４０）で、前記カウンタが、前記サーバ（５０；Ｓ）および前記電子ユニット（１１）に記憶された初期値で初期化され、前記カウンタが、前記サーバ（５０；Ｓ）および前記電子ユニット（１１）に記憶された周期で周期的に増分される、請求項１１に記載の方法。
13. 前記サインアップに続いて、前記端末（２０；Ｔ）に仮想鍵（ＶＫ）を送信するステップを含む、請求項１〜１２のいずれか一項に記載のサインアップ方法。
14. 前記伝達ステップが、前記ユーザ端末（２０；Ｔ）で、前記ユーザ（Ｕ）の識別名（ＵＩＤ）および前記車両（１０；Ｖ）に関連付けられた識別名（ＶＩＤ；Ｎ）を前記サーバ（５０；Ｓ）に送信することによって実行される、請求項１〜１３のいずれか一項に記載の方法。
15. 前記伝達ステップが、前記ユーザ（Ｕ）の識別名（ＵＩＤ）および前記車両（１０；Ｖ）に関連付けられた識別名（ＶＩＤ；Ｎ）を前記サーバ（５０；Ｓ）に入力することによって実行される、請求項１〜１３のいずれか一項に記載の方法。

Images