セキュリティ装置、車両用認証装置、方法及びプログラム
電子鍵（２）の認証とは別に、ＩＤカード（５）の認証と利用者認証情報の認証とを実行し、全ての認証が成功したときにエンジン始動情報を作成する。これにより、電子鍵データ又は電子鍵装置をコピーされても、車両の盗難を阻止することができる。
【発明の詳細な説明】
【技術分野】
本発明は、セキュリティ装置、車両用認証装置、方法及びプログラムに関する。
【背景技術】
従来、車両の盗難防止を図る観点から、キーレスエントリ方式やイモビライザ方式といった電子鍵方式が知られている（例えば、日本国特許第２５０６１３６号公報及び日本国特許第２６９７６０５号公報など参照）。
ここで、キーレスエントリ方式は、例えば、電子鍵装置が電子鍵データを赤外線方式で発射し、電子鍵データの照合により、ドアの開閉やエンジンの始動を行なうものである。イモビライザ方式は、例えば、電子鍵装置を鍵穴に差し込むと、電子鍵装置から電子鍵のＩＤを送信し、ＩＤの照合によりエンジンを始動させるものである。
この種の電子鍵方式は、鍵穴やスペア鍵などから鍵の複製を作り得る物理的な鍵方式に比べ、鍵の複製を作りにくい。このため、電子鍵方式は、車両の盗難をより防止し易い技術となっている。
しかしながら、以上のようなキーレスエントリ方式やイモビライザ方式の電子鍵では、次のような方法（ｉ）〜（ｉｉ）により、車両の盗難が可能となる心配がある。
（ｉ）赤外線方式で発射される電子鍵データをコピーする方法。
（ｉｉ）電子鍵のＩＤを盗むことにより電子鍵装置をコピーする方法。
これらの方法（ｉ）〜（ｉｉ）は、例えばディーラーと犯罪者が巧妙に連携した場合、実現がより容易となることから、何らかの対策を講じる必要があると考えられる。
また、販売、転売を含む車両の譲渡において、譲渡前に譲渡元が電子鍵をコピーした場合、譲渡後にも譲渡元が車両を運転可能となるので、車両が盗まれる不安がある。
【発明の開示】
本発明の目的は、電子鍵データ又は電子鍵装置をコピーされたとしても、車両の盗難を阻止し得るセキュリティ装置、車両用認証装置、方法及びプログラムを提供することにある。
本発明の第１の局面は、エンジン始動情報により走行可能な車両に搭載され、電子鍵データＫを記憶した電子鍵装置に基づいて前記車両の利用者を認証する車両用認証装置に用いられるセキュリティ装置であって、前記電子鍵データＫによりエンジンマスター鍵ＥＫが暗号化されてなる暗号化エンジンマスタ鍵Ｅ（ＥＫ）が格納される鍵情報格納手段と、個人情報、証明書Ｃ及び利用者固有鍵Ｉを記憶したＩＤ装置内の証明書Ｃを検証するためのＩＤ装置証明書検証鍵ＣＫが格納される証明書情報格納手段と、前記ＩＤ装置から入力された証明書Ｃを前記証明書情報格納手段内のＩＤ装置証明書検証鍵ＣＫを用いて検証し、当該ＩＤ装置の正当性を確認する手段と、前記正当性を確認した後、入力された利用者認証情報をＩＤ装置に検証させる手段と、このＩＤ装置による検証結果が成功したとき、当該ＩＤ装置から入力される利用者固有鍵Ｉ及び前記電子鍵装置から入力される電子鍵データＫを用いて、利用者及び電子鍵を認証する手段と、前記利用者及び電子鍵の認証が成功したとき、前記電子鍵データＫに基づいて、前記暗号化エンジンマスター鍵Ｅ（ＥＫ）を復号し、エンジンマスター鍵ＥＫを得る手段と、このエンジンマスター鍵ＥＫを用いて前記エンジン始動情報を作成する手段と、得られたエンジン始動情報を出力する手段と、を備えたセキュリティ装置である。
従って、本発明の第１の局面では、ＩＤ装置から入力された証明書ＣをＩＤ装置証明書検証鍵ＣＫを用いて検証し、ＩＤ装置の正当性を確認すると、入力された利用者認証情報をＩＤ装置に検証させ、ＩＤ装置による検証結果が成功したとき、ＩＤ装置内の利用者固有鍵Ｉ及び電子鍵装置内の電子鍵データＫを用いて、利用者及び電子鍵を認証し、利用者及び電子鍵の認証が成功したとき、エンジン始動情報を作成する。
このように、電子鍵の認証とは別に、ＩＤ装置の認証と利用者認証情報の認証とを実行し、全ての認証が成功したときにエンジン始動情報を作成するので、電子鍵データ又は電子鍵装置をコピーされたとしても、車両の盗難を阻止することができる。
【図面の簡単な説明】
図１は本発明の第１の実施形態に係る車両用認証装置の構成を示す模式図である。
図２は同実施形態における全体動作を説明するためのフローチャートである。
図３〜図５は同実施形態における利用者及び電子鍵認証の第１〜第３の具体例を説明するためのフローチャートである。
図６は本発明の第２の実施形態に係る車両用認証装置の構成を示す模式図である。
図７及び図８は同実施形態における全体動作を説明するためのフローチャートである。
図９〜図１１は同実施形態における利用者及び電子鍵認証の第１〜第３の具体例を説明するためのフローチャートである。
図１２は本発明の第３の実施形態に係る電子鍵システムの構成を示す模式図である。
図１３及び図１４は同実施形態における動作を説明するためのシーケンス図である。
図１５は本発明の第４の実施形態を説明するためのシーケンス図である。
図１６及び図１７は同実施形態を説明するためのシーケンス図である。
図１８は本発明の第５の実施形態を説明するためのシーケンス図である。
【発明を実施するための最良の形態】
以下、本発明の各実施形態について図面を参照しながら説明する。
（第１の実施形態）
図１は本発明の第１の実施形態に係る車両用認証装置の構成を示すブロック図である。この車両用認証装置は、自動車などの車両に搭載され、電子鍵読取装置１、利用者情報入力装置３、ＩＤカード読取装置４、通信装置６及びエンジン制御装置７がセキュリティ装置１０に接続されている。
ここで、電子鍵読取装置１は、携帯可能な電子鍵２を着脱自在に保持し、電子鍵２から読み出したデータをセキュリティ装置１０に送信する機能と、セキュリティ装置１０から受信したデータを電子鍵２に入力する機能とをもっている。
電子鍵（電子鍵装置）２は、例えば一般的なキーレスエントリやイモビライザシステム対応の電子鍵や接触・非接触などの形態のＩＣカードが使用可能となっており、具体的には、電子鍵通信鍵ＫＫと、電子鍵データＫ又は暗号化電子鍵データＥ（Ｋ）とが記憶される耐タンパー領域を備えている。ここで、利用者の電子鍵データＫは、エンジンマスター鍵ＥＫを復号するためのものであり、所有者の電子鍵データ署名生成鍵ＳＭＫで生成された署名（デジタル署名）が含まれている。また、電子鍵通信鍵ＫＫは通信のための認証鍵であり、メーカ出荷時に記憶されている。電子鍵データＫ又は暗号化電子鍵データＥ（Ｋ）は、鍵登録時に記憶される。
利用者情報入力装置３は、利用者を確認するための情報（例えば、ＰＩＮコードや指紋などの生態情報）をセキュリティ装置１０に入力するためのものである。
ＩＤカード読取装置４は、携帯可能なＩＤカード５（例えば、ＩＣカード免許証）を着脱自在に保持し、ＩＤカード５から読み出したデータをセキュリティ装置１０に送信する機能と、セキュリティ装置１０から受信したデータをＩＤカード５に入力する機能とをもっている。
ＩＤカード（ＩＤ装置）５は、通常のＩＣカード機能を有し、ＩＤカード読取装置４を介してセキュリティ装置１０と通信可能なものであって、利用者個人を特定するための個人情報、この個人情報から生成されたハッシュキー（利用者固有鍵）Ｉ、車両の運転許可を受けた免許区分情報Ｌ、及び、権威ある特定の機関から発行された証明書Ｃが記憶されている。ここで、個人情報、ハッシュキーＩ、免許区分情報Ｌ及び証明書Ｃは、ＩＤカード発行時に記憶される。なお、ＩＤカード５内のデータは、特定の権限を持つ者のみが読出／書込可能であり、ＩＤカードの所有者は読出可能であるが書込不可となっている。
また、ＩＤカード５は、カード形状のＩＤ装置に限らず、例えば、携帯電話、電子手帳、パソコン、ＩＤタグ、ペンダント、バッジ又は電子ブックなどの任意のＩＤ装置に変更可能となっている。この場合、同様に、ＩＤカード読取装置４はＩＤカードの読取装置に限らず、任意のＩＤ装置の読取装置に変更可能なことは言うまでもない。
通信装置６は、車両外部とセキュリティ装置１０との間の通信機能をもっている。
エンジン制御装置７は、エンジンマスター鍵ＥＫがメーカ出荷時に格納される耐タンパー領域を有し、このエンジンマスター鍵ＥＫを用いてセキュリティ装置１０との間で相互認証を行なう機能と、相互認証が成功したとき、セキュリティ装置１０からエンジン始動情報Ｓを受けると、エンジンを制御する機能とをもっている。なお、エンジンマスター鍵ＥＫは、エンジンを始動するための認証鍵である。エンジン始動情報Ｓは、セキュリティ装置１０内でエンジンマスター鍵ＥＫを用いて生成される。また、「エンジン」の用語は動力発生機を意味しており、内燃機関に限らず、モータをも包含する。
一方、セキュリティ装置１０は、ＩＤカード５や電子鍵２の正当性の検証、利用者の確認などのセキュリティ処理を行うためのものであり、具体的には、鍵情報格納領域１１、利用者情報格納領域１２、車両情報格納領域１３、証明書情報格納領域１４、プログラム格納領域１５、入出力部１６及び演算部１７を備えている。
鍵情報格納領域１１は、メーカーからの納車時に予め所有者（購買者）の電子鍵データＭＫに対応する暗号化エンジンマスター鍵ＥＭ（ＥＫ）、電子鍵データ署名検証鍵ＶＭＫ及び電子鍵通信鍵ＫＫとを格納し、利用の事前に、利用者の電子鍵データＫに対応する暗号化エンジンマスター鍵Ｅ（ＥＫ）を格納するための領域である。
ここで、暗号化エンジンマスター鍵ＥＭ（ＥＫ）は、エンジンマスター鍵ＥＫが、後述する電子鍵データＭＫ及びハッシュキーＭＩにより暗号化されたものである。電子鍵データ署名検証鍵ＶＭＫは、電子鍵データＫの署名を検証するための鍵である。
利用者情報格納領域１２は、利用の事前に利用者の登録を行い、利用者のハッシュキー群を格納するための領域である。
車両情報格納領域１３は、当該車両の車両区分情報Ｖがメーカ出荷時に格納されている領域である。車両区分情報Ｖは、当該車両が免許区分情報Ｌに対して運転可能か否かを判別するための情報である。
証明書情報格納領域１４は、正当なＩＤカードであるかどうかを検証するための鍵であるＩＤカード証明書検証鍵ＣＫがメーカ出荷時に格納されている領域である。ＩＤカード証明書検証鍵ＣＫは、ＩＤカードの証明書Ｃの有効性を確認するための鍵である。
プログラム格納領域１５は、演算部１７を制御するためのプログラムが格納された領域である。ここで、プログラムは、具体的には図２と、図３〜図５のいずれかとの処理を演算部１７に実行させるためのものである。
入出力部１６は、セキュリティ装置１０と外部の各装置１〜５との間で、データの送受信や利用者への入出力を行うものである。
演算部１７は、セキュリティの演算、照合、認証などを行なうものであり、具体的には、各格納領域１１〜１５を参照しながら、プログラム格納領域１５内のプログラムにより動作する車載ＣＰＵである。
次に、以上のように構成された車両用認証装置の動作を図２〜図５のフローチャートを用いて説明する。
（全体動作）
利用者は、車両に乗り込むと、ＩＤカード５をＩＤカード読取装置４に提示する。
セキュリティ装置１０は、図２に示すように、このＩＤカード読取装置４を通じてＩＤカード５から証明書Ｃ及び免許区分情報Ｌを読取る（ＳＴ１）。
セキュリティ装置１０は、このＩＤカード５が正しい機関から発行されたＩＤカードであるか否かを確認するため、証明書情報格納領域１４内のＩＤカード証明書検証鍵ＣＫを用いて、証明書Ｃの正当性を確認する（ＳＴ２）。
正当性の確認に失敗した場合（ＳＴ２；ＮＯ）、セキュリティ装置１０は、正しい機関から発行されたＩＤカードでないと判定し、ステップＳＴ１に戻る。
正当性の確認に成功した場合（ＳＴ２；ＮＯ）、セキュリティ装置１０は、正しい機関から発行されたＩＤカードと判定し、続いて、免許区分情報Ｌとセキュリティ装置１０内の車両情報格納領域１３に設定された車両区分情報Ｖが合致するかどうかを確認する（ＳＴ３）。免許区分情報とは、第１種普通、第２種普通、第１種大型などの車両ごとの免許区分に関する情報を指す。
免許区分情報Ｌと車両区分情報Ｖが合致しない場合（ＳＴ３；ＮＯ）、当該車両の運転許可が与えられていないものとして、ステップＳＴ１に戻る。
合致する場合（ＳＴ３；ＹＥＳ）、当該車両の運転許可が与えられているものと判定し、セキュリティ装置１０は、入出力部１６の表示パネル等（図示せず）から利用者情報の入力を促す。
利用者は、利用者情報入力装置３を通じて、ＩＤカード５内の利用者情報の読み取りを行うための利用者認証情報Ｐ（指紋などの生体認証情報やＰＩＮコード）を入力する。これにより、セキュリティ装置１０には利用者認証情報Ｐが入力される（ＳＴ４）。
セキュリティ装置１０は、入力された利用者認証情報ＰをＩＤカード読取装置４を通じてＩＤカード５に送信し、ＩＤカード５に認証情報を検証させる（ＳＴ５）。
認証情報の検証に失敗した場合（ＳＴ５；失敗）、不正な利用者であるとして、失敗結果をセキュリティ装置１０に返して、ステップＳＴ１へ戻る。
認証情報の検証に成功した場合（ＳＴ５；成功）、正しい利用者であるとして、ＩＤカード５はハッシュキーＩをセキュリティ装置１０に返し、セキュリティ装置１０はハッシュキーＩを読み取って利用者情報格納領域１２に格納する（ＳＴ６）。
次に、セキュリティ装置１０は、電子鍵２を利用して、利用者及び電子鍵の認証を行い（ＳＴ７）、この認証に伴って鍵情報格納領域１１に格納された暗号化エンジンマスター鍵Ｅ（ＥＫ）を復号する。このステップＳＴ７の詳細は、図３〜図５により後述する。
認証が失敗した場合（ＳＴ７；失敗）、不正な電子鍵の利用者であるとして、ステップＳＴ１に戻る。
認証が成功した場合（ＳＴ７；成功）、正しい電子鍵の利用者であるとして、セキュリティ装置１０は、エンジン制御装置７との間で相互認証を行う（ＳＴ８）。なお、相互認証には、セキュリティ装置１０内で復号されたエンジンマスター鍵ＥＫと、エンジン制御装置７内に格納されたエンジンマスター鍵ＥＫとが用いられる。
相互認証が失敗した場合（ＳＴ８；失敗）、少なくともどちらかが不正な装置であるとして、ステップＳＴ１に戻る。
相互認証が成功した場合（ＳＴ８；成功）、両者が正当な装置であるとして、セキュリティ装置１０は、エンジンマスター鍵ＥＫを用いて、エンジン制御装置７にエンジン始動情報Ｓを送信する（ＳＴ９）。
これにより、エンジン制御装置７は、エンジンを始動することが可能となる。
（ＳＴ７の第１具体例；利用者及び電子鍵認証）
次に、ステップＳＴ７の３通りの具体例を図３〜図５を用いて説明する。
図３はステップＳＴ７の第１の具体例を示すフローチャートである。
セキュリティ装置１０は、ステップＳＴ６でＩＤカード５から読み取った利用者のハッシュキーＩと、利用者情報格納領域１２内のハッシュキー群Ｉとを照合する（ＳＴ７−１ａ）。照合の結果、ハッシュキーＩと一致するものがない場合（ＳＴ７−２ａ；ＮＯ）、未登録の利用者であるとして、ステップＳＴ１に戻る。
一致するものがある場合（ＳＴ７−２ａ；ＹＥＳ）、登録済みの利用者であるとして、セキュリティ装置１０は、入出力部１６から利用者に電子鍵２の装着を促す。利用者は電子鍵２を電子鍵読取装置１に装着する。これにより、セキュリティ装置１０は、電子鍵読取装置１を介して電子鍵２との間で相互認証を行なう（ＳＴ７−３ａ）。なお、相互認証には、セキュリティ装置１０の鍵情報格納領域１１内の電子鍵通信鍵ＫＫと、電子鍵２に格納された電子鍵通信鍵ＫＫとが用いられる。
相互認証が失敗した場合（ＳＴ７−３ａ；失敗）、少なくともどちらかが不正な装置であるとして、ステップＳＴ１に戻る。相互認証が成功した場合（ＳＴ７−３ａ；成功）、両者が正当な装置であるとして、電子鍵２は電子鍵データＫをセキュリティ装置１０に返し、セキュリティ装置１０は電子鍵データＫを読み取る（ＳＴ７−４）。
次に、セキュリティ装置１０は、鍵情報格納領域１１内の電子鍵データ署名検証鍵ＶＭＫを用いて、電子鍵データＫの署名を検証する（ＳＴ７−５）。署名検証の結果、署名が不正な場合（ＳＴ７−５；失敗）、不正に発行された電子鍵として、ステップＳＴ１に戻る。
署名が正しい場合（ＳＴ７−５；成功）、正当に発行された電子鍵として、セキュリティ装置１０は、鍵情報格納領域１１から、電子鍵データＫに対応する暗号化エンジンマスター鍵Ｅ（ＥＫ）を読み取る（ＳＴ７−６）。これにより、セキュリティ装置１０は、電子鍵データＫを用いて、暗号化エンジンマスター鍵Ｅ（ＥＫ）を復号し（ＳＴ７−７）、エンジンマスター鍵ＥＫを得る。得られたエンジンマスター鍵ＥＫは、後段のステップＳＴ８，ＳＴ９で用いられることは前述した通りである。
（ＳＴ７の第２具体例；利用者及び電子鍵認証）
図４はステップＳＴ７の第２の具体例を示すフローチャートである。ここでは、電子鍵データＫは、ハッシュキーＩを用いて暗号化された状態で電子鍵２に格納されているものとする。
利用者は用意した電子鍵２を電子鍵読取装置１に装着する。これにより、セキュリティ装置１０は、電子鍵読取装置１を介して電子鍵２との間で相互認証を行なう（ＳＴ７−１ｂ）。なお、相互認証には、セキュリティ装置１０の鍵情報格納領域１１内の電子鍵通信鍵ＫＫと、電子鍵２に格納された電子鍵通信鍵ＫＫとが用いられる。
相互認証が失敗した場合（ＳＴ７−１ｂ；失敗）、少なくともどちらかが不正な装置であるとして、ステップＳＴ１に戻る。
相互認証が成功した場合（ＳＴ７−１ｂ；失敗）、両者が正当な装置であるとして、スセキュリティ装置１０は、ハッシュキーＩを電子鍵読取装置１を通じて電子鍵２に送信する（ＳＴ７−２ｂ）。電子鍵２は暗号化電子鍵データＥ（Ｋ）をセキュリティ装置１０に送信し、セキュリティ装置１０は暗号化電子鍵データＥ（Ｋ）を読取る（ＳＴ７−３ｂ）。続いて、セキュリティ装置１０は、この暗号化電子鍵データＥ（Ｋ）をハッシュキーＩにより復号し、電子鍵データＫを得る（ＳＴ７−４ｂ）。
以下、前述同様にステップＳＴ７−５乃至ＳＴ７−７が実行される。
（ＳＴ７の第３具体例；利用者及び電子鍵認証）
図５はステップＳＴ７の第３の具体例を示すフローチャートである。ここでは、暗号化エンジンマスター鍵Ｅ（ＥＫ）は、ハッシュキーＩと電子鍵データＫを用いて暗号化された状態で鍵情報格納領域１１に格納されているものとする。
図５に示すように、図３のステップＳＴ７−１ａ，ＳＴ７−２ａが省略され、図３のステップＳＴ７−３ａ〜ＳＴ７−６が前述同様に実行される。
以下、セキュリティ装置１０は、前述したステップＳＴ６で読み取った利用者のハッシュキーＩと電子鍵データＫを用いて、暗号化エンジンマスター鍵Ｅ（ＥＫ）を復号し（ＳＴ７−７ｃ）、エンジンマスター鍵ＥＫを得る。
上述したように本実施形態によれば、電子鍵の認証とは別に、ＩＤカードの認証と利用者認証情報の認証とを実行し、全ての認証が成功したときにエンジン始動情報を作成するので、電子鍵データ又は電子鍵装置をコピーされたとしても、車両の盗難を阻止することができる。
これにより、例えば車両メーカーから車両を購買した所有者が、車両の利用のための電子鍵を新規に発行し、電子鍵と利用者のＩＤカードと併用したときのみエンジンの制御が可能となる。また、この電子鍵を発行するための発行鍵と所有者のＩＤカードと併用したときのみ、車両の利用のための電子鍵を発行可能とするため、ディーラーと犯罪者が結託したような状況においても、犯罪者による車両の盗難が生じにくくなる。
以上のような効果に加え、ステップＳＴ７の利用者及び電子鍵認証は、図３〜図５に示す各々の具体例において、以下の効果を得ることができる。
図３に示す例の場合、発行された電子鍵の情報と利用者固有の情報との間の紐付けが行われていないため、電子鍵２の発行時に利用者のＩＤカード５が不要である。つまり、電子鍵２の発行と利用者の登録とを非同期に行うことができる。
しかし、その一方で、ステップＳＴ７−２の利用者照合を何らかの手段で回避し、ステップＳＴ７−３に戻ることが可能になると、利用者認証が実現されなくなる危険性があるので、セキュリティ装置１０のプログラムの改竄を阻止する機構が必要となる。
図４に示す例の場合、図３とは異なり、発行された電子鍵２の情報と利用者固有の情報との間の紐付けが行われているため、電子鍵２の発行時に利用者のＩＤカード５が必要となる。また、電子鍵２の利用時（エンジン始動時）もＩＤカード５が必要であり、また、電子鍵２を盗み、内部の電子鍵データＫを得ようとしても、利用者のＩＤカード５の情報Ｉで暗号化されているため、利用者のＩＤカードなくして、盗用することは困難となる。
図５に示す例の場合、図３とは異なり、発行された電子鍵２の情報と利用者固有の情報との間の紐付けが行われているため、電子鍵２の発行時に利用者のＩＤカード５が必要となる。また、電子鍵の利用時（エンジン始動時）もＩＤカード５が必要である。しかし、図４の手法とは異なり、電子鍵２内の電子鍵データＫは暗号化されていないため、何らかの手段で電子鍵データＫを読み取ることが可能となれば、鍵の偽造が完全ではないが部分的に可能になるという危険性がある。このため、電子鍵データＫは耐タンパーな領域に格納し、電子鍵２の分解などによる読み取りなどが不可能な状態にする必要がある。
（第２の実施形態）
図６は本発明の第２の実施形態に係る車両用認証装置の構成を示すブロック図であり、図１と同一部分には同一符号を付すと共に、変更部分にはアルファベットの添字Ｍ，ｒ，ｘ等を付すようにし、変更部分について主に説明する。なお、以下の各実施形態も同様にして同一部分の説明を省略する。
すなわち、本実施形態は、第１の実施形態の変形例であり、車両の所有者が利用者を登録する場合の構成を示している。なお、所有者と登録者とは、例えば家族同士の場合などが考えられる。
具合的な構成としては、前述した電子鍵読取装置１及びＩＤカード読取装置４と同様の機能を有する電子鍵登録装置１ｒ及び登録用ＩＤカード読取装置４ｒがセキュリティ装置に接続されている。また、セキュリティ装置１０内では、車両情報格納領域１３が省略され、秘密鍵情報格納領域１８が設けられている。
また、前述した利用者の電子鍵２及びＩＤカード５に代えて、所有者の電子鍵２Ｍ及びＩＤカード５Ｍと、登録者の電子鍵２ｒ及びＩＤカード５ｒとが用いられる。
ここで、電子鍵２Ｍは、例えば前述した電子鍵やＩＣカードが使用可能となっており、具体的には、電子鍵通信鍵ＫＫと、所有者の電子鍵データＭＫ又は暗号化電子鍵データＥ（ＭＫ）とが記憶される耐タンパー領域を備えている。ここで、所有者の電子鍵データＭＫには、メーカが管理する電子鍵データ署名生成鍵ＳＴＫで生成された署名が含まれている。また、電子鍵通信鍵ＫＫはメーカ出荷時に記憶されており、電子鍵データＭＫ又は暗号化電子鍵データＥ（ＭＫ）は、鍵登録時に記憶される。
登録者の電子鍵２ｒは、具体的には、電子鍵通信鍵ＫＫと、利用者の電子鍵データＫ又は暗号電子鍵データＥ（Ｋ）とが記憶される耐タンパー領域を備えている。但し、ここでは電子鍵データＫ及び暗号電子鍵データＥ（Ｋ）はいずれも未登録の状態であるとする。また、電子鍵通信鍵ＫＫはメーカ出荷時に記憶されている。
所有者のＩＤカード５Ｍは、通常のＩＣカード機能を有し、ＩＤカード読取装置４を介してセキュリティ装置１０と通信可能なものであって、所有者個人を特定するための個人情報、この個人情報から生成されたハッシュキーＭＩ、及び、権威ある特定の機関から発行された証明書ＭＣが記憶されている。
登録者のＩＤカード５ｒは、前述した利用者のＩＤカード５と同様のものである。また、ＩＤカード５Ｍ，５ｒ内のデータは、前述同様に、特定の権限を持つ者のみが読出／書込可能であり、ＩＤカードの所有者は読出可能であるが書込不可となっている。
一方、鍵情報格納領域１１ｘは、前述した鍵情報ＥＭ（ＥＫ），ＶＭＫ，ＫＫ，Ｅ（ＥＫ）に加え、車両メーカーにより生成された署名を検証するための電子鍵データ署名検証鍵ＶＴＫが格納されている。
証明書情報格納領域１４ｘは、前述した利用者（登録者）のＩＤカード証明書検証鍵ＣＫに加え、所有者の正当なＩＤカード５Ｍであるか否かを検証するための鍵であるＩＤカード証明書検証鍵ＭＣＫがメーカ出荷時に格納されている。補足すると、ＩＤカード証明書検証鍵ＭＣＫは、ＩＤカード５Ｍ内の証明書ＭＣの有効性を確認するための鍵である。
プログラム格納領域１５ｘは、前述したプログラムに代えて、図７及び図８と図９〜図１１のいずれかとの処理を演算部１７に実行させるためのプログラムが格納されている。
秘密鍵情報格納領域１８は、車両メーカーからの予め所有者（購買者）の電子鍵データ署名生成鍵ＳＭＫを格納するための領域である。電子鍵データ署名生成鍵ＳＭＫは、電子鍵データＫの署名を作成するための鍵である。この秘密鍵情報格納領域１８は、所有者のＩＤカード５Ｍ内のハッシュキーＭＩのみを用いて、読取り可能となっている。
次に、以上のように構成された車両用認証装置の動作を図７〜図１１のフローチャートを用いて説明する。
（全体動作）
図７及び図８に示すように、所有者が、新規の利用者を登録し、新規の鍵を発行する際には、所有者の電子鍵２Ｍ、ＩＤカード５Ｍ、及び、新規に登録する利用者の登録用ＩＤカード５ｒを用意する。
所有者は、車両に乗り込むと、ＩＤカード５ＭをＩＤカード読取装置４に提示する。
セキュリティ装置１０ｘは、このＩＤカード読取装置４を通じてＩＤカード５Ｍから証明書ＭＣを読取る（ＳＴ１１）。 セキュリティ装置１０ｘは、ＩＤカード５Ｍを確認するため、証明書情報格納領域１４ｘ内のＩＤカード証明書検証鍵ＭＣＫを用い、証明書ＭＣの正当性を確認する（ＳＴ１２）。
正当性の確認に失敗した場合（ＳＴ１２；ＮＯ）、セキュリティ装置１０ｘは、正しい機関から発行されたＩＤカードでないと判定し、ステップＳＴ１１に戻る。
正当性の確認に成功した場合（ＳＴ１２；ＮＯ）、セキュリティ装置１０ｘは、正しい機関から発行されたＩＤカードと判定し、入出力部１６ｘの表示パネル等（図示せず）から利用者情報の入力を促す。
所有者は、利用者情報入力装置３を通じて、ＩＤカード５Ｍ内の利用者情報の読み取りを行うための所有者認証情報ＯＰ（指紋などの生体認証情報やＰＩＮコード）を入力する。これにより、所有者認証情報ＯＰはセキュリティ装置１０ｘに入力される（ＳＴ１３）。
セキュリティ装置１０ｘは、この利用者認証情報ＯＰをＩＤカード読取装置４を通じてＩＤカード５Ｍに送信し、ＩＤカード５Ｍに認証情報を検証させる（ＳＴ１４）。
認証情報の検証に失敗した場合（ＳＴ１４；失敗）、不正な所有者であるとして、失敗結果をセキュリティ装置１０ｘに返して、ステップＳＴ１１へ戻る。
認証情報の検証に成功した場合（ＳＴ１４；成功）、正しい所有者であるとして、ＩＤカード５ＭはハッシュキーＭＩをセキュリティ装置１０ｘに返し、セキュリティ装置１０ｘはハッシュキーＭＩを読み取る（ＳＴ１５）。
次に、セキュリティ装置１０ｘは、電子鍵２Ｍを利用して、所有者及び電子鍵の認証を行い（ＳＴ１６）、この認証に伴って鍵情報格納領域１１ｘに格納された暗号化エンジンマスター鍵ＥＭ（ＥＫ）を復号する。このステップＳＴ１６の詳細は、図９〜図１１により後述する。
認証が失敗した場合（ＳＴ１６；失敗）、不正な電子鍵２Ｍの所有者であるとして、ステップＳＴ１１に戻る。
認証が成功した場合（ＳＴ１６；成功）、正しい電子鍵２Ｍの所有者であるとして、セキュリティ装置１０ｘは、登録用ＩＤカード５ｒの提示を所有者に促す。所有者は、登録用ＩＤカード５ｒを登録用ＩＤカード読取装置４ｒに提示する。
セキュリティ装置１０ｘは、登録用ＩＤカード読取装置４ｒを通じてＩＤカード５ｒから証明書Ｃを読取る（ＳＴ１７）。
セキュリティ装置１０ｘは、ＩＤカード５ｒを確認するため、証明書情報格納領域１４ｘ内のＩＤカード証明書検証鍵ＣＫを用い、証明書Ｃの正当性を確認する（ＳＴ１８）。
正当性の確認に失敗した場合（ＳＴ１８；ＮＯ）、セキュリティ装置１０ｘは、正しい機関から発行されたＩＤカードでないと判定し、ステップＳＴ１１に戻る。
正当性の確認に成功した場合（ＳＴ１８；ＮＯ）、セキュリティ装置１０ｘは、正しい機関から発行されたＩＤカードと判定し、次のステップに進む。
次のステップは、前述したステップＳＴ１６の詳細が図１０又は図１１による場合は、ステップＳＴ１９である。また、ステップＳＴ１６の詳細が図９による場合は、ステップＳＴ２２である。
ステップＳＴ１９においては、所有者は、利用者に立ち会ってもらい、利用者によって、利用者情報入力装置３を通じて、登録用ＩＤカード５ｒ内の利用者情報の読み取りを行うための利用者認証情報Ｐ（指紋などの生体認証情報やＰＩＮコード）の入力を行う。これにより、利用者認証情報Ｐはセキュリティ装置１０ｘに入力される（ＳＴ１９）。
セキュリティ装置１０ｘは、この利用者認証情報Ｐを登録用ＩＤカード読取装置４ｒを通じて登録用ＩＤカード５ｒに送信し、登録用ＩＤカード５ｒに認証情報を検証させる（ＳＴ２０）。
認証情報の検証に失敗した場合（ＳＴ２０；失敗）、不正な利用者であるとして、失敗結果をセキュリティ装置１０ｘに返して、ステップＳＴ１１へ戻る。
認証情報の検証に成功した場合（ＳＴ２０；成功）、正しい利用者であるとして、ＩＤカード５ｒはハッシュキーＩをセキュリティ装置１０ｘに返し、セキュリティ装置１０ｘはハッシュキーＩを読み取る（ＳＴ２１）。
次に、セキュリティ装置１０ｘは、ステップＳＴ１５で読み取ったハッシュキーＭＩを用いて、秘密鍵情報格納領域１８内の電子鍵データ署名生成鍵ＳＭＫを読み取り、この鍵ＳＭＫを用いて、新規の電子鍵データＫを生成する（ＳＴ２２）。
また、電子鍵データ署名生成鍵ＳＭＫが電子鍵２Ｍ内に格納されている場合、セキュリティ装置１０ｘは、ステップＳＴ１５で読み取ったハッシュキーＭＩを電子鍵２Ｍに送信し、電子鍵２Ｍが電子鍵データＫを生成し、セキュリティ装置１０ｘに返す。
なお、ステップＳＴ１６の詳細が図１０による場合は、セキュリティ装置１０ｘは、ステップＳＴ２１で読み取ったハッシュキーＩを用いて、電子鍵データＫを暗号化し、暗号化電子鍵データＥ（Ｋ）を生成する。
続いて、所有者は、用意した新規電子鍵２ｒを電子鍵登録装置１ｒに装着する。
これにより、セキュリティ装置１０ｘは、電子鍵登録装置１ｒを介して電子鍵２ｒとの間で相互認証を行なう（ＳＴ２３）。なお、相互認証には、セキュリティ装置１０ｘの鍵情報格納領域１１ｘ内の電子鍵通信鍵ＫＫと、電子鍵２ｒ内の電子鍵通信鍵ＫＫとが用いられる。
相互認証が失敗した場合（ＳＴ２３；失敗）、少なくともどちらかが不正な装置であるとして、ステップＳＴ１１に戻る。相互認証が成功した場合（ＳＴ２３；成功）、両者が正当な装置であるとして、セキュリティ装置１０ｘは、電子鍵２ｒに電子鍵データＫ、又は、暗号化電子鍵データＥ（Ｋ）を送信し、電子鍵２ｒは受信した電子鍵データを耐タンパーな領域に格納する（ＳＴ２４）。
続いて、ステップＳＴ２５においては、ＳＴ１６の詳細が図９，図１０又は図１１による場合でそれぞれ以下の処理を実行する。
ＳＴ１６の詳細が図９による場合、セキュリティ装置１０ｘは、電子鍵データＫを用いて、セキュリティ装置１０ｘ内で復号されたエンジンマスター鍵ＥＫを暗号化し、鍵情報格納領域１１ｘに暗号化エンジンマスター鍵Ｅ（ＥＫ）を登録する。
また、ＳＴ１６の詳細が図１０による場合、セキュリティ装置１０ｘは、電子鍵データＫを用いて、セキュリティ装置１０ｘ内で復号されたエンジンマスター鍵ＥＫを暗号化し、鍵情報格納領域１１ｘに暗号化エンジンマスター鍵Ｅ（ＥＫ）を登録する。
ＳＴ１６の詳細が図１１による場合、セキュリティ装置１０ｘは、ステップＳＴ２１で読み取った利用者のハッシュキーＩと電子鍵データＫを用いて、セキュリティ装置１０ｘ内で復号されたエンジンマスター鍵ＥＫを暗号化し、鍵情報格納領域１１ｘに暗号化エンジンマスター鍵Ｅ（ＥＫ）を登録する。
以上により、電子鍵２ｒの登録が完了する。なお、ＳＴ１６の詳細が図９による場合、セキュリティ装置１０ｘは利用者情報格納領域１２へのハッシュキーＩの登録を、利用の事前であれば、鍵の発行と同じタイミングに限らず、任意のタイミングで行なうことができる。
（ＳＴ１６の第１具体例；利用者及び電子鍵認証）
次に、ステップＳＴ１６の３通りの具体例を図９〜図１１を用いて説明する。
図９はステップＳＴ１６の第１の具体例を示すフローチャートであり、前述した図３と同様の処理内容となっている。
すなわち、セキュリティ装置１０ｘは、所有者のハッシュキーＭＩを照合し（ＳＴ１６−１ａ）、電子鍵２Ｍとの相互認証を行なう（ＳＴ１６−３ａ）。また、セキュリティ装置１０ｘは、電子鍵データＭＫを読み取り（ＳＴ１６−４）、電子鍵データ署名検証鍵ＶＴＫを用いて電子鍵データＭＫの署名を検証し（ＳＴ１６−５）、暗号化エンジンマスター鍵ＥＭ（ＥＫ）を読み取る（ＳＴ１６−６）。また、セキュリティ装置１０ｘは、電子鍵データＭＫを用いて暗号化エンジンマスター鍵ＥＭ（ＥＫ）を復号し（ＳＴ７−７）、エンジンマスター鍵ＥＫを得る。
（ＳＴ１６の第２具体例；利用者及び電子鍵認証）
図１０はステップＳＴ１６の第２の具体例を示すフローチャートであり、前述した図４と同様の処理内容となっている。
すなわち、電子鍵データＭＫは、ハッシュキーＭＩを用いて暗号化された状態で電子鍵２Ｍに格納されている。
セキュリティ装置１０ｘは、電子鍵２Ｍとの相互認証を行ない（ＳＴ１６−１ｂ）、ハッシュキーＭＩを電子鍵２に送信し（ＳＴ１６−２ｂ）、暗号化電子鍵データＥ（ＭＫ）を読取る（ＳＴ１６−３ｂ）。また、セキュリティ装置１０ｘは、暗号化電子鍵データＥ（ＭＫ）をハッシュキーＭＩにより復号し、電子鍵データＭＫを得る（ＳＴ１６−４ｂ）。以下、前述同様にステップＳＴ７−５乃至ＳＴ７−７が実行される。
（ＳＴ１６の第３具体例；利用者及び電子鍵認証）
図１１はステップＳＴ１６の第３の具体例を示すフローチャートであり、前述した図５と同様の処理内容となっている。
すなわち、暗号化エンジンマスター鍵ＥＭ（ＥＫ）は、ハッシュキーＭＩと電子鍵データＭＫを用いて暗号化されている。
図１１に示すように、図９のステップＳＴ１６−１ａ，ＳＴ１６−２ａが省略され、図９のステップＳＴ１６−３ａ〜ＳＴ１６−６が前述同様に実行される。
以下、セキュリティ装置１０ｘは、前述したステップＳＴ１５で読み取った利用者のハッシュキーＭＩと電子鍵データＭＫを用いて、暗号化エンジンマスター鍵ＥＭ（ＥＫ）を復号し（ＳＴ１６−７ｃ）、エンジンマスター鍵ＥＫを得る。
（電子鍵の無効化処理）
次に、電子鍵の無効化の実現手法を述べる。
個々の利用者の電子鍵Ｋを無効化する場合は、図１の利用者情報格納領域１２及び鍵情報格納領域１１に格納された、利用者のハッシュキーＩ及び利用者の暗号化エンジンマスター鍵Ｅ（ＥＫ）を削除する。これにより、この利用者の電子鍵Ｋを無効化でき、この電子鍵Ｋで車両の利用が不可能となる。
発行された全ての利用者の電子鍵Ｋを無効化する場合は、以下の通りである。
所有者の電子鍵データ署名生成鍵ＳＭＫ、電子鍵データ署名検証鍵ＶＭＫは、公開鍵暗号方式の鍵対となっており、電子鍵データ署名検証鍵ＶＭＫには車両メーカーから発行された公開鍵証明書が付与されている。従って、車両メーカーにより、この公開鍵証明書を無効化し、ネットワークを通じて公開された無効化リストを図１の通信装置６を通じて受信させる。ここで、図３、図４又は図５の各ステップＳＴ７−５において、電子鍵データ署名検証鍵ＶＭＫに付与された公開鍵証明書がこの無効化リストに記載の公開鍵証明書であるか否かを検査し、無効化された公開鍵証明書であれば、署名検証を失敗とする。これにより、電子鍵Ｋを無効化でき、全ての利用者の電子鍵で車両の利用が不可能となる。
また、同様に、車両メーカーの電子鍵データ署名生成鍵ＳＴＫ、電子鍵データ署名検証鍵ＶＴＫは公開鍵暗号方式の鍵対となっており、電子鍵データ署名検証鍵ＶＴＫには陸運局などの権威ある機関から発行された公開鍵証明書が付与されている。従って、車両の廃車時には、陸運局などの権威ある機関により、この公開鍵証明書を無効化し、ネットワークを通じて公開された無効化リストを図６の通信装置６を通じて受信させる。ここで、図３、図４又は図５の各ステップＳＴ７−５において、電子鍵データ署名検証鍵ＶＴＫに付与された公開鍵証明書がこの無効化リストに記載の公開鍵証明書であるか否かを検査し、無効化された公開鍵証明書であれば、署名検証を失敗とする。これにより、電子鍵ＭＫを無効化でき、この電子鍵ＭＫでは車両の電子鍵の発行が不可能となる。
上述したように本実施形態によれば、利用者の電子鍵２ｒを発行するための電子鍵ＭＫを用意し、この電子鍵ＭＫも同様に所有者のＩＤカード２Ｍと併用したときのみ車両の利用のための電子鍵を発行可能とするので、ディーラーと犯罪者が結託したような状況においても、犯罪者から車両の盗難を可能な限り防止する。
また、複数の利用者で車両を利用する場合に、複製の電子鍵を作ることなく、利用者ごとに新規に電子鍵を発行し、車両を利用可能にする。また、利用者毎に電子鍵を無効化し、車両を利用不可能にする。このように、利用者毎に車両を利用可能又は不可能にできるので、レンタカーのような運用をしつつ、レンタカーの盗難などを防止でき、安全な車両のレンタルが可能となる。
また、環境問題などにより、該当する車両が利用不可能になった場合に、すべての利用者及び所有者の電子鍵を無効化することで、車両の利用を不可能にし、且つ利用者の電子鍵を新規に発行不可能にして廃車手続きを促し、違法車両を公道から撤廃することが可能となる。
また、販売、転売を含む車両の譲渡において、譲渡元による車両鍵（電子鍵）の利用を無効化し、譲渡先に譲渡された車両鍵（電子鍵）を譲渡先の所有者に関連付けて有効化することが可能となり、車両盗難に対する安全性を向上できる。
以上のような効果に加え、ステップＳＴ１６の利用者及び電子鍵認証は、図９〜図１０に示す各々の具体例において、前述した図３〜図５と同様の効果を得ることができる。
（第３の実施形態）
図１２は本発明の第３の実施形態に係る車両用認証装置の構成を示すブロック図である。すなわち、本実施形態は、第２の実施形態の変形例であり、通信装置６と通信可能な認証局２０を備えている。また、登録用の電子鍵登録装置１ｒ及び登録用ＩＤカード読取装置４ｒをそれぞれ省略し、利用時及び登録時のいずれも１台の電子鍵読取装置１及びＩＤカード読取装置４を用いることとした。
ここで、認証局２０は、車両メーカーが運営してもよく、陸運局などの車両を一括して管理する機関が運営しても良く、いずれも広く信頼できる機関により運用されるとする。
また、証明書情報格納領域１４ｙは、前述した検証鍵ＭＣＫ，ＣＫに加え、ＣＡ公開鍵証明書、認証局２０により生成された署名を検証するための電子鍵データ署名検証鍵ＶＴＫに対する公開鍵証明書、電子鍵データ署名検証鍵ＶＭＫに対する公開鍵証明書、が格納されている。但し、電子鍵データ署名検証鍵ＶＴＫに対する公開鍵証明書、および、電子鍵データ署名検証鍵ＶＭＫに対する公開鍵証明書は、第２の実施形態と同様に鍵情報格納領域１１ｘに格納されていてもよい。なお、他にも証明書情報格納領域１４ｙは、公開鍵証明書の無効化リストを格納可能としている。
プログラム格納領域１５ｙは、前述したプログラムに代えて、図１３及び図１４の処理を演算部１７に実行させるためのプログラムが格納されている。このプログラムは、後述する各実施形態においては図１５〜図１８の処理を実行させるためのものとする。
次に、以上のように構成された車両用認証装置の動作を図１３及び図１４のシーケンス図を用いて詳細に説明する。
車両を譲渡する際、以下の手順で電子鍵２Ｍを譲渡する。このとき、譲渡元所有者のＩＤカード５Ａ及び譲渡先所有者のＩＤカード５Ｂを用いる。
始めに図１３に示すように、セキュリティ装置１０ｙは、譲渡元のＩＤカード５Ａを認証し（ＳＴ３２）、ＩＤカード５Ａから譲渡元所有者のハッシュキーＭＩを取得する（ＳＴ３３）。
また、セキュリティ装置１０ｙは、図９〜図１１のいずれかの手法により、所有者を認証し（ＳＴ３４）、この認証に伴って鍵情報格納領域１１ｘに格納された暗号化エンジンマスター鍵ＥＭ（ＥＫ）を復号する。
その後、セキュリティ装置１０ｙは、通信装置６を介して認証局２０に無効化依頼を行い（ＳＴ３５）、譲渡元所有者のハッシュキーＭＩを送信する（ＳＴ３６）。
認証局２０は、ハッシュキーＭＩが事前に登録された所有者のものであることを検証し（ＳＴ３７）、正当であれば当該所有者に発行した電子鍵署名検証鍵ＶＭＫの公開鍵証明書の無効化を含む公開証明書の無効化リストをセキュリティ装置１０ｙに返送する（ＳＴ３８）。
セキュリティ装置１０ｙは、無効化リストの正当性を証明書情報格納領域１４ｙ内の電子鍵データ署名検証鍵ＶＴＫで検証し（ＳＴ３９）、正当ならば証明書情報格納領域１４ｙ内に無効化リストを格納する（ＳＴ４０）。
次に、セキュリティ装置１０ｙは、図１４に示すように、譲渡先のＩＤカード５Ｂを認証し（ＳＴ４１）、ＩＤカード５Ｂから譲渡先所有者のハッシュキーＭＩ’を取得する（ＳＴ４２）。その後、セキュリティ装置１０ｙは、通信装置６を介して認証局２０に新たな公開鍵証明書発行依頼を行い（ＳＴ４３）、ハッシュキーＭＩ’を送信する（ＳＴ４４）。
また、セキュリティ装置１０ｙ内で公開鍵ペアを生成し（ＳＴ４５）、秘密鍵を電子鍵データ署名生成鍵ＳＭＫ’として秘密鍵格納領域１８に格納し、公開鍵を電子鍵データ署名検証鍵ＶＭＫ’として認証局２０に送信する。
認証局２０は、ハッシュキーＭＩ’と電子鍵データ署名検証鍵ＶＭＫ’を新たな所有者の情報として登録し（ＳＴ４６）、電子鍵データ署名検証鍵ＶＭＫ’に対する公開鍵証明書を発行し、この公開鍵証明書をセキュリティ装置１０ｙに返送する（ＳＴ４７）。
セキュリティ装置１０ｙは、証明書情報格納領域１４ｙ内の電子鍵データ署名検証鍵ＶＴＫを用いて、送られてきたＶＭＫ’に対する公開鍵証明書の正当性を検証し（ＳＴ４８）、正当ならば証明書情報格納領域１４ｙに格納する。
次に、セキュリティ装置１０ｙは、電子鍵２Ｍ内の電子鍵データＭＫと、鍵情報格納領域１１ｘ内の暗号化エンジンマスター鍵ＥＭ（ＥＫ）について、所有者のハッシュキーＭＩ’との関連付けを更新する（ＳＴ４９）。
ここで、ステップＳＴ４９は、前述したステップＳＴ３４が図９〜図１１のどの場合によるかで異なる。
図９による場合、ステップＳＴ４９は、利用者情報格納領域１２に予め格納されていた譲渡元所有者ハッシュキーＭＩを譲渡先所有者のハッシュキーＭＩ’に更新する。
図１０による場合、ステップＳＴ４９は、電子鍵２Ｍ内の譲渡元所有者ハッシュキーＭＩで暗号化されている電子鍵データＭＫを取り出し、このハッシュキーＭＩで復号した後、再度、譲渡先所有者のハッシュキーＭＩ’にて暗号化した電子鍵データＭＫ’を、電子鍵２Ｍ内の譲渡元所有者ハッシュキーＭＩで暗号化されている電子鍵データＭＫに置き換えて電子鍵２Ｍ内に格納する。
図１１による場合、電子鍵データＭＫと譲渡先所有者のハッシュキーＭＩ’で暗号化したエンジンマスター鍵を、鍵情報格納領域１１ｘに格納されている電子鍵データＭＫと譲渡元所有者のハッシュキーＭＩにより暗号化されているエンジンマスター鍵に置き換えて格納する。
以上を実行した後、電子鍵２Ｍを譲渡元所有者から譲渡先所有者に譲渡する。これにより、譲渡元所有者が登録した利用者の電子鍵は利用不可能となり、また、譲渡元所有者が譲渡した電子鍵を使用することが出来なくなる。
上述したように本実施形態によれば、認証局２０により無効化リスト及び新たな公開鍵証明書を発行してもらう構成により、電子鍵２Ｍを安全に譲渡することができる。
（第４の実施形態）
次に、本発明の第４の実施形態について説明する。
本実施形態では、認証局２０と車両の間で一時的に通信が行えない状況、又は通信を行わない電子鍵の譲渡に応用した例を図１５〜図１７を参照して詳細に説明する。
電子鍵の譲渡を行う際、常に通信を行える状況とは限らない。例えば、車両販売店舗が屋内又は地下にある場合などである。この場合、第３の実施形態では通信を行う装置を販売店が別途用意するか、又は一度屋外に出る必要があり、実施の手間や設備投資の負荷が生じる。また、認証局２０がメンテナンス等で一時的にダウンしていた場合、電子鍵の譲渡が出来ない状況になり、システムとして不完全といえる。また、通信が行える状況であっても、通信を伴った処理は通信遅延など負荷が生じるため、通信を行わずに実施可能であることが望ましい。
本実施形態は、これらの要望を満たすため、通信を行わずに電子鍵２Ｍを譲渡可能とする。そして譲渡後に通信可能で、譲渡先所有者のＩＤカード５Ｂにアクセスできる状態の際、例えば車両走行中などに自動的に認証局２０と通信を行い、第３実施形態と同様の情報を得るものである。
始めに、前述したステップＳＴ３２〜ＳＴ３４と同様に、ＩＤカード５Ａの認証（ＳＴ５２）、譲渡元所有者のハッシュキーＭＩの取得（ＳＴ５３）及び図９〜図１１の何れかによる所有者の認証（ＳＴ５４）が行われ、この認証に伴って鍵情報格納領域１１ｘ内の暗号化エンジンマスター鍵ＥＭ（ＥＫ）が復号される。
次に、図１６に示すように、セキュリティ装置１０ｙは、前述したステップＳＴ４１〜ＳＴ４２と同様に、譲渡先のＩＤカード５Ｂを認証し（ＳＴ５５）、譲渡先所有者のハッシュキーＭＩ’を取得する（ＳＴ５６）。
そして、セキュリティ装置１０ｙは、内部で公開鍵ペアを生成し（ＳＴ５７）、秘密鍵を電子鍵データ署名生成鍵ＳＭＫ’として秘密鍵格納領域１８に格納する。
一方、セキュリティ装置１０ｙは、公開鍵を電子鍵データ署名検証鍵ＶＭＫ’とし、秘密鍵情報格納領域１８に格納されている譲渡元の電子鍵データ署名生成鍵ＳＭＫによる署名を付加したＶＭＫ’に対する公開鍵証明書ＣＥＲＴ’を生成し（ＳＴ５８）、公開鍵証明書ＣＥＲＴ’を証明書情報格納領域１４ｙに格納する。
以降、電子鍵データ署名生成鍵ＳＭＫ’により生成された署名の検証は、この公開鍵証明書ＣＥＲＴ’を用いて行う。
最後に、セキュリティ装置１０ｙは、電子鍵２Ｍ内の電子鍵データＭＫ、及び鍵情報格納領域内の暗号化エンジンマスター鍵ＥＭ（ＥＫ）と所有者のハッシュキーＭＩ’の関連付けを、前述したステップＳＴ４９と同様に更新する（ＳＴ５９，ＳＴ６０）。
次に、図１７に示すように、通信が行える状態で、譲渡先所有者のＩＤカード５Ｂにアクセスできる状態になったとき、例えば車両走行中などに、セキュリティ装置１０ｙが自動的に認証局２０と通信を行う。ここで、電子鍵データ署名検証鍵ＶＭＫ’に対する公開鍵証明書を、第３実施形態と同様な公開鍵証明書に更新するための手順を示す。
まず、セキュリティ装置１０ｙは、譲渡先のＩＤカード５Ｂを認証し（ＳＴ６１）、譲渡先所有者のハッシュキーＭＩ’を取得する（ＳＴ６２）。
続いて、セキュリティ装置１０ｙは、更新依頼と譲渡先所有者のハッシュキーＭＩ’とを認証局２０に送信する（ＳＴ６３，ＳＴ６４）。さらに、セキュリティ装置１０ｙは、認証局２０に対してＶＭＫ’の公開鍵証明書ＣＥＲＴ’を送信する（ＳＴ６５）。
認証局２０は、公開鍵証明書ＣＥＲＴ’が確かに譲渡元の電子鍵データ署名生成鍵ＳＭＫにより生成された証明書であることを、事前に登録されている譲渡元所有者の電子鍵データ署名検証鍵ＶＭＫを用いて検証する（ＳＴ６６）。
検証に成功した場合、認証局２０は、ハッシュキーＭＩ’と電子鍵データ署名検証鍵ＶＭＫ’を新たな所有者の情報として登録し（ＳＴ６７），譲渡元所有者に発行した電子鍵署名検証鍵ＶＭＫの公開鍵証明書の無効化を含む公開証明書の無効化リストをセキュリティ装置１０ｙに返送する（ＳＴ６８）。
同時に、譲渡先の電子鍵データ署名検証鍵ＶＭＫ’に対して公開鍵証明書を生成し、セキュリティ装置１０ｙに返送する（ＳＴ６９）。
セキュリティ装置１０ｙは、無効化リストの正当性を証明書情報格納領域１４ｙ内の電子鍵データ署名検証鍵ＶＴＫで検証し、正当ならば証明書情報格納領域１４ｙ内に無効化リストを格納する。
同時に、セキュリティ装置１０ｙは、電子鍵データ署名検証鍵ＶＭＫ’に対する公開鍵証明書の正当性を証明書情報格納領域１４ｙ内の電子鍵データ署名検証鍵ＶＴＫで検証し、正当ならば証明書情報格納領域１４ｙ内に公開鍵証明書を格納する。
以上の手順により、セキュリティ装置１０ｙ内及び認証局２０は、両者間の通信か一時的に途絶えていたとしても、第３の実施形態と同様の情報を得ることができる。
（第５の実施形態）
次に、本発明の第５の実施形態について説明する。
本実施形態では、所有者が電子鍵２Ｍを紛失した場合でも、認証局２０との通信により新しい電子鍵を再発行することが可能な例を、図１８を参照して詳細に説明する。
まず、セキュリティ装置１０ｙは、所有者のＩＤカード５Ｍを認証し（ＳＴ７２）、ＩＤカード５Ｍから所有者のハッシュキーＭＩを取得する（ＳＴ７３）。
次に、セキュリティ装置１０ｙは、認証局２０に対して電子鍵の再発行依頼を行うとともに（ＳＴ７４）、所有者のハッシュキーＭＩを送信する（ＳＴ７５）。
認証局２０は、ハッシュキーＭＩが事前に登録された所有者のものであることを検証する（ＳＴ７６）。正当であれば、紛失した電子鍵に含まれるマスター鍵ＭＫとは異なる新たなマスター鍵ＭＫ’を生成し、以下の情報をセキュリティ装置１０ｙに返送する（ＳＴ７７，ＳＴ７８）。
ここで、ステップＳＴ７７，ＳＴ７８は、所有者及び電子鍵の認証が図９〜図１１のどの場合によるかで異なる。
図９による場合、認証局２０は、新たなマスター鍵ＭＫ’と、新たなマスター鍵ＭＫ’により暗号化されたエンジンマスター鍵ＥＭ（ＥＫ）’をセキュリティ装置に返送する。
図１０による場合、認証局２０は、所有者のハッシュキーで暗号化された新たなマスター鍵ＭＫ’と、新たなマスター鍵ＭＫ’により暗号化されたエンジンマスター鍵ＥＭ（ＥＫ）’をセキュリティ装置に返送する。
図１１による場合、認証局２０は、新たなマスター鍵ＭＫ’と、新たなマスター鍵ＭＫ’及び所有者のハッシュキーＭＩにより暗号化されたエンジンマスター鍵ＥＭ（ＥＫ）’をセキュリティ装置１０ｙに返送する。
次に、セキュリティ装置１０ｙは、鍵情報格納領域１１ｘに格納された電子鍵通信鍵ＫＫを用いて新たな電子鍵２ｒと相互認証を行い（ＳＴ７９）、認証局２０から送られてきた新たなエンジンマスター鍵ＭＫ’又は暗号化された新たなマスター鍵ＭＫ’を電子鍵２ｒ内の耐タンパ領域に格納する（ＳＴ８０）。
同時に、鍵情報格納領域１１ｘに格納された、暗号化されたエンジンマスター鍵を、認証局２０から送られてきた暗号化されたエンジンマスター鍵ＥＭ（ＥＫ）’に置き換えて格納する（ＳＴ８１）。
以上の手順により、紛失した電子鍵を利用することが不可能となり、新たな電子鍵が利用可能となる。また、事前に登録されている利用者の電子鍵は変更することなく利用可能である。
なお、上記各実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が本実施形態を実現するための各処理の一部を実行しても良い。
さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶又は一時記憶した記憶媒体も含まれる。
また、記憶媒体は１つに限らず、複数の媒体から本実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、本実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
なお、本願発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。
【産業上の利用可能性】
本発明によれば、電子鍵データ又は電子鍵装置をコピーされた際にも、車両の盗難を防止することができる。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【技術分野】
本発明は、セキュリティ装置、車両用認証装置、方法及びプログラムに関する。
【背景技術】
従来、車両の盗難防止を図る観点から、キーレスエントリ方式やイモビライザ方式といった電子鍵方式が知られている（例えば、日本国特許第２５０６１３６号公報及び日本国特許第２６９７６０５号公報など参照）。
ここで、キーレスエントリ方式は、例えば、電子鍵装置が電子鍵データを赤外線方式で発射し、電子鍵データの照合により、ドアの開閉やエンジンの始動を行なうものである。イモビライザ方式は、例えば、電子鍵装置を鍵穴に差し込むと、電子鍵装置から電子鍵のＩＤを送信し、ＩＤの照合によりエンジンを始動させるものである。
この種の電子鍵方式は、鍵穴やスペア鍵などから鍵の複製を作り得る物理的な鍵方式に比べ、鍵の複製を作りにくい。このため、電子鍵方式は、車両の盗難をより防止し易い技術となっている。
しかしながら、以上のようなキーレスエントリ方式やイモビライザ方式の電子鍵では、次のような方法（ｉ）〜（ｉｉ）により、車両の盗難が可能となる心配がある。
（ｉ）赤外線方式で発射される電子鍵データをコピーする方法。
（ｉｉ）電子鍵のＩＤを盗むことにより電子鍵装置をコピーする方法。
これらの方法（ｉ）〜（ｉｉ）は、例えばディーラーと犯罪者が巧妙に連携した場合、実現がより容易となることから、何らかの対策を講じる必要があると考えられる。
また、販売、転売を含む車両の譲渡において、譲渡前に譲渡元が電子鍵をコピーした場合、譲渡後にも譲渡元が車両を運転可能となるので、車両が盗まれる不安がある。
【発明の開示】
本発明の目的は、電子鍵データ又は電子鍵装置をコピーされたとしても、車両の盗難を阻止し得るセキュリティ装置、車両用認証装置、方法及びプログラムを提供することにある。
本発明の第１の局面は、エンジン始動情報により走行可能な車両に搭載され、電子鍵データＫを記憶した電子鍵装置に基づいて前記車両の利用者を認証する車両用認証装置に用いられるセキュリティ装置であって、前記電子鍵データＫによりエンジンマスター鍵ＥＫが暗号化されてなる暗号化エンジンマスタ鍵Ｅ（ＥＫ）が格納される鍵情報格納手段と、個人情報、証明書Ｃ及び利用者固有鍵Ｉを記憶したＩＤ装置内の証明書Ｃを検証するためのＩＤ装置証明書検証鍵ＣＫが格納される証明書情報格納手段と、前記ＩＤ装置から入力された証明書Ｃを前記証明書情報格納手段内のＩＤ装置証明書検証鍵ＣＫを用いて検証し、当該ＩＤ装置の正当性を確認する手段と、前記正当性を確認した後、入力された利用者認証情報をＩＤ装置に検証させる手段と、このＩＤ装置による検証結果が成功したとき、当該ＩＤ装置から入力される利用者固有鍵Ｉ及び前記電子鍵装置から入力される電子鍵データＫを用いて、利用者及び電子鍵を認証する手段と、前記利用者及び電子鍵の認証が成功したとき、前記電子鍵データＫに基づいて、前記暗号化エンジンマスター鍵Ｅ（ＥＫ）を復号し、エンジンマスター鍵ＥＫを得る手段と、このエンジンマスター鍵ＥＫを用いて前記エンジン始動情報を作成する手段と、得られたエンジン始動情報を出力する手段と、を備えたセキュリティ装置である。
従って、本発明の第１の局面では、ＩＤ装置から入力された証明書ＣをＩＤ装置証明書検証鍵ＣＫを用いて検証し、ＩＤ装置の正当性を確認すると、入力された利用者認証情報をＩＤ装置に検証させ、ＩＤ装置による検証結果が成功したとき、ＩＤ装置内の利用者固有鍵Ｉ及び電子鍵装置内の電子鍵データＫを用いて、利用者及び電子鍵を認証し、利用者及び電子鍵の認証が成功したとき、エンジン始動情報を作成する。
このように、電子鍵の認証とは別に、ＩＤ装置の認証と利用者認証情報の認証とを実行し、全ての認証が成功したときにエンジン始動情報を作成するので、電子鍵データ又は電子鍵装置をコピーされたとしても、車両の盗難を阻止することができる。
【図面の簡単な説明】
図１は本発明の第１の実施形態に係る車両用認証装置の構成を示す模式図である。
図２は同実施形態における全体動作を説明するためのフローチャートである。
図３〜図５は同実施形態における利用者及び電子鍵認証の第１〜第３の具体例を説明するためのフローチャートである。
図６は本発明の第２の実施形態に係る車両用認証装置の構成を示す模式図である。
図７及び図８は同実施形態における全体動作を説明するためのフローチャートである。
図９〜図１１は同実施形態における利用者及び電子鍵認証の第１〜第３の具体例を説明するためのフローチャートである。
図１２は本発明の第３の実施形態に係る電子鍵システムの構成を示す模式図である。
図１３及び図１４は同実施形態における動作を説明するためのシーケンス図である。
図１５は本発明の第４の実施形態を説明するためのシーケンス図である。
図１６及び図１７は同実施形態を説明するためのシーケンス図である。
図１８は本発明の第５の実施形態を説明するためのシーケンス図である。
【発明を実施するための最良の形態】
以下、本発明の各実施形態について図面を参照しながら説明する。
（第１の実施形態）
図１は本発明の第１の実施形態に係る車両用認証装置の構成を示すブロック図である。この車両用認証装置は、自動車などの車両に搭載され、電子鍵読取装置１、利用者情報入力装置３、ＩＤカード読取装置４、通信装置６及びエンジン制御装置７がセキュリティ装置１０に接続されている。
ここで、電子鍵読取装置１は、携帯可能な電子鍵２を着脱自在に保持し、電子鍵２から読み出したデータをセキュリティ装置１０に送信する機能と、セキュリティ装置１０から受信したデータを電子鍵２に入力する機能とをもっている。
電子鍵（電子鍵装置）２は、例えば一般的なキーレスエントリやイモビライザシステム対応の電子鍵や接触・非接触などの形態のＩＣカードが使用可能となっており、具体的には、電子鍵通信鍵ＫＫと、電子鍵データＫ又は暗号化電子鍵データＥ（Ｋ）とが記憶される耐タンパー領域を備えている。ここで、利用者の電子鍵データＫは、エンジンマスター鍵ＥＫを復号するためのものであり、所有者の電子鍵データ署名生成鍵ＳＭＫで生成された署名（デジタル署名）が含まれている。また、電子鍵通信鍵ＫＫは通信のための認証鍵であり、メーカ出荷時に記憶されている。電子鍵データＫ又は暗号化電子鍵データＥ（Ｋ）は、鍵登録時に記憶される。
利用者情報入力装置３は、利用者を確認するための情報（例えば、ＰＩＮコードや指紋などの生態情報）をセキュリティ装置１０に入力するためのものである。
ＩＤカード読取装置４は、携帯可能なＩＤカード５（例えば、ＩＣカード免許証）を着脱自在に保持し、ＩＤカード５から読み出したデータをセキュリティ装置１０に送信する機能と、セキュリティ装置１０から受信したデータをＩＤカード５に入力する機能とをもっている。
ＩＤカード（ＩＤ装置）５は、通常のＩＣカード機能を有し、ＩＤカード読取装置４を介してセキュリティ装置１０と通信可能なものであって、利用者個人を特定するための個人情報、この個人情報から生成されたハッシュキー（利用者固有鍵）Ｉ、車両の運転許可を受けた免許区分情報Ｌ、及び、権威ある特定の機関から発行された証明書Ｃが記憶されている。ここで、個人情報、ハッシュキーＩ、免許区分情報Ｌ及び証明書Ｃは、ＩＤカード発行時に記憶される。なお、ＩＤカード５内のデータは、特定の権限を持つ者のみが読出／書込可能であり、ＩＤカードの所有者は読出可能であるが書込不可となっている。
また、ＩＤカード５は、カード形状のＩＤ装置に限らず、例えば、携帯電話、電子手帳、パソコン、ＩＤタグ、ペンダント、バッジ又は電子ブックなどの任意のＩＤ装置に変更可能となっている。この場合、同様に、ＩＤカード読取装置４はＩＤカードの読取装置に限らず、任意のＩＤ装置の読取装置に変更可能なことは言うまでもない。
通信装置６は、車両外部とセキュリティ装置１０との間の通信機能をもっている。
エンジン制御装置７は、エンジンマスター鍵ＥＫがメーカ出荷時に格納される耐タンパー領域を有し、このエンジンマスター鍵ＥＫを用いてセキュリティ装置１０との間で相互認証を行なう機能と、相互認証が成功したとき、セキュリティ装置１０からエンジン始動情報Ｓを受けると、エンジンを制御する機能とをもっている。なお、エンジンマスター鍵ＥＫは、エンジンを始動するための認証鍵である。エンジン始動情報Ｓは、セキュリティ装置１０内でエンジンマスター鍵ＥＫを用いて生成される。また、「エンジン」の用語は動力発生機を意味しており、内燃機関に限らず、モータをも包含する。
一方、セキュリティ装置１０は、ＩＤカード５や電子鍵２の正当性の検証、利用者の確認などのセキュリティ処理を行うためのものであり、具体的には、鍵情報格納領域１１、利用者情報格納領域１２、車両情報格納領域１３、証明書情報格納領域１４、プログラム格納領域１５、入出力部１６及び演算部１７を備えている。
鍵情報格納領域１１は、メーカーからの納車時に予め所有者（購買者）の電子鍵データＭＫに対応する暗号化エンジンマスター鍵ＥＭ（ＥＫ）、電子鍵データ署名検証鍵ＶＭＫ及び電子鍵通信鍵ＫＫとを格納し、利用の事前に、利用者の電子鍵データＫに対応する暗号化エンジンマスター鍵Ｅ（ＥＫ）を格納するための領域である。
ここで、暗号化エンジンマスター鍵ＥＭ（ＥＫ）は、エンジンマスター鍵ＥＫが、後述する電子鍵データＭＫ及びハッシュキーＭＩにより暗号化されたものである。電子鍵データ署名検証鍵ＶＭＫは、電子鍵データＫの署名を検証するための鍵である。
利用者情報格納領域１２は、利用の事前に利用者の登録を行い、利用者のハッシュキー群を格納するための領域である。
車両情報格納領域１３は、当該車両の車両区分情報Ｖがメーカ出荷時に格納されている領域である。車両区分情報Ｖは、当該車両が免許区分情報Ｌに対して運転可能か否かを判別するための情報である。
証明書情報格納領域１４は、正当なＩＤカードであるかどうかを検証するための鍵であるＩＤカード証明書検証鍵ＣＫがメーカ出荷時に格納されている領域である。ＩＤカード証明書検証鍵ＣＫは、ＩＤカードの証明書Ｃの有効性を確認するための鍵である。
プログラム格納領域１５は、演算部１７を制御するためのプログラムが格納された領域である。ここで、プログラムは、具体的には図２と、図３〜図５のいずれかとの処理を演算部１７に実行させるためのものである。
入出力部１６は、セキュリティ装置１０と外部の各装置１〜５との間で、データの送受信や利用者への入出力を行うものである。
演算部１７は、セキュリティの演算、照合、認証などを行なうものであり、具体的には、各格納領域１１〜１５を参照しながら、プログラム格納領域１５内のプログラムにより動作する車載ＣＰＵである。
次に、以上のように構成された車両用認証装置の動作を図２〜図５のフローチャートを用いて説明する。
（全体動作）
利用者は、車両に乗り込むと、ＩＤカード５をＩＤカード読取装置４に提示する。
セキュリティ装置１０は、図２に示すように、このＩＤカード読取装置４を通じてＩＤカード５から証明書Ｃ及び免許区分情報Ｌを読取る（ＳＴ１）。
セキュリティ装置１０は、このＩＤカード５が正しい機関から発行されたＩＤカードであるか否かを確認するため、証明書情報格納領域１４内のＩＤカード証明書検証鍵ＣＫを用いて、証明書Ｃの正当性を確認する（ＳＴ２）。
正当性の確認に失敗した場合（ＳＴ２；ＮＯ）、セキュリティ装置１０は、正しい機関から発行されたＩＤカードでないと判定し、ステップＳＴ１に戻る。
正当性の確認に成功した場合（ＳＴ２；ＮＯ）、セキュリティ装置１０は、正しい機関から発行されたＩＤカードと判定し、続いて、免許区分情報Ｌとセキュリティ装置１０内の車両情報格納領域１３に設定された車両区分情報Ｖが合致するかどうかを確認する（ＳＴ３）。免許区分情報とは、第１種普通、第２種普通、第１種大型などの車両ごとの免許区分に関する情報を指す。
免許区分情報Ｌと車両区分情報Ｖが合致しない場合（ＳＴ３；ＮＯ）、当該車両の運転許可が与えられていないものとして、ステップＳＴ１に戻る。
合致する場合（ＳＴ３；ＹＥＳ）、当該車両の運転許可が与えられているものと判定し、セキュリティ装置１０は、入出力部１６の表示パネル等（図示せず）から利用者情報の入力を促す。
利用者は、利用者情報入力装置３を通じて、ＩＤカード５内の利用者情報の読み取りを行うための利用者認証情報Ｐ（指紋などの生体認証情報やＰＩＮコード）を入力する。これにより、セキュリティ装置１０には利用者認証情報Ｐが入力される（ＳＴ４）。
セキュリティ装置１０は、入力された利用者認証情報ＰをＩＤカード読取装置４を通じてＩＤカード５に送信し、ＩＤカード５に認証情報を検証させる（ＳＴ５）。
認証情報の検証に失敗した場合（ＳＴ５；失敗）、不正な利用者であるとして、失敗結果をセキュリティ装置１０に返して、ステップＳＴ１へ戻る。
認証情報の検証に成功した場合（ＳＴ５；成功）、正しい利用者であるとして、ＩＤカード５はハッシュキーＩをセキュリティ装置１０に返し、セキュリティ装置１０はハッシュキーＩを読み取って利用者情報格納領域１２に格納する（ＳＴ６）。
次に、セキュリティ装置１０は、電子鍵２を利用して、利用者及び電子鍵の認証を行い（ＳＴ７）、この認証に伴って鍵情報格納領域１１に格納された暗号化エンジンマスター鍵Ｅ（ＥＫ）を復号する。このステップＳＴ７の詳細は、図３〜図５により後述する。
認証が失敗した場合（ＳＴ７；失敗）、不正な電子鍵の利用者であるとして、ステップＳＴ１に戻る。
認証が成功した場合（ＳＴ７；成功）、正しい電子鍵の利用者であるとして、セキュリティ装置１０は、エンジン制御装置７との間で相互認証を行う（ＳＴ８）。なお、相互認証には、セキュリティ装置１０内で復号されたエンジンマスター鍵ＥＫと、エンジン制御装置７内に格納されたエンジンマスター鍵ＥＫとが用いられる。
相互認証が失敗した場合（ＳＴ８；失敗）、少なくともどちらかが不正な装置であるとして、ステップＳＴ１に戻る。
相互認証が成功した場合（ＳＴ８；成功）、両者が正当な装置であるとして、セキュリティ装置１０は、エンジンマスター鍵ＥＫを用いて、エンジン制御装置７にエンジン始動情報Ｓを送信する（ＳＴ９）。
これにより、エンジン制御装置７は、エンジンを始動することが可能となる。
（ＳＴ７の第１具体例；利用者及び電子鍵認証）
次に、ステップＳＴ７の３通りの具体例を図３〜図５を用いて説明する。
図３はステップＳＴ７の第１の具体例を示すフローチャートである。
セキュリティ装置１０は、ステップＳＴ６でＩＤカード５から読み取った利用者のハッシュキーＩと、利用者情報格納領域１２内のハッシュキー群Ｉとを照合する（ＳＴ７−１ａ）。照合の結果、ハッシュキーＩと一致するものがない場合（ＳＴ７−２ａ；ＮＯ）、未登録の利用者であるとして、ステップＳＴ１に戻る。
一致するものがある場合（ＳＴ７−２ａ；ＹＥＳ）、登録済みの利用者であるとして、セキュリティ装置１０は、入出力部１６から利用者に電子鍵２の装着を促す。利用者は電子鍵２を電子鍵読取装置１に装着する。これにより、セキュリティ装置１０は、電子鍵読取装置１を介して電子鍵２との間で相互認証を行なう（ＳＴ７−３ａ）。なお、相互認証には、セキュリティ装置１０の鍵情報格納領域１１内の電子鍵通信鍵ＫＫと、電子鍵２に格納された電子鍵通信鍵ＫＫとが用いられる。
相互認証が失敗した場合（ＳＴ７−３ａ；失敗）、少なくともどちらかが不正な装置であるとして、ステップＳＴ１に戻る。相互認証が成功した場合（ＳＴ７−３ａ；成功）、両者が正当な装置であるとして、電子鍵２は電子鍵データＫをセキュリティ装置１０に返し、セキュリティ装置１０は電子鍵データＫを読み取る（ＳＴ７−４）。
次に、セキュリティ装置１０は、鍵情報格納領域１１内の電子鍵データ署名検証鍵ＶＭＫを用いて、電子鍵データＫの署名を検証する（ＳＴ７−５）。署名検証の結果、署名が不正な場合（ＳＴ７−５；失敗）、不正に発行された電子鍵として、ステップＳＴ１に戻る。
署名が正しい場合（ＳＴ７−５；成功）、正当に発行された電子鍵として、セキュリティ装置１０は、鍵情報格納領域１１から、電子鍵データＫに対応する暗号化エンジンマスター鍵Ｅ（ＥＫ）を読み取る（ＳＴ７−６）。これにより、セキュリティ装置１０は、電子鍵データＫを用いて、暗号化エンジンマスター鍵Ｅ（ＥＫ）を復号し（ＳＴ７−７）、エンジンマスター鍵ＥＫを得る。得られたエンジンマスター鍵ＥＫは、後段のステップＳＴ８，ＳＴ９で用いられることは前述した通りである。
（ＳＴ７の第２具体例；利用者及び電子鍵認証）
図４はステップＳＴ７の第２の具体例を示すフローチャートである。ここでは、電子鍵データＫは、ハッシュキーＩを用いて暗号化された状態で電子鍵２に格納されているものとする。
利用者は用意した電子鍵２を電子鍵読取装置１に装着する。これにより、セキュリティ装置１０は、電子鍵読取装置１を介して電子鍵２との間で相互認証を行なう（ＳＴ７−１ｂ）。なお、相互認証には、セキュリティ装置１０の鍵情報格納領域１１内の電子鍵通信鍵ＫＫと、電子鍵２に格納された電子鍵通信鍵ＫＫとが用いられる。
相互認証が失敗した場合（ＳＴ７−１ｂ；失敗）、少なくともどちらかが不正な装置であるとして、ステップＳＴ１に戻る。
相互認証が成功した場合（ＳＴ７−１ｂ；失敗）、両者が正当な装置であるとして、スセキュリティ装置１０は、ハッシュキーＩを電子鍵読取装置１を通じて電子鍵２に送信する（ＳＴ７−２ｂ）。電子鍵２は暗号化電子鍵データＥ（Ｋ）をセキュリティ装置１０に送信し、セキュリティ装置１０は暗号化電子鍵データＥ（Ｋ）を読取る（ＳＴ７−３ｂ）。続いて、セキュリティ装置１０は、この暗号化電子鍵データＥ（Ｋ）をハッシュキーＩにより復号し、電子鍵データＫを得る（ＳＴ７−４ｂ）。
以下、前述同様にステップＳＴ７−５乃至ＳＴ７−７が実行される。
（ＳＴ７の第３具体例；利用者及び電子鍵認証）
図５はステップＳＴ７の第３の具体例を示すフローチャートである。ここでは、暗号化エンジンマスター鍵Ｅ（ＥＫ）は、ハッシュキーＩと電子鍵データＫを用いて暗号化された状態で鍵情報格納領域１１に格納されているものとする。
図５に示すように、図３のステップＳＴ７−１ａ，ＳＴ７−２ａが省略され、図３のステップＳＴ７−３ａ〜ＳＴ７−６が前述同様に実行される。
以下、セキュリティ装置１０は、前述したステップＳＴ６で読み取った利用者のハッシュキーＩと電子鍵データＫを用いて、暗号化エンジンマスター鍵Ｅ（ＥＫ）を復号し（ＳＴ７−７ｃ）、エンジンマスター鍵ＥＫを得る。
上述したように本実施形態によれば、電子鍵の認証とは別に、ＩＤカードの認証と利用者認証情報の認証とを実行し、全ての認証が成功したときにエンジン始動情報を作成するので、電子鍵データ又は電子鍵装置をコピーされたとしても、車両の盗難を阻止することができる。
これにより、例えば車両メーカーから車両を購買した所有者が、車両の利用のための電子鍵を新規に発行し、電子鍵と利用者のＩＤカードと併用したときのみエンジンの制御が可能となる。また、この電子鍵を発行するための発行鍵と所有者のＩＤカードと併用したときのみ、車両の利用のための電子鍵を発行可能とするため、ディーラーと犯罪者が結託したような状況においても、犯罪者による車両の盗難が生じにくくなる。
以上のような効果に加え、ステップＳＴ７の利用者及び電子鍵認証は、図３〜図５に示す各々の具体例において、以下の効果を得ることができる。
図３に示す例の場合、発行された電子鍵の情報と利用者固有の情報との間の紐付けが行われていないため、電子鍵２の発行時に利用者のＩＤカード５が不要である。つまり、電子鍵２の発行と利用者の登録とを非同期に行うことができる。
しかし、その一方で、ステップＳＴ７−２の利用者照合を何らかの手段で回避し、ステップＳＴ７−３に戻ることが可能になると、利用者認証が実現されなくなる危険性があるので、セキュリティ装置１０のプログラムの改竄を阻止する機構が必要となる。
図４に示す例の場合、図３とは異なり、発行された電子鍵２の情報と利用者固有の情報との間の紐付けが行われているため、電子鍵２の発行時に利用者のＩＤカード５が必要となる。また、電子鍵２の利用時（エンジン始動時）もＩＤカード５が必要であり、また、電子鍵２を盗み、内部の電子鍵データＫを得ようとしても、利用者のＩＤカード５の情報Ｉで暗号化されているため、利用者のＩＤカードなくして、盗用することは困難となる。
図５に示す例の場合、図３とは異なり、発行された電子鍵２の情報と利用者固有の情報との間の紐付けが行われているため、電子鍵２の発行時に利用者のＩＤカード５が必要となる。また、電子鍵の利用時（エンジン始動時）もＩＤカード５が必要である。しかし、図４の手法とは異なり、電子鍵２内の電子鍵データＫは暗号化されていないため、何らかの手段で電子鍵データＫを読み取ることが可能となれば、鍵の偽造が完全ではないが部分的に可能になるという危険性がある。このため、電子鍵データＫは耐タンパーな領域に格納し、電子鍵２の分解などによる読み取りなどが不可能な状態にする必要がある。
（第２の実施形態）
図６は本発明の第２の実施形態に係る車両用認証装置の構成を示すブロック図であり、図１と同一部分には同一符号を付すと共に、変更部分にはアルファベットの添字Ｍ，ｒ，ｘ等を付すようにし、変更部分について主に説明する。なお、以下の各実施形態も同様にして同一部分の説明を省略する。
すなわち、本実施形態は、第１の実施形態の変形例であり、車両の所有者が利用者を登録する場合の構成を示している。なお、所有者と登録者とは、例えば家族同士の場合などが考えられる。
具合的な構成としては、前述した電子鍵読取装置１及びＩＤカード読取装置４と同様の機能を有する電子鍵登録装置１ｒ及び登録用ＩＤカード読取装置４ｒがセキュリティ装置に接続されている。また、セキュリティ装置１０内では、車両情報格納領域１３が省略され、秘密鍵情報格納領域１８が設けられている。
また、前述した利用者の電子鍵２及びＩＤカード５に代えて、所有者の電子鍵２Ｍ及びＩＤカード５Ｍと、登録者の電子鍵２ｒ及びＩＤカード５ｒとが用いられる。
ここで、電子鍵２Ｍは、例えば前述した電子鍵やＩＣカードが使用可能となっており、具体的には、電子鍵通信鍵ＫＫと、所有者の電子鍵データＭＫ又は暗号化電子鍵データＥ（ＭＫ）とが記憶される耐タンパー領域を備えている。ここで、所有者の電子鍵データＭＫには、メーカが管理する電子鍵データ署名生成鍵ＳＴＫで生成された署名が含まれている。また、電子鍵通信鍵ＫＫはメーカ出荷時に記憶されており、電子鍵データＭＫ又は暗号化電子鍵データＥ（ＭＫ）は、鍵登録時に記憶される。
登録者の電子鍵２ｒは、具体的には、電子鍵通信鍵ＫＫと、利用者の電子鍵データＫ又は暗号電子鍵データＥ（Ｋ）とが記憶される耐タンパー領域を備えている。但し、ここでは電子鍵データＫ及び暗号電子鍵データＥ（Ｋ）はいずれも未登録の状態であるとする。また、電子鍵通信鍵ＫＫはメーカ出荷時に記憶されている。
所有者のＩＤカード５Ｍは、通常のＩＣカード機能を有し、ＩＤカード読取装置４を介してセキュリティ装置１０と通信可能なものであって、所有者個人を特定するための個人情報、この個人情報から生成されたハッシュキーＭＩ、及び、権威ある特定の機関から発行された証明書ＭＣが記憶されている。
登録者のＩＤカード５ｒは、前述した利用者のＩＤカード５と同様のものである。また、ＩＤカード５Ｍ，５ｒ内のデータは、前述同様に、特定の権限を持つ者のみが読出／書込可能であり、ＩＤカードの所有者は読出可能であるが書込不可となっている。
一方、鍵情報格納領域１１ｘは、前述した鍵情報ＥＭ（ＥＫ），ＶＭＫ，ＫＫ，Ｅ（ＥＫ）に加え、車両メーカーにより生成された署名を検証するための電子鍵データ署名検証鍵ＶＴＫが格納されている。
証明書情報格納領域１４ｘは、前述した利用者（登録者）のＩＤカード証明書検証鍵ＣＫに加え、所有者の正当なＩＤカード５Ｍであるか否かを検証するための鍵であるＩＤカード証明書検証鍵ＭＣＫがメーカ出荷時に格納されている。補足すると、ＩＤカード証明書検証鍵ＭＣＫは、ＩＤカード５Ｍ内の証明書ＭＣの有効性を確認するための鍵である。
プログラム格納領域１５ｘは、前述したプログラムに代えて、図７及び図８と図９〜図１１のいずれかとの処理を演算部１７に実行させるためのプログラムが格納されている。
秘密鍵情報格納領域１８は、車両メーカーからの予め所有者（購買者）の電子鍵データ署名生成鍵ＳＭＫを格納するための領域である。電子鍵データ署名生成鍵ＳＭＫは、電子鍵データＫの署名を作成するための鍵である。この秘密鍵情報格納領域１８は、所有者のＩＤカード５Ｍ内のハッシュキーＭＩのみを用いて、読取り可能となっている。
次に、以上のように構成された車両用認証装置の動作を図７〜図１１のフローチャートを用いて説明する。
（全体動作）
図７及び図８に示すように、所有者が、新規の利用者を登録し、新規の鍵を発行する際には、所有者の電子鍵２Ｍ、ＩＤカード５Ｍ、及び、新規に登録する利用者の登録用ＩＤカード５ｒを用意する。
所有者は、車両に乗り込むと、ＩＤカード５ＭをＩＤカード読取装置４に提示する。
セキュリティ装置１０ｘは、このＩＤカード読取装置４を通じてＩＤカード５Ｍから証明書ＭＣを読取る（ＳＴ１１）。 セキュリティ装置１０ｘは、ＩＤカード５Ｍを確認するため、証明書情報格納領域１４ｘ内のＩＤカード証明書検証鍵ＭＣＫを用い、証明書ＭＣの正当性を確認する（ＳＴ１２）。
正当性の確認に失敗した場合（ＳＴ１２；ＮＯ）、セキュリティ装置１０ｘは、正しい機関から発行されたＩＤカードでないと判定し、ステップＳＴ１１に戻る。
正当性の確認に成功した場合（ＳＴ１２；ＮＯ）、セキュリティ装置１０ｘは、正しい機関から発行されたＩＤカードと判定し、入出力部１６ｘの表示パネル等（図示せず）から利用者情報の入力を促す。
所有者は、利用者情報入力装置３を通じて、ＩＤカード５Ｍ内の利用者情報の読み取りを行うための所有者認証情報ＯＰ（指紋などの生体認証情報やＰＩＮコード）を入力する。これにより、所有者認証情報ＯＰはセキュリティ装置１０ｘに入力される（ＳＴ１３）。
セキュリティ装置１０ｘは、この利用者認証情報ＯＰをＩＤカード読取装置４を通じてＩＤカード５Ｍに送信し、ＩＤカード５Ｍに認証情報を検証させる（ＳＴ１４）。
認証情報の検証に失敗した場合（ＳＴ１４；失敗）、不正な所有者であるとして、失敗結果をセキュリティ装置１０ｘに返して、ステップＳＴ１１へ戻る。
認証情報の検証に成功した場合（ＳＴ１４；成功）、正しい所有者であるとして、ＩＤカード５ＭはハッシュキーＭＩをセキュリティ装置１０ｘに返し、セキュリティ装置１０ｘはハッシュキーＭＩを読み取る（ＳＴ１５）。
次に、セキュリティ装置１０ｘは、電子鍵２Ｍを利用して、所有者及び電子鍵の認証を行い（ＳＴ１６）、この認証に伴って鍵情報格納領域１１ｘに格納された暗号化エンジンマスター鍵ＥＭ（ＥＫ）を復号する。このステップＳＴ１６の詳細は、図９〜図１１により後述する。
認証が失敗した場合（ＳＴ１６；失敗）、不正な電子鍵２Ｍの所有者であるとして、ステップＳＴ１１に戻る。
認証が成功した場合（ＳＴ１６；成功）、正しい電子鍵２Ｍの所有者であるとして、セキュリティ装置１０ｘは、登録用ＩＤカード５ｒの提示を所有者に促す。所有者は、登録用ＩＤカード５ｒを登録用ＩＤカード読取装置４ｒに提示する。
セキュリティ装置１０ｘは、登録用ＩＤカード読取装置４ｒを通じてＩＤカード５ｒから証明書Ｃを読取る（ＳＴ１７）。
セキュリティ装置１０ｘは、ＩＤカード５ｒを確認するため、証明書情報格納領域１４ｘ内のＩＤカード証明書検証鍵ＣＫを用い、証明書Ｃの正当性を確認する（ＳＴ１８）。
正当性の確認に失敗した場合（ＳＴ１８；ＮＯ）、セキュリティ装置１０ｘは、正しい機関から発行されたＩＤカードでないと判定し、ステップＳＴ１１に戻る。
正当性の確認に成功した場合（ＳＴ１８；ＮＯ）、セキュリティ装置１０ｘは、正しい機関から発行されたＩＤカードと判定し、次のステップに進む。
次のステップは、前述したステップＳＴ１６の詳細が図１０又は図１１による場合は、ステップＳＴ１９である。また、ステップＳＴ１６の詳細が図９による場合は、ステップＳＴ２２である。
ステップＳＴ１９においては、所有者は、利用者に立ち会ってもらい、利用者によって、利用者情報入力装置３を通じて、登録用ＩＤカード５ｒ内の利用者情報の読み取りを行うための利用者認証情報Ｐ（指紋などの生体認証情報やＰＩＮコード）の入力を行う。これにより、利用者認証情報Ｐはセキュリティ装置１０ｘに入力される（ＳＴ１９）。
セキュリティ装置１０ｘは、この利用者認証情報Ｐを登録用ＩＤカード読取装置４ｒを通じて登録用ＩＤカード５ｒに送信し、登録用ＩＤカード５ｒに認証情報を検証させる（ＳＴ２０）。
認証情報の検証に失敗した場合（ＳＴ２０；失敗）、不正な利用者であるとして、失敗結果をセキュリティ装置１０ｘに返して、ステップＳＴ１１へ戻る。
認証情報の検証に成功した場合（ＳＴ２０；成功）、正しい利用者であるとして、ＩＤカード５ｒはハッシュキーＩをセキュリティ装置１０ｘに返し、セキュリティ装置１０ｘはハッシュキーＩを読み取る（ＳＴ２１）。
次に、セキュリティ装置１０ｘは、ステップＳＴ１５で読み取ったハッシュキーＭＩを用いて、秘密鍵情報格納領域１８内の電子鍵データ署名生成鍵ＳＭＫを読み取り、この鍵ＳＭＫを用いて、新規の電子鍵データＫを生成する（ＳＴ２２）。
また、電子鍵データ署名生成鍵ＳＭＫが電子鍵２Ｍ内に格納されている場合、セキュリティ装置１０ｘは、ステップＳＴ１５で読み取ったハッシュキーＭＩを電子鍵２Ｍに送信し、電子鍵２Ｍが電子鍵データＫを生成し、セキュリティ装置１０ｘに返す。
なお、ステップＳＴ１６の詳細が図１０による場合は、セキュリティ装置１０ｘは、ステップＳＴ２１で読み取ったハッシュキーＩを用いて、電子鍵データＫを暗号化し、暗号化電子鍵データＥ（Ｋ）を生成する。
続いて、所有者は、用意した新規電子鍵２ｒを電子鍵登録装置１ｒに装着する。
これにより、セキュリティ装置１０ｘは、電子鍵登録装置１ｒを介して電子鍵２ｒとの間で相互認証を行なう（ＳＴ２３）。なお、相互認証には、セキュリティ装置１０ｘの鍵情報格納領域１１ｘ内の電子鍵通信鍵ＫＫと、電子鍵２ｒ内の電子鍵通信鍵ＫＫとが用いられる。
相互認証が失敗した場合（ＳＴ２３；失敗）、少なくともどちらかが不正な装置であるとして、ステップＳＴ１１に戻る。相互認証が成功した場合（ＳＴ２３；成功）、両者が正当な装置であるとして、セキュリティ装置１０ｘは、電子鍵２ｒに電子鍵データＫ、又は、暗号化電子鍵データＥ（Ｋ）を送信し、電子鍵２ｒは受信した電子鍵データを耐タンパーな領域に格納する（ＳＴ２４）。
続いて、ステップＳＴ２５においては、ＳＴ１６の詳細が図９，図１０又は図１１による場合でそれぞれ以下の処理を実行する。
ＳＴ１６の詳細が図９による場合、セキュリティ装置１０ｘは、電子鍵データＫを用いて、セキュリティ装置１０ｘ内で復号されたエンジンマスター鍵ＥＫを暗号化し、鍵情報格納領域１１ｘに暗号化エンジンマスター鍵Ｅ（ＥＫ）を登録する。
また、ＳＴ１６の詳細が図１０による場合、セキュリティ装置１０ｘは、電子鍵データＫを用いて、セキュリティ装置１０ｘ内で復号されたエンジンマスター鍵ＥＫを暗号化し、鍵情報格納領域１１ｘに暗号化エンジンマスター鍵Ｅ（ＥＫ）を登録する。
ＳＴ１６の詳細が図１１による場合、セキュリティ装置１０ｘは、ステップＳＴ２１で読み取った利用者のハッシュキーＩと電子鍵データＫを用いて、セキュリティ装置１０ｘ内で復号されたエンジンマスター鍵ＥＫを暗号化し、鍵情報格納領域１１ｘに暗号化エンジンマスター鍵Ｅ（ＥＫ）を登録する。
以上により、電子鍵２ｒの登録が完了する。なお、ＳＴ１６の詳細が図９による場合、セキュリティ装置１０ｘは利用者情報格納領域１２へのハッシュキーＩの登録を、利用の事前であれば、鍵の発行と同じタイミングに限らず、任意のタイミングで行なうことができる。
（ＳＴ１６の第１具体例；利用者及び電子鍵認証）
次に、ステップＳＴ１６の３通りの具体例を図９〜図１１を用いて説明する。
図９はステップＳＴ１６の第１の具体例を示すフローチャートであり、前述した図３と同様の処理内容となっている。
すなわち、セキュリティ装置１０ｘは、所有者のハッシュキーＭＩを照合し（ＳＴ１６−１ａ）、電子鍵２Ｍとの相互認証を行なう（ＳＴ１６−３ａ）。また、セキュリティ装置１０ｘは、電子鍵データＭＫを読み取り（ＳＴ１６−４）、電子鍵データ署名検証鍵ＶＴＫを用いて電子鍵データＭＫの署名を検証し（ＳＴ１６−５）、暗号化エンジンマスター鍵ＥＭ（ＥＫ）を読み取る（ＳＴ１６−６）。また、セキュリティ装置１０ｘは、電子鍵データＭＫを用いて暗号化エンジンマスター鍵ＥＭ（ＥＫ）を復号し（ＳＴ７−７）、エンジンマスター鍵ＥＫを得る。
（ＳＴ１６の第２具体例；利用者及び電子鍵認証）
図１０はステップＳＴ１６の第２の具体例を示すフローチャートであり、前述した図４と同様の処理内容となっている。
すなわち、電子鍵データＭＫは、ハッシュキーＭＩを用いて暗号化された状態で電子鍵２Ｍに格納されている。
セキュリティ装置１０ｘは、電子鍵２Ｍとの相互認証を行ない（ＳＴ１６−１ｂ）、ハッシュキーＭＩを電子鍵２に送信し（ＳＴ１６−２ｂ）、暗号化電子鍵データＥ（ＭＫ）を読取る（ＳＴ１６−３ｂ）。また、セキュリティ装置１０ｘは、暗号化電子鍵データＥ（ＭＫ）をハッシュキーＭＩにより復号し、電子鍵データＭＫを得る（ＳＴ１６−４ｂ）。以下、前述同様にステップＳＴ７−５乃至ＳＴ７−７が実行される。
（ＳＴ１６の第３具体例；利用者及び電子鍵認証）
図１１はステップＳＴ１６の第３の具体例を示すフローチャートであり、前述した図５と同様の処理内容となっている。
すなわち、暗号化エンジンマスター鍵ＥＭ（ＥＫ）は、ハッシュキーＭＩと電子鍵データＭＫを用いて暗号化されている。
図１１に示すように、図９のステップＳＴ１６−１ａ，ＳＴ１６−２ａが省略され、図９のステップＳＴ１６−３ａ〜ＳＴ１６−６が前述同様に実行される。
以下、セキュリティ装置１０ｘは、前述したステップＳＴ１５で読み取った利用者のハッシュキーＭＩと電子鍵データＭＫを用いて、暗号化エンジンマスター鍵ＥＭ（ＥＫ）を復号し（ＳＴ１６−７ｃ）、エンジンマスター鍵ＥＫを得る。
（電子鍵の無効化処理）
次に、電子鍵の無効化の実現手法を述べる。
個々の利用者の電子鍵Ｋを無効化する場合は、図１の利用者情報格納領域１２及び鍵情報格納領域１１に格納された、利用者のハッシュキーＩ及び利用者の暗号化エンジンマスター鍵Ｅ（ＥＫ）を削除する。これにより、この利用者の電子鍵Ｋを無効化でき、この電子鍵Ｋで車両の利用が不可能となる。
発行された全ての利用者の電子鍵Ｋを無効化する場合は、以下の通りである。
所有者の電子鍵データ署名生成鍵ＳＭＫ、電子鍵データ署名検証鍵ＶＭＫは、公開鍵暗号方式の鍵対となっており、電子鍵データ署名検証鍵ＶＭＫには車両メーカーから発行された公開鍵証明書が付与されている。従って、車両メーカーにより、この公開鍵証明書を無効化し、ネットワークを通じて公開された無効化リストを図１の通信装置６を通じて受信させる。ここで、図３、図４又は図５の各ステップＳＴ７−５において、電子鍵データ署名検証鍵ＶＭＫに付与された公開鍵証明書がこの無効化リストに記載の公開鍵証明書であるか否かを検査し、無効化された公開鍵証明書であれば、署名検証を失敗とする。これにより、電子鍵Ｋを無効化でき、全ての利用者の電子鍵で車両の利用が不可能となる。
また、同様に、車両メーカーの電子鍵データ署名生成鍵ＳＴＫ、電子鍵データ署名検証鍵ＶＴＫは公開鍵暗号方式の鍵対となっており、電子鍵データ署名検証鍵ＶＴＫには陸運局などの権威ある機関から発行された公開鍵証明書が付与されている。従って、車両の廃車時には、陸運局などの権威ある機関により、この公開鍵証明書を無効化し、ネットワークを通じて公開された無効化リストを図６の通信装置６を通じて受信させる。ここで、図３、図４又は図５の各ステップＳＴ７−５において、電子鍵データ署名検証鍵ＶＴＫに付与された公開鍵証明書がこの無効化リストに記載の公開鍵証明書であるか否かを検査し、無効化された公開鍵証明書であれば、署名検証を失敗とする。これにより、電子鍵ＭＫを無効化でき、この電子鍵ＭＫでは車両の電子鍵の発行が不可能となる。
上述したように本実施形態によれば、利用者の電子鍵２ｒを発行するための電子鍵ＭＫを用意し、この電子鍵ＭＫも同様に所有者のＩＤカード２Ｍと併用したときのみ車両の利用のための電子鍵を発行可能とするので、ディーラーと犯罪者が結託したような状況においても、犯罪者から車両の盗難を可能な限り防止する。
また、複数の利用者で車両を利用する場合に、複製の電子鍵を作ることなく、利用者ごとに新規に電子鍵を発行し、車両を利用可能にする。また、利用者毎に電子鍵を無効化し、車両を利用不可能にする。このように、利用者毎に車両を利用可能又は不可能にできるので、レンタカーのような運用をしつつ、レンタカーの盗難などを防止でき、安全な車両のレンタルが可能となる。
また、環境問題などにより、該当する車両が利用不可能になった場合に、すべての利用者及び所有者の電子鍵を無効化することで、車両の利用を不可能にし、且つ利用者の電子鍵を新規に発行不可能にして廃車手続きを促し、違法車両を公道から撤廃することが可能となる。
また、販売、転売を含む車両の譲渡において、譲渡元による車両鍵（電子鍵）の利用を無効化し、譲渡先に譲渡された車両鍵（電子鍵）を譲渡先の所有者に関連付けて有効化することが可能となり、車両盗難に対する安全性を向上できる。
以上のような効果に加え、ステップＳＴ１６の利用者及び電子鍵認証は、図９〜図１０に示す各々の具体例において、前述した図３〜図５と同様の効果を得ることができる。
（第３の実施形態）
図１２は本発明の第３の実施形態に係る車両用認証装置の構成を示すブロック図である。すなわち、本実施形態は、第２の実施形態の変形例であり、通信装置６と通信可能な認証局２０を備えている。また、登録用の電子鍵登録装置１ｒ及び登録用ＩＤカード読取装置４ｒをそれぞれ省略し、利用時及び登録時のいずれも１台の電子鍵読取装置１及びＩＤカード読取装置４を用いることとした。
ここで、認証局２０は、車両メーカーが運営してもよく、陸運局などの車両を一括して管理する機関が運営しても良く、いずれも広く信頼できる機関により運用されるとする。
また、証明書情報格納領域１４ｙは、前述した検証鍵ＭＣＫ，ＣＫに加え、ＣＡ公開鍵証明書、認証局２０により生成された署名を検証するための電子鍵データ署名検証鍵ＶＴＫに対する公開鍵証明書、電子鍵データ署名検証鍵ＶＭＫに対する公開鍵証明書、が格納されている。但し、電子鍵データ署名検証鍵ＶＴＫに対する公開鍵証明書、および、電子鍵データ署名検証鍵ＶＭＫに対する公開鍵証明書は、第２の実施形態と同様に鍵情報格納領域１１ｘに格納されていてもよい。なお、他にも証明書情報格納領域１４ｙは、公開鍵証明書の無効化リストを格納可能としている。
プログラム格納領域１５ｙは、前述したプログラムに代えて、図１３及び図１４の処理を演算部１７に実行させるためのプログラムが格納されている。このプログラムは、後述する各実施形態においては図１５〜図１８の処理を実行させるためのものとする。
次に、以上のように構成された車両用認証装置の動作を図１３及び図１４のシーケンス図を用いて詳細に説明する。
車両を譲渡する際、以下の手順で電子鍵２Ｍを譲渡する。このとき、譲渡元所有者のＩＤカード５Ａ及び譲渡先所有者のＩＤカード５Ｂを用いる。
始めに図１３に示すように、セキュリティ装置１０ｙは、譲渡元のＩＤカード５Ａを認証し（ＳＴ３２）、ＩＤカード５Ａから譲渡元所有者のハッシュキーＭＩを取得する（ＳＴ３３）。
また、セキュリティ装置１０ｙは、図９〜図１１のいずれかの手法により、所有者を認証し（ＳＴ３４）、この認証に伴って鍵情報格納領域１１ｘに格納された暗号化エンジンマスター鍵ＥＭ（ＥＫ）を復号する。
その後、セキュリティ装置１０ｙは、通信装置６を介して認証局２０に無効化依頼を行い（ＳＴ３５）、譲渡元所有者のハッシュキーＭＩを送信する（ＳＴ３６）。
認証局２０は、ハッシュキーＭＩが事前に登録された所有者のものであることを検証し（ＳＴ３７）、正当であれば当該所有者に発行した電子鍵署名検証鍵ＶＭＫの公開鍵証明書の無効化を含む公開証明書の無効化リストをセキュリティ装置１０ｙに返送する（ＳＴ３８）。
セキュリティ装置１０ｙは、無効化リストの正当性を証明書情報格納領域１４ｙ内の電子鍵データ署名検証鍵ＶＴＫで検証し（ＳＴ３９）、正当ならば証明書情報格納領域１４ｙ内に無効化リストを格納する（ＳＴ４０）。
次に、セキュリティ装置１０ｙは、図１４に示すように、譲渡先のＩＤカード５Ｂを認証し（ＳＴ４１）、ＩＤカード５Ｂから譲渡先所有者のハッシュキーＭＩ’を取得する（ＳＴ４２）。その後、セキュリティ装置１０ｙは、通信装置６を介して認証局２０に新たな公開鍵証明書発行依頼を行い（ＳＴ４３）、ハッシュキーＭＩ’を送信する（ＳＴ４４）。
また、セキュリティ装置１０ｙ内で公開鍵ペアを生成し（ＳＴ４５）、秘密鍵を電子鍵データ署名生成鍵ＳＭＫ’として秘密鍵格納領域１８に格納し、公開鍵を電子鍵データ署名検証鍵ＶＭＫ’として認証局２０に送信する。
認証局２０は、ハッシュキーＭＩ’と電子鍵データ署名検証鍵ＶＭＫ’を新たな所有者の情報として登録し（ＳＴ４６）、電子鍵データ署名検証鍵ＶＭＫ’に対する公開鍵証明書を発行し、この公開鍵証明書をセキュリティ装置１０ｙに返送する（ＳＴ４７）。
セキュリティ装置１０ｙは、証明書情報格納領域１４ｙ内の電子鍵データ署名検証鍵ＶＴＫを用いて、送られてきたＶＭＫ’に対する公開鍵証明書の正当性を検証し（ＳＴ４８）、正当ならば証明書情報格納領域１４ｙに格納する。
次に、セキュリティ装置１０ｙは、電子鍵２Ｍ内の電子鍵データＭＫと、鍵情報格納領域１１ｘ内の暗号化エンジンマスター鍵ＥＭ（ＥＫ）について、所有者のハッシュキーＭＩ’との関連付けを更新する（ＳＴ４９）。
ここで、ステップＳＴ４９は、前述したステップＳＴ３４が図９〜図１１のどの場合によるかで異なる。
図９による場合、ステップＳＴ４９は、利用者情報格納領域１２に予め格納されていた譲渡元所有者ハッシュキーＭＩを譲渡先所有者のハッシュキーＭＩ’に更新する。
図１０による場合、ステップＳＴ４９は、電子鍵２Ｍ内の譲渡元所有者ハッシュキーＭＩで暗号化されている電子鍵データＭＫを取り出し、このハッシュキーＭＩで復号した後、再度、譲渡先所有者のハッシュキーＭＩ’にて暗号化した電子鍵データＭＫ’を、電子鍵２Ｍ内の譲渡元所有者ハッシュキーＭＩで暗号化されている電子鍵データＭＫに置き換えて電子鍵２Ｍ内に格納する。
図１１による場合、電子鍵データＭＫと譲渡先所有者のハッシュキーＭＩ’で暗号化したエンジンマスター鍵を、鍵情報格納領域１１ｘに格納されている電子鍵データＭＫと譲渡元所有者のハッシュキーＭＩにより暗号化されているエンジンマスター鍵に置き換えて格納する。
以上を実行した後、電子鍵２Ｍを譲渡元所有者から譲渡先所有者に譲渡する。これにより、譲渡元所有者が登録した利用者の電子鍵は利用不可能となり、また、譲渡元所有者が譲渡した電子鍵を使用することが出来なくなる。
上述したように本実施形態によれば、認証局２０により無効化リスト及び新たな公開鍵証明書を発行してもらう構成により、電子鍵２Ｍを安全に譲渡することができる。
（第４の実施形態）
次に、本発明の第４の実施形態について説明する。
本実施形態では、認証局２０と車両の間で一時的に通信が行えない状況、又は通信を行わない電子鍵の譲渡に応用した例を図１５〜図１７を参照して詳細に説明する。
電子鍵の譲渡を行う際、常に通信を行える状況とは限らない。例えば、車両販売店舗が屋内又は地下にある場合などである。この場合、第３の実施形態では通信を行う装置を販売店が別途用意するか、又は一度屋外に出る必要があり、実施の手間や設備投資の負荷が生じる。また、認証局２０がメンテナンス等で一時的にダウンしていた場合、電子鍵の譲渡が出来ない状況になり、システムとして不完全といえる。また、通信が行える状況であっても、通信を伴った処理は通信遅延など負荷が生じるため、通信を行わずに実施可能であることが望ましい。
本実施形態は、これらの要望を満たすため、通信を行わずに電子鍵２Ｍを譲渡可能とする。そして譲渡後に通信可能で、譲渡先所有者のＩＤカード５Ｂにアクセスできる状態の際、例えば車両走行中などに自動的に認証局２０と通信を行い、第３実施形態と同様の情報を得るものである。
始めに、前述したステップＳＴ３２〜ＳＴ３４と同様に、ＩＤカード５Ａの認証（ＳＴ５２）、譲渡元所有者のハッシュキーＭＩの取得（ＳＴ５３）及び図９〜図１１の何れかによる所有者の認証（ＳＴ５４）が行われ、この認証に伴って鍵情報格納領域１１ｘ内の暗号化エンジンマスター鍵ＥＭ（ＥＫ）が復号される。
次に、図１６に示すように、セキュリティ装置１０ｙは、前述したステップＳＴ４１〜ＳＴ４２と同様に、譲渡先のＩＤカード５Ｂを認証し（ＳＴ５５）、譲渡先所有者のハッシュキーＭＩ’を取得する（ＳＴ５６）。
そして、セキュリティ装置１０ｙは、内部で公開鍵ペアを生成し（ＳＴ５７）、秘密鍵を電子鍵データ署名生成鍵ＳＭＫ’として秘密鍵格納領域１８に格納する。
一方、セキュリティ装置１０ｙは、公開鍵を電子鍵データ署名検証鍵ＶＭＫ’とし、秘密鍵情報格納領域１８に格納されている譲渡元の電子鍵データ署名生成鍵ＳＭＫによる署名を付加したＶＭＫ’に対する公開鍵証明書ＣＥＲＴ’を生成し（ＳＴ５８）、公開鍵証明書ＣＥＲＴ’を証明書情報格納領域１４ｙに格納する。
以降、電子鍵データ署名生成鍵ＳＭＫ’により生成された署名の検証は、この公開鍵証明書ＣＥＲＴ’を用いて行う。
最後に、セキュリティ装置１０ｙは、電子鍵２Ｍ内の電子鍵データＭＫ、及び鍵情報格納領域内の暗号化エンジンマスター鍵ＥＭ（ＥＫ）と所有者のハッシュキーＭＩ’の関連付けを、前述したステップＳＴ４９と同様に更新する（ＳＴ５９，ＳＴ６０）。
次に、図１７に示すように、通信が行える状態で、譲渡先所有者のＩＤカード５Ｂにアクセスできる状態になったとき、例えば車両走行中などに、セキュリティ装置１０ｙが自動的に認証局２０と通信を行う。ここで、電子鍵データ署名検証鍵ＶＭＫ’に対する公開鍵証明書を、第３実施形態と同様な公開鍵証明書に更新するための手順を示す。
まず、セキュリティ装置１０ｙは、譲渡先のＩＤカード５Ｂを認証し（ＳＴ６１）、譲渡先所有者のハッシュキーＭＩ’を取得する（ＳＴ６２）。
続いて、セキュリティ装置１０ｙは、更新依頼と譲渡先所有者のハッシュキーＭＩ’とを認証局２０に送信する（ＳＴ６３，ＳＴ６４）。さらに、セキュリティ装置１０ｙは、認証局２０に対してＶＭＫ’の公開鍵証明書ＣＥＲＴ’を送信する（ＳＴ６５）。
認証局２０は、公開鍵証明書ＣＥＲＴ’が確かに譲渡元の電子鍵データ署名生成鍵ＳＭＫにより生成された証明書であることを、事前に登録されている譲渡元所有者の電子鍵データ署名検証鍵ＶＭＫを用いて検証する（ＳＴ６６）。
検証に成功した場合、認証局２０は、ハッシュキーＭＩ’と電子鍵データ署名検証鍵ＶＭＫ’を新たな所有者の情報として登録し（ＳＴ６７），譲渡元所有者に発行した電子鍵署名検証鍵ＶＭＫの公開鍵証明書の無効化を含む公開証明書の無効化リストをセキュリティ装置１０ｙに返送する（ＳＴ６８）。
同時に、譲渡先の電子鍵データ署名検証鍵ＶＭＫ’に対して公開鍵証明書を生成し、セキュリティ装置１０ｙに返送する（ＳＴ６９）。
セキュリティ装置１０ｙは、無効化リストの正当性を証明書情報格納領域１４ｙ内の電子鍵データ署名検証鍵ＶＴＫで検証し、正当ならば証明書情報格納領域１４ｙ内に無効化リストを格納する。
同時に、セキュリティ装置１０ｙは、電子鍵データ署名検証鍵ＶＭＫ’に対する公開鍵証明書の正当性を証明書情報格納領域１４ｙ内の電子鍵データ署名検証鍵ＶＴＫで検証し、正当ならば証明書情報格納領域１４ｙ内に公開鍵証明書を格納する。
以上の手順により、セキュリティ装置１０ｙ内及び認証局２０は、両者間の通信か一時的に途絶えていたとしても、第３の実施形態と同様の情報を得ることができる。
（第５の実施形態）
次に、本発明の第５の実施形態について説明する。
本実施形態では、所有者が電子鍵２Ｍを紛失した場合でも、認証局２０との通信により新しい電子鍵を再発行することが可能な例を、図１８を参照して詳細に説明する。
まず、セキュリティ装置１０ｙは、所有者のＩＤカード５Ｍを認証し（ＳＴ７２）、ＩＤカード５Ｍから所有者のハッシュキーＭＩを取得する（ＳＴ７３）。
次に、セキュリティ装置１０ｙは、認証局２０に対して電子鍵の再発行依頼を行うとともに（ＳＴ７４）、所有者のハッシュキーＭＩを送信する（ＳＴ７５）。
認証局２０は、ハッシュキーＭＩが事前に登録された所有者のものであることを検証する（ＳＴ７６）。正当であれば、紛失した電子鍵に含まれるマスター鍵ＭＫとは異なる新たなマスター鍵ＭＫ’を生成し、以下の情報をセキュリティ装置１０ｙに返送する（ＳＴ７７，ＳＴ７８）。
ここで、ステップＳＴ７７，ＳＴ７８は、所有者及び電子鍵の認証が図９〜図１１のどの場合によるかで異なる。
図９による場合、認証局２０は、新たなマスター鍵ＭＫ’と、新たなマスター鍵ＭＫ’により暗号化されたエンジンマスター鍵ＥＭ（ＥＫ）’をセキュリティ装置に返送する。
図１０による場合、認証局２０は、所有者のハッシュキーで暗号化された新たなマスター鍵ＭＫ’と、新たなマスター鍵ＭＫ’により暗号化されたエンジンマスター鍵ＥＭ（ＥＫ）’をセキュリティ装置に返送する。
図１１による場合、認証局２０は、新たなマスター鍵ＭＫ’と、新たなマスター鍵ＭＫ’及び所有者のハッシュキーＭＩにより暗号化されたエンジンマスター鍵ＥＭ（ＥＫ）’をセキュリティ装置１０ｙに返送する。
次に、セキュリティ装置１０ｙは、鍵情報格納領域１１ｘに格納された電子鍵通信鍵ＫＫを用いて新たな電子鍵２ｒと相互認証を行い（ＳＴ７９）、認証局２０から送られてきた新たなエンジンマスター鍵ＭＫ’又は暗号化された新たなマスター鍵ＭＫ’を電子鍵２ｒ内の耐タンパ領域に格納する（ＳＴ８０）。
同時に、鍵情報格納領域１１ｘに格納された、暗号化されたエンジンマスター鍵を、認証局２０から送られてきた暗号化されたエンジンマスター鍵ＥＭ（ＥＫ）’に置き換えて格納する（ＳＴ８１）。
以上の手順により、紛失した電子鍵を利用することが不可能となり、新たな電子鍵が利用可能となる。また、事前に登録されている利用者の電子鍵は変更することなく利用可能である。
なお、上記各実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が本実施形態を実現するための各処理の一部を実行しても良い。
さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶又は一時記憶した記憶媒体も含まれる。
また、記憶媒体は１つに限らず、複数の媒体から本実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、本実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
なお、本願発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。
【産業上の利用可能性】
本発明によれば、電子鍵データ又は電子鍵装置をコピーされた際にも、車両の盗難を防止することができる。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【特許請求の範囲】
【請求項１】
エンジン始動情報により走行可能な車両に搭載され、電子鍵データ（Ｋ）を記憶した電子鍵装置（２）に基づいて前記車両の利用者を認証する車両用認証装置に用いられるセキュリティ装置（１０）であって、
前記電子鍵データ（Ｋ）によりエンジンマスター鍵（ＥＫ）が暗号化されてなる暗号化エンジンマスタ鍵（Ｅ（ＥＫ））が格納される鍵情報格納手段（１１）と、
個人情報、証明書（Ｃ）及び利用者固有鍵（Ｉ）を記憶したＩＤ装置（５）内の証明書（Ｃ）を検証するためのＩＤ装置証明書検証鍵（ＣＫ）が格納される証明書情報格納手段（１２）と、
前記ＩＤ装置から入力された証明書（Ｃ）を前記証明書情報格納手段内のＩＤ装置証明書検証鍵（ＣＫ）を用いて検証し、当該ＩＤ装置の正当性を確認する手段（１５〜１７）と、
前記正当性を確認した後、入力された利用者認証情報をＩＤ装置に検証させる手段（１５〜１７）と、
このＩＤ装置による検証結果が成功したとき、当該ＩＤ装置から入力される利用者固有鍵Ｉ及び前記電子鍵装置から入力される電子鍵データＫを用いて、利用者及び電子鍵を認証する手段（１５〜１７）と、
前記利用者及び電子鍵の認証が成功したとき、前記電子鍵データ（Ｋ）に基づいて、前記暗号化エンジンマスター鍵（Ｅ（ＥＫ））を復号し、エンジンマスター鍵（ＥＫ）を得る手段（１５，１７）と、
このエンジンマスター鍵ＥＫを用いて前記エンジン始動情報を作成する手段（１５，１７）と、
得られたエンジン始動情報を出力する手段（１６）と、
を備えたことを特徴とするセキュリティ装置。
【請求項２】
請求項１に記載のセキュリティ装置において、
複数の利用者固有鍵（Ｉ）からなる利用者固有鍵（Ｉ）群が格納された利用者情報格納手段（１２）と、
前記電子鍵データ（Ｋ）に施されたデジタル署名を検証するための電子鍵データ署名検証鍵（ＶＭＫ）が格納された署名検証鍵格納手段（１１）と、を備えており、
前記利用者及び電子鍵を認証する手段（１５〜１７）は、
前記ＩＤ装置から入力された利用者固有鍵（Ｉ）と、前記利用者固有鍵（Ｉ）群とを照合する手段と、
この照合の結果、一致する利用者固有鍵（Ｉ）があるとき、前記電子鍵装置から入力される電子鍵データ（Ｋ）を記憶する手段と、
前記署名検証鍵格納手段内の電子鍵データ署名検証鍵（ＶＭＫ）に基づいて、前記電子鍵データ（Ｋ）のデジタル署名を検証する手段と、
を備えたことを特徴とするセキュリティ装置。
【請求項３】
請求項１に記載のセキュリティ装置において、
前記電子鍵データ（Ｋ）は、前記利用者固有鍵（Ｉ）を用いて暗号化された状態で電子鍵装置（２）に格納されており、
前記電子鍵データ（Ｋ）に施されたデジタル署名を検証するための電子鍵データ署名検証鍵（ＶＭＫ）が格納された署名検証鍵格納手段（１１）、を備え、
前記利用者及び電子鍵を認証する手段（１５〜１７）は、
前記電子鍵装置から前記暗号化された電子鍵データ（Ｅ（Ｋ））を読取る手段と、
この暗号化電子鍵データ（Ｅ（Ｋ））を前記利用者固有鍵（Ｉ）により復号し、電子鍵データ（Ｋ）を得る手段と、
前記署名検証鍵格納手段内の電子鍵データ署名検証鍵（ＶＭＫ）に基づいて、前記電子鍵データ（Ｋ）のデジタル署名を検証する手段と、
を備えたことを特徴とするセキュリティ装置。
【請求項４】
請求項１に記載のセキュリティ装置において、
前記暗号化エンジンマスター鍵（Ｅ（ＥＫ））は、前記電子鍵データ（Ｋ）及び前記利用者固有鍵（Ｉ）を用いて暗号化された状態で鍵情報格納手段（１１）に格納されており、
前記電子鍵データ（Ｋ）に施されたデジタル署名を検証するための電子鍵データ署名検証鍵（ＶＭＫ）が格納された署名検証鍵格納手段（１１）を備えており、
前記利用者及び電子鍵を認証する手段（１５〜１７）は、
前記電子鍵装置から入力される電子鍵データ（Ｋ）を記憶する手段と、
前記署名検証鍵格納手段内の電子鍵データ署名検証鍵（ＶＭＫ）に基づいて、前記電子鍵データ（Ｋ）のデジタル署名を検証する手段と、を備えており、
前記エンジンマスター鍵ＥＫを得る手段（１５，１７）は、
前記利用者及び電子鍵の認証が成功したとき、前記電子鍵データ（Ｋ）及び前記利用者固有鍵（Ｉ）に基づいて、前記暗号化エンジンマスター鍵（Ｅ（ＥＫ））を復号することを特徴とするセキュリティ装置。
【請求項５】
請求項１に記載のセキュリティ装置において、
新たな電子鍵データ（Ｋ）を生成するための電子鍵データ署名生成鍵（ＳＭＫ）が格納される秘密鍵情報格納手段（１８）と、
前記車両の所有者及び所有者のＩＤ装置に関し、前記ＩＤ装置の正当性を確認する手段、前記利用者認証情報をＩＤ装置に検証させる手段、前記入力された利用者固有鍵（Ｉ）を記憶する手段、前記利用者及び電子鍵を認証する手段、を実行するように制御する所有者認証手段（１５〜１７）と、
前記所有者認証手段により、前記利用者及び電子鍵の認証が成功したとき、登録者及び登録者のＩＤ装置に関し、前記ＩＤ装置の正当性を確認する手段、前記利用者認証情報をＩＤ装置に検証させる手段、前記入力された利用者固有鍵（Ｉ）を記憶する手段、を実行するように制御する登録者認証手段（１５〜１７）と、
前記登録者認証手段の実行完了後、前記電子鍵データ署名生成鍵（ＳＭＫ）により新たな電子鍵データを生成する手段（１５〜１７）と、
この新たな電子鍵データを登録者の電子鍵装置に入力する手段（１５〜１７）と、
を備えたことを特徴とするセキュリティ装置。
【請求項６】
請求項１乃至請求項５のいずれか１項に記載のセキュリティ装置において、
前記電子鍵データ（Ｋ）は、認証局（２０）により施されたデジタル署名を有するものであり、
前記電子鍵データ（Ｋ）に施されたデジタル署名を検証するための電子鍵データ署名検証鍵（ＶＭＫ）が格納された署名検証鍵格納手段（１１，１１ｘ）と、を備えており、
前記電子鍵データ署名検証鍵（ＶＭＫ）は、前記認証局の公開鍵証明書により有効となり、
前記認証局の公開鍵証明書は、当該認証局の無効化リストにより無効化されるものであり、
前記電子鍵装置を譲渡するとき、譲渡前の公開鍵証明書の無効化を前記認証局に依頼する手段（６，１５ｙ〜１７）と、
前記電子鍵装置の譲渡を受けるとき、新たな公開鍵証明書の発行を前記認証局に依頼する手段（６，１５ｙ〜１７）と、
を備えたことを特徴とするセキュリティ装置。
【請求項７】
請求項６に記載のセキュリティ装置において、
前記認証局との通信が不可のとき、秘密鍵としての電子鍵データ署名生成鍵（ＳＭＫ’）と公開鍵としての電子鍵データ署名検証鍵（ＶＭＫ’）との公開鍵ペアを生成する手段（１５ｙ，１７）と、
この電子鍵データ署名検証鍵（ＶＭＫ’）に譲渡元のＩＤ装置の電子データ署名生成鍵（ＳＭＫ）を用いて公開鍵証明書（ＣＥＲＴ’）を生成する手段（１５ｙ，１７）と、
前記認証局との通信が復旧したとき、この公開鍵証明書（ＣＥＲＴ’）の更新を前記認証局に依頼する手段（６，１５ｙ〜１７）と、
を備えたことを特徴とするセキュリティ装置。
【請求項８】
請求項６に記載のセキュリティ装置において、
前記電子鍵装置を紛失したとき、電子鍵データの再発行を認証局に依頼する手段（６，１５ｙ〜１７）と、
前記再発行を依頼するとき、当該紛失した電子鍵装置の所有者のＩＤ装置から利用者固有鍵（Ｉ）を受けると、この利用者固有鍵を前記認証局に向けて出力する手段（６，１５ｙ〜１７）と、
前記認証局から受けた新たな別の電子鍵データを新たな電子鍵装置に入力する手段（１５ｙ〜１７）と、
を備えたことを特徴とするセキュリティ装置。
【請求項９】
請求項１乃至請求項８のいずれか１項に記載のセキュリティ装置（１０）を備えた車両用認証装置において、
前記ＩＤ装置内の証明書（Ｃ）を読み取ってセキュリティ装置に入力するための証明書読取手段（４）と、
前記利用者認証情報を前記セキュリティ装置に入力するための利用者情報入力手段（３）と、
前記電子鍵装置内の電子鍵データ（Ｋ）を前記セキュリティ装置に読み取るための電子鍵読取手段（１）と、
前記エンジン始動情報により前記エンジンを制御するためのエンジン制御手段（７）と、
とを備えたことを特徴とする車両用認証装置。
【請求項１０】
エンジン始動情報により走行可能な車両に搭載され、電子鍵データ（Ｋ）を記憶した電子鍵装置に基づいて前記車両の利用者を認証する車両用認証装置に用いられる車両用認証方法であって、
前記電子鍵データ（Ｋ）によりエンジンマスター鍵（ＥＫ）が暗号化されてなる暗号化エンジンマスタ鍵（Ｅ（ＥＫ））がメモリに格納される工程と、
個人情報、証明書（Ｃ）及び利用者固有鍵（Ｉ）を記憶したＩＤ装置内の証明書（Ｃ）を検証するためのＩＤ装置証明書検証鍵（ＣＫ）がメモリに格納される工程と、
前記ＩＤ装置から入力された証明書（Ｃ）を前記メモリ内のＩＤ装置証明書検証鍵（ＣＫ）を用いて検証し、当該ＩＤ装置の正当性を確認する工程と、
前記正当性を確認した後、入力された利用者認証情報をＩＤ装置に検証させる工程と、
このＩＤ装置による検証結果が成功したとき、当該ＩＤ装置から入力される利用者固有鍵（Ｉ）及び前記電子鍵装置から入力される電子鍵データ（Ｋ）を用いて、利用者及び電子鍵を認証する工程と、
前記利用者及び電子鍵の認証が成功したとき、前記電子鍵データ（Ｋ）に基づいて、前記暗号化エンジンマスター鍵（Ｅ（ＥＫ））を復号し、エンジンマスター鍵（ＥＫ）を得る工程と、
このエンジンマスター鍵（ＥＫ）を用いて前記エンジン始動情報を作成する工程と、
得られたエンジン始動情報を出力する工程と、
を備えたことを特徴とする車両用認証方法。
【請求項１１】
エンジン始動情報により走行可能な車両に搭載され、電子鍵データ（Ｋ）を記憶した電子鍵装置に基づいて前記車両の利用者を認証する車両用認証装置のコンピュータに用いられるプログラムであって、
前記車両用認証装置のコンピュータを、
前記電子鍵データ（Ｋ）によりエンジンマスター鍵（ＥＫ）が暗号化されてなる暗号化エンジンマスタ鍵（Ｅ（ＥＫ））をメモリに格納する手段、
個人情報、証明書（Ｃ）及び利用者固有鍵（Ｉ）を記憶したＩＤ装置内の証明書（Ｃ）を検証するためのＩＤ装置証明書検証鍵（ＣＫ）をメモリに格納する手段、
前記ＩＤ装置から入力された証明書（Ｃ）を前記メモリ内のＩＤ装置証明書検証鍵（ＣＫ）を用いて検証し、当該ＩＤ装置の正当性を確認する手段、
前記正当性を確認した後、入力された利用者認証情報をＩＤ装置に検証させる手段、
このＩＤ装置による検証結果が成功したとき、当該ＩＤ装置から入力される利用者固有鍵（Ｉ）及び前記電子鍵装置から入力される電子鍵データＫを用いて、利用者及び電子鍵を認証する手段、
前記利用者及び電子鍵の認証が成功したとき、前記電子鍵データ（Ｋ）に基づいて、前記暗号化エンジンマスター鍵（Ｅ（ＥＫ））を復号し、エンジンマスター鍵（ＥＫ）を得る手段、
このエンジンマスター鍵（ＥＫ）を用いて前記エンジン始動情報を作成する手段、
得られたエンジン始動情報を出力する手段、
として機能させるためのプログラム。
【請求項１２】
エンジン始動情報により走行可能な車両に搭載され、電子鍵データ（Ｋ）を記憶した電子鍵装置に基づいて前記車両の利用者を認証する車両用認証装置のコンピュータに用いられ、コンピュータ読み取り可能な記憶媒体に記憶されたプログラムであって、
前記電子鍵データ（Ｋ）によりエンジンマスター鍵（ＥＫ）が暗号化されてなる暗号化エンジンマスタ鍵（Ｅ（ＥＫ））をメモリに格納する処理をコンピュータに実行させるための第１プログラムコード、
個人情報、証明書（Ｃ）及び利用者固有鍵（Ｉ）を記憶したＩＤ装置内の証明書（Ｃ）を検証するためのＩＤ装置証明書検証鍵（ＣＫ）をメモリに格納する処理をコンピュータに実行させるための第２プログラムコード、
前記ＩＤ装置から入力された証明書（Ｃ）を前記メモリ内のＩＤ装置証明書検証鍵（ＣＫ）を用いて検証し、当該ＩＤ装置の正当性を確認する処理をコンピュータに実行させるための第３プログラムコード、
前記正当性を確認した後、入力された利用者認証情報をＩＤ装置に検証させる処理をコンピュータに実行させるための第４プログラムコード、
このＩＤ装置による検証結果が成功したとき、当該ＩＤ装置から入力される利用者固有鍵（Ｉ）及び前記電子鍵装置から入力される電子鍵データ（Ｋ）を用いて、利用者及び電子鍵を認証する処理をコンピュータに実行させるための第５プログラムコード、
前記利用者及び電子鍵の認証が成功したとき、前記電子鍵データ（Ｋ）に基づいて、前記暗号化エンジンマスター鍵（Ｅ（ＥＫ））を復号し、エンジンマスター鍵（ＥＫ）を得る処理をコンピュータに実行させるための第６プログラムコード、
このエンジンマスター鍵（ＥＫ）を用いて前記エンジン始動情報を作成する処理をコンピュータに実行させるための第７プログラムコード、
得られたエンジン始動情報を出力する処理をコンピュータに実行させるための第８プログラムコード、
として機能させるためのプログラム。
【請求項１】
エンジン始動情報により走行可能な車両に搭載され、電子鍵データ（Ｋ）を記憶した電子鍵装置（２）に基づいて前記車両の利用者を認証する車両用認証装置に用いられるセキュリティ装置（１０）であって、
前記電子鍵データ（Ｋ）によりエンジンマスター鍵（ＥＫ）が暗号化されてなる暗号化エンジンマスタ鍵（Ｅ（ＥＫ））が格納される鍵情報格納手段（１１）と、
個人情報、証明書（Ｃ）及び利用者固有鍵（Ｉ）を記憶したＩＤ装置（５）内の証明書（Ｃ）を検証するためのＩＤ装置証明書検証鍵（ＣＫ）が格納される証明書情報格納手段（１２）と、
前記ＩＤ装置から入力された証明書（Ｃ）を前記証明書情報格納手段内のＩＤ装置証明書検証鍵（ＣＫ）を用いて検証し、当該ＩＤ装置の正当性を確認する手段（１５〜１７）と、
前記正当性を確認した後、入力された利用者認証情報をＩＤ装置に検証させる手段（１５〜１７）と、
このＩＤ装置による検証結果が成功したとき、当該ＩＤ装置から入力される利用者固有鍵Ｉ及び前記電子鍵装置から入力される電子鍵データＫを用いて、利用者及び電子鍵を認証する手段（１５〜１７）と、
前記利用者及び電子鍵の認証が成功したとき、前記電子鍵データ（Ｋ）に基づいて、前記暗号化エンジンマスター鍵（Ｅ（ＥＫ））を復号し、エンジンマスター鍵（ＥＫ）を得る手段（１５，１７）と、
このエンジンマスター鍵ＥＫを用いて前記エンジン始動情報を作成する手段（１５，１７）と、
得られたエンジン始動情報を出力する手段（１６）と、
を備えたことを特徴とするセキュリティ装置。
【請求項２】
請求項１に記載のセキュリティ装置において、
複数の利用者固有鍵（Ｉ）からなる利用者固有鍵（Ｉ）群が格納された利用者情報格納手段（１２）と、
前記電子鍵データ（Ｋ）に施されたデジタル署名を検証するための電子鍵データ署名検証鍵（ＶＭＫ）が格納された署名検証鍵格納手段（１１）と、を備えており、
前記利用者及び電子鍵を認証する手段（１５〜１７）は、
前記ＩＤ装置から入力された利用者固有鍵（Ｉ）と、前記利用者固有鍵（Ｉ）群とを照合する手段と、
この照合の結果、一致する利用者固有鍵（Ｉ）があるとき、前記電子鍵装置から入力される電子鍵データ（Ｋ）を記憶する手段と、
前記署名検証鍵格納手段内の電子鍵データ署名検証鍵（ＶＭＫ）に基づいて、前記電子鍵データ（Ｋ）のデジタル署名を検証する手段と、
を備えたことを特徴とするセキュリティ装置。
【請求項３】
請求項１に記載のセキュリティ装置において、
前記電子鍵データ（Ｋ）は、前記利用者固有鍵（Ｉ）を用いて暗号化された状態で電子鍵装置（２）に格納されており、
前記電子鍵データ（Ｋ）に施されたデジタル署名を検証するための電子鍵データ署名検証鍵（ＶＭＫ）が格納された署名検証鍵格納手段（１１）、を備え、
前記利用者及び電子鍵を認証する手段（１５〜１７）は、
前記電子鍵装置から前記暗号化された電子鍵データ（Ｅ（Ｋ））を読取る手段と、
この暗号化電子鍵データ（Ｅ（Ｋ））を前記利用者固有鍵（Ｉ）により復号し、電子鍵データ（Ｋ）を得る手段と、
前記署名検証鍵格納手段内の電子鍵データ署名検証鍵（ＶＭＫ）に基づいて、前記電子鍵データ（Ｋ）のデジタル署名を検証する手段と、
を備えたことを特徴とするセキュリティ装置。
【請求項４】
請求項１に記載のセキュリティ装置において、
前記暗号化エンジンマスター鍵（Ｅ（ＥＫ））は、前記電子鍵データ（Ｋ）及び前記利用者固有鍵（Ｉ）を用いて暗号化された状態で鍵情報格納手段（１１）に格納されており、
前記電子鍵データ（Ｋ）に施されたデジタル署名を検証するための電子鍵データ署名検証鍵（ＶＭＫ）が格納された署名検証鍵格納手段（１１）を備えており、
前記利用者及び電子鍵を認証する手段（１５〜１７）は、
前記電子鍵装置から入力される電子鍵データ（Ｋ）を記憶する手段と、
前記署名検証鍵格納手段内の電子鍵データ署名検証鍵（ＶＭＫ）に基づいて、前記電子鍵データ（Ｋ）のデジタル署名を検証する手段と、を備えており、
前記エンジンマスター鍵ＥＫを得る手段（１５，１７）は、
前記利用者及び電子鍵の認証が成功したとき、前記電子鍵データ（Ｋ）及び前記利用者固有鍵（Ｉ）に基づいて、前記暗号化エンジンマスター鍵（Ｅ（ＥＫ））を復号することを特徴とするセキュリティ装置。
【請求項５】
請求項１に記載のセキュリティ装置において、
新たな電子鍵データ（Ｋ）を生成するための電子鍵データ署名生成鍵（ＳＭＫ）が格納される秘密鍵情報格納手段（１８）と、
前記車両の所有者及び所有者のＩＤ装置に関し、前記ＩＤ装置の正当性を確認する手段、前記利用者認証情報をＩＤ装置に検証させる手段、前記入力された利用者固有鍵（Ｉ）を記憶する手段、前記利用者及び電子鍵を認証する手段、を実行するように制御する所有者認証手段（１５〜１７）と、
前記所有者認証手段により、前記利用者及び電子鍵の認証が成功したとき、登録者及び登録者のＩＤ装置に関し、前記ＩＤ装置の正当性を確認する手段、前記利用者認証情報をＩＤ装置に検証させる手段、前記入力された利用者固有鍵（Ｉ）を記憶する手段、を実行するように制御する登録者認証手段（１５〜１７）と、
前記登録者認証手段の実行完了後、前記電子鍵データ署名生成鍵（ＳＭＫ）により新たな電子鍵データを生成する手段（１５〜１７）と、
この新たな電子鍵データを登録者の電子鍵装置に入力する手段（１５〜１７）と、
を備えたことを特徴とするセキュリティ装置。
【請求項６】
請求項１乃至請求項５のいずれか１項に記載のセキュリティ装置において、
前記電子鍵データ（Ｋ）は、認証局（２０）により施されたデジタル署名を有するものであり、
前記電子鍵データ（Ｋ）に施されたデジタル署名を検証するための電子鍵データ署名検証鍵（ＶＭＫ）が格納された署名検証鍵格納手段（１１，１１ｘ）と、を備えており、
前記電子鍵データ署名検証鍵（ＶＭＫ）は、前記認証局の公開鍵証明書により有効となり、
前記認証局の公開鍵証明書は、当該認証局の無効化リストにより無効化されるものであり、
前記電子鍵装置を譲渡するとき、譲渡前の公開鍵証明書の無効化を前記認証局に依頼する手段（６，１５ｙ〜１７）と、
前記電子鍵装置の譲渡を受けるとき、新たな公開鍵証明書の発行を前記認証局に依頼する手段（６，１５ｙ〜１７）と、
を備えたことを特徴とするセキュリティ装置。
【請求項７】
請求項６に記載のセキュリティ装置において、
前記認証局との通信が不可のとき、秘密鍵としての電子鍵データ署名生成鍵（ＳＭＫ’）と公開鍵としての電子鍵データ署名検証鍵（ＶＭＫ’）との公開鍵ペアを生成する手段（１５ｙ，１７）と、
この電子鍵データ署名検証鍵（ＶＭＫ’）に譲渡元のＩＤ装置の電子データ署名生成鍵（ＳＭＫ）を用いて公開鍵証明書（ＣＥＲＴ’）を生成する手段（１５ｙ，１７）と、
前記認証局との通信が復旧したとき、この公開鍵証明書（ＣＥＲＴ’）の更新を前記認証局に依頼する手段（６，１５ｙ〜１７）と、
を備えたことを特徴とするセキュリティ装置。
【請求項８】
請求項６に記載のセキュリティ装置において、
前記電子鍵装置を紛失したとき、電子鍵データの再発行を認証局に依頼する手段（６，１５ｙ〜１７）と、
前記再発行を依頼するとき、当該紛失した電子鍵装置の所有者のＩＤ装置から利用者固有鍵（Ｉ）を受けると、この利用者固有鍵を前記認証局に向けて出力する手段（６，１５ｙ〜１７）と、
前記認証局から受けた新たな別の電子鍵データを新たな電子鍵装置に入力する手段（１５ｙ〜１７）と、
を備えたことを特徴とするセキュリティ装置。
【請求項９】
請求項１乃至請求項８のいずれか１項に記載のセキュリティ装置（１０）を備えた車両用認証装置において、
前記ＩＤ装置内の証明書（Ｃ）を読み取ってセキュリティ装置に入力するための証明書読取手段（４）と、
前記利用者認証情報を前記セキュリティ装置に入力するための利用者情報入力手段（３）と、
前記電子鍵装置内の電子鍵データ（Ｋ）を前記セキュリティ装置に読み取るための電子鍵読取手段（１）と、
前記エンジン始動情報により前記エンジンを制御するためのエンジン制御手段（７）と、
とを備えたことを特徴とする車両用認証装置。
【請求項１０】
エンジン始動情報により走行可能な車両に搭載され、電子鍵データ（Ｋ）を記憶した電子鍵装置に基づいて前記車両の利用者を認証する車両用認証装置に用いられる車両用認証方法であって、
前記電子鍵データ（Ｋ）によりエンジンマスター鍵（ＥＫ）が暗号化されてなる暗号化エンジンマスタ鍵（Ｅ（ＥＫ））がメモリに格納される工程と、
個人情報、証明書（Ｃ）及び利用者固有鍵（Ｉ）を記憶したＩＤ装置内の証明書（Ｃ）を検証するためのＩＤ装置証明書検証鍵（ＣＫ）がメモリに格納される工程と、
前記ＩＤ装置から入力された証明書（Ｃ）を前記メモリ内のＩＤ装置証明書検証鍵（ＣＫ）を用いて検証し、当該ＩＤ装置の正当性を確認する工程と、
前記正当性を確認した後、入力された利用者認証情報をＩＤ装置に検証させる工程と、
このＩＤ装置による検証結果が成功したとき、当該ＩＤ装置から入力される利用者固有鍵（Ｉ）及び前記電子鍵装置から入力される電子鍵データ（Ｋ）を用いて、利用者及び電子鍵を認証する工程と、
前記利用者及び電子鍵の認証が成功したとき、前記電子鍵データ（Ｋ）に基づいて、前記暗号化エンジンマスター鍵（Ｅ（ＥＫ））を復号し、エンジンマスター鍵（ＥＫ）を得る工程と、
このエンジンマスター鍵（ＥＫ）を用いて前記エンジン始動情報を作成する工程と、
得られたエンジン始動情報を出力する工程と、
を備えたことを特徴とする車両用認証方法。
【請求項１１】
エンジン始動情報により走行可能な車両に搭載され、電子鍵データ（Ｋ）を記憶した電子鍵装置に基づいて前記車両の利用者を認証する車両用認証装置のコンピュータに用いられるプログラムであって、
前記車両用認証装置のコンピュータを、
前記電子鍵データ（Ｋ）によりエンジンマスター鍵（ＥＫ）が暗号化されてなる暗号化エンジンマスタ鍵（Ｅ（ＥＫ））をメモリに格納する手段、
個人情報、証明書（Ｃ）及び利用者固有鍵（Ｉ）を記憶したＩＤ装置内の証明書（Ｃ）を検証するためのＩＤ装置証明書検証鍵（ＣＫ）をメモリに格納する手段、
前記ＩＤ装置から入力された証明書（Ｃ）を前記メモリ内のＩＤ装置証明書検証鍵（ＣＫ）を用いて検証し、当該ＩＤ装置の正当性を確認する手段、
前記正当性を確認した後、入力された利用者認証情報をＩＤ装置に検証させる手段、
このＩＤ装置による検証結果が成功したとき、当該ＩＤ装置から入力される利用者固有鍵（Ｉ）及び前記電子鍵装置から入力される電子鍵データＫを用いて、利用者及び電子鍵を認証する手段、
前記利用者及び電子鍵の認証が成功したとき、前記電子鍵データ（Ｋ）に基づいて、前記暗号化エンジンマスター鍵（Ｅ（ＥＫ））を復号し、エンジンマスター鍵（ＥＫ）を得る手段、
このエンジンマスター鍵（ＥＫ）を用いて前記エンジン始動情報を作成する手段、
得られたエンジン始動情報を出力する手段、
として機能させるためのプログラム。
【請求項１２】
エンジン始動情報により走行可能な車両に搭載され、電子鍵データ（Ｋ）を記憶した電子鍵装置に基づいて前記車両の利用者を認証する車両用認証装置のコンピュータに用いられ、コンピュータ読み取り可能な記憶媒体に記憶されたプログラムであって、
前記電子鍵データ（Ｋ）によりエンジンマスター鍵（ＥＫ）が暗号化されてなる暗号化エンジンマスタ鍵（Ｅ（ＥＫ））をメモリに格納する処理をコンピュータに実行させるための第１プログラムコード、
個人情報、証明書（Ｃ）及び利用者固有鍵（Ｉ）を記憶したＩＤ装置内の証明書（Ｃ）を検証するためのＩＤ装置証明書検証鍵（ＣＫ）をメモリに格納する処理をコンピュータに実行させるための第２プログラムコード、
前記ＩＤ装置から入力された証明書（Ｃ）を前記メモリ内のＩＤ装置証明書検証鍵（ＣＫ）を用いて検証し、当該ＩＤ装置の正当性を確認する処理をコンピュータに実行させるための第３プログラムコード、
前記正当性を確認した後、入力された利用者認証情報をＩＤ装置に検証させる処理をコンピュータに実行させるための第４プログラムコード、
このＩＤ装置による検証結果が成功したとき、当該ＩＤ装置から入力される利用者固有鍵（Ｉ）及び前記電子鍵装置から入力される電子鍵データ（Ｋ）を用いて、利用者及び電子鍵を認証する処理をコンピュータに実行させるための第５プログラムコード、
前記利用者及び電子鍵の認証が成功したとき、前記電子鍵データ（Ｋ）に基づいて、前記暗号化エンジンマスター鍵（Ｅ（ＥＫ））を復号し、エンジンマスター鍵（ＥＫ）を得る処理をコンピュータに実行させるための第６プログラムコード、
このエンジンマスター鍵（ＥＫ）を用いて前記エンジン始動情報を作成する処理をコンピュータに実行させるための第７プログラムコード、
得られたエンジン始動情報を出力する処理をコンピュータに実行させるための第８プログラムコード、
として機能させるためのプログラム。
【国際公開番号】ＷＯ２００５／０７０７３３
【国際公開日】平成１７年８月４日（２００５．８．４）
【発行日】平成１９年８月２３日（２００７．８．２３）
【国際特許分類】
【出願番号】特願２００５−５１７１７６（Ｐ２００５−５１７１７６）
【国際出願番号】ＰＣＴ／ＪＰ２００４／０００６５６
【国際出願日】平成１６年１月２６日（２００４．１．２６）
【出願人】（３０１０６３４９６）東芝ソリューション株式会社 (1,478)
【出願人】（０００００３０７８）株式会社東芝 (54,554)
【Ｆターム（参考）】
【国際公開日】平成１７年８月４日（２００５．８．４）
【発行日】平成１９年８月２３日（２００７．８．２３）
【国際特許分類】
【国際出願番号】ＰＣＴ／ＪＰ２００４／０００６５６
【国際出願日】平成１６年１月２６日（２００４．１．２６）
【出願人】（３０１０６３４９６）東芝ソリューション株式会社 (1,478)
【出願人】（０００００３０７８）株式会社東芝 (54,554)
【Ｆターム（参考）】
[ Back to top ]