特許 6487353 産業車両の認証システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6487353

(24)【登録日】2019年3月1日

(45)【発行日】2019年3月20日

(54)【発明の名称】産業車両の認証システム

(51)【国際特許分類】

   B60R 25/24 20130101AFI20190311BHJP

【ＦＩ】

   B60R25/24

【請求項の数】5

【全頁数】18

(21)【出願番号】特願2016-27272(P2016-27272)

(22)【出願日】2016年2月16日

(65)【公開番号】特開2017-144843(P2017-144843A)

(43)【公開日】2017年8月24日

【審査請求日】2018年2月13日

(73)【特許権者】

【識別番号】000005522

【氏名又は名称】日立建機株式会社

(74)【代理人】

【識別番号】110000442

【氏名又は名称】特許業務法人 武和国際特許事務所

(72)【発明者】

【氏名】相澤 大輝

(72)【発明者】

【氏名】守田 雄一朗

(72)【発明者】

【氏名】柴田 浩一

【審査官】 青木 良憲

(56)【参考文献】

【文献】 特開２００７−０３０６１３（ＪＰ，Ａ）

【文献】 特開２０１０−１３７７３０（ＪＰ，Ａ）

【文献】 特開２０１４−１９７８３９（ＪＰ，Ａ）

【文献】 特開２０１１−０７４７２１（ＪＰ，Ａ）

【文献】 特開２００３−２８６７７９（ＪＰ，Ａ）

【文献】 特開２００４−１８６８５１（ＪＰ，Ａ）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｂ６０Ｒ ２５／２４

(57)【特許請求の範囲】

【請求項1】

サーバ、産業車両、および携帯端末から構成される産業車両の認証システムであって、
前記産業車両とネットワークにより接続可能な前記サーバは、
前記産業車両との接続が切断されたことを検出する第１切断検出部と、
前記第１切断検出部が前記産業車両との接続が切断されたことを検出すると前記接続が切断された時刻を記録する第１切断時刻記録部と、
前記第１切断時刻記録部が記録した前記接続が切断された時刻を前記携帯端末に送信する送信部とを備え、
前記携帯端末は、
前記サーバから前記接続が切断された時刻を受信する受信部と、
前記サーバから受信した前記接続が切断された時刻を用いて前記産業車両に認証を要求する認証要求部とを備え、
前記産業車両は、
当該産業車両のアクチュエータの動作を制限する動作制限部と、
前記サーバとの接続が切断されたことを検出する第２切断検出部と、
前記第２切断検出部が前記サーバとの接続が切断されたことを検出すると、前記接続が切断された時刻を記録する第２切断時刻記録部と、
前記携帯端末からの前記認証の要求に応じて、前記第２切断時刻記録部が記録した前記接続が切断された時刻に基づき認証を行う認証実行部と、
前記第２切断検出部が前記サーバとの接続の切断を検出すると前記動作制限部による制限を開始させ、前記認証実行部が認証に成功すると前記動作制限部による制限を終了させる制御部とを備える産業車両の認証システム。

【請求項2】

請求項１に記載の産業車両の認証システムにおいて、
前記携帯端末は、認証のための第１鍵情報を記憶する携帯端末記憶部をさらに備え、
前記携帯端末の前記認証要求部は、前記サーバから受信した前記接続が切断された時刻、および前記第１鍵情報を用いて前記産業車両に認証を要求し、
前記産業車両は、認証のための第２鍵情報を記憶する産業車両記憶部をさらに備え、
前記産業車両の前記認証実行部は、前記第２切断時刻記録部が記録した前記接続が切断された時刻、および前記第２鍵情報に基づき認証を行う産業車両の認証システム。

【請求項3】

請求項１に記載の産業車両の認証システムにおいて、
前記サーバは、
認証のための第１鍵情報を記憶するサーバ記憶部と、
前記接続が切断された時刻、および前記第１鍵情報を用いて認証情報を作成する認証情報作成部とをさらに備え、
前記サーバの前記送信部は、前記認証情報作成部が作成した前記認証情報を前記携帯端末に送信し、
前記携帯端末の認証要求部は、前記サーバから受信した前記認証情報を用いて前記産業車両に認証を要求し、
前記産業車両は、認証のための第２鍵情報を記憶する産業車両記憶部をさらに備え、
前記産業車両の前記認証実行部は、前記第２切断時刻記録部が記録した前記接続が切断された時刻、および前記第２鍵情報に基づき認証を行う産業車両の認証システム。

【請求項4】

請求項１に記載の産業車両の認証システムにおいて、
前記サーバの前記第１切断時刻記録部、および前記産業車両の前記第２切断時刻記録部は、前記接続が切断された時刻を、予め定められた時間間隔で設定された時刻とする産業車両の認証システム。

【請求項5】

請求項１に記載の産業車両の認証システムにおいて、
前記サーバの前記第１切断時刻記録部、および前記産業車両の前記第２切断時刻記録部は、前記接続が切断された時刻を、最後に接続が成功した時刻、または接続が失敗した最初の時刻とする産業車両の認証システム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、産業車両の認証システムに関する。

【背景技術】

【0002】

油圧ショベルを代表とする産業車両は、作業現場で連日使用される場合には作業終了後に作業現場に放置されることが多い。そのため、盗難や不正使用の被害にあう危険性が高く、十分なセキュリティ機能が求められている。
セキュリティ機能として、盗難を検知するとスタータモータの通電回路をカットするなど、産業車両を作動させない機能が知られている。盗難は、所有者の意図しない産業車両の移動を伴う行為であり、産業車両に内蔵した機器から自己位置を管理サーバに送信させることにより、産業車両の移動の把握、すなわち盗難の検知および盗難された産業車両の追跡が可能である。しかし、盗難を行う者がこの仕組みを把握していると、通信装置を破壊するなどして、産業車両から管理サーバへの自己位置の送信を停止させることが想定される。そのため、産業車両から管理サーバへの通信が途絶えた場合にも、盗難状態にあると判断し、産業車両を作動させない対策が取られている。
しかし、通信装置が故障した場合や、産業車両が電波の届かない通信圏外エリアに移動した場合にも盗難状態にあると判断され、産業車両を作動させられない問題がある。この問題に対して、産業車両の作動停止状態を解除する解除コードを正規のユーザに通知し、管理サーバと産業車両の通信が不可能な場合でも車両を使用可能にする技術が知られている。たとえば特許文献１には、車両が無線通信圏外であっても、エンジンの始動が禁止された状態を解除するためのコードである解除コードを通信センタから携帯電話で受信し、携帯電話が車両に解除コードを送信することにより車両のエンジン始動禁止状態を解除する発明が開示されている。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２００７−３０６１３号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

特許文献１に記載されている発明では、車両の制限を解除するための情報の変更が考慮されておらず、車両の制限を解除するための情報の漏えいに対して脆弱である。

【課題を解決するための手段】

【0005】

本発明にかかる産業車両の認証システムは、サーバ、産業車両、および携帯端末から構成される。産業車両とネットワークにより接続可能なサーバは、産業車両との接続が切断されたことを検出する第１切断検出部と、第１切断検出部が産業車両との接続が切断されたことを検出すると接続が切断された時刻を記録する第１切断時刻記録部と、第１切断時刻記録部が記録した接続が切断された時刻を携帯端末に送信する送信部とを備える。携帯端末は、サーバから接続が切断された時刻を受信する受信部と、サーバから受信した接続が切断された時刻を用いて産業車両に認証を要求する認証要求部とを備える。産業車両は、当該産業車両のアクチュエータの動作を制限する動作制限部と、サーバとの接続が切断されたことを検出する第２切断検出部と、第２切断検出部がサーバとの接続が切断されたことを検出すると、接続が切断された時刻を記録する第２切断時刻記録部と、携帯端末からの認証の要求に応じて、第２切断時刻記録部が記録した接続が切断された時刻に基づき認証を行う認証実行部と、第２切断検出部がサーバとの接続の切断を検出すると動作制限部による制限を開始させ、認証実行部が認証に成功すると動作制限部による制限を終了させる制御部とを備える。

【発明の効果】

【0006】

本発明によれば、油圧ショベルと管理サーバとの接続が切断された時刻が、油圧ショベルの制限状態を解除する認証のための情報となる。すなわち、油圧ショベルと管理サーバとの通信が行われることにより、認証のための情報である、接続が切断された時刻が実質的に更新される。そのため、認証のための情報の漏えいに対して堅牢である。

【図面の簡単な説明】

【0007】

【図1】第１の実施の形態における産業車両の認証システムの構成を示すブロック図

【図2】油圧ショベルの油圧システム図

【図3】制御コントローラのシステム構成図

【図4】情報コントローラの動作を示すフローチャート

【図5】サーバ制御部の動作を示すフローチャート

【図6】第２の実施の形態における情報コントローラの動作を示すフローチャート

【図7】第２の実施の形態の変形例１におけるサーバ制御部の動作を示すフローチャート

【図8】第３の実施の形態における情報コントローラの動作を示すフローチャート

【図9】第３の実施の形態におけるサーバ制御部の動作を示すフローチャート

【発明を実施するための形態】

【0008】

（第１の実施の形態）
以下、図１〜図５を参照して、産業車両の認証システムを油圧ショベルに適用する第１の実施の形態を説明する。
本実施の形態では、通信を行った最新の時刻を動的に変化する共有秘密鍵とする。
（認証システムの構成）
図１は、第１の実施の形態における産業車両の認証システム１００（以下、「認証システム１００」と呼ぶ）の構成を示すブロック図である。

【0009】

認証システム１００は、油圧ショベル１と、管理サーバ３１と、携帯端末３４とから構成される。油圧ショベル１と管理サーバ３１とは、無線通信により接続される。油圧ショベル１は、管理サーバ３１と通信が行えない場合はその機能が著しく制限され、携帯端末３４を用いた認証を行うか、再び管理サーバ３１と接続することによりこの制限を解除する。以下では、油圧ショベル１の機能が制限されている状態を「制限状態」と呼ぶ。

【0010】

以下では、油圧ショベル１の使用者と携帯端末３４の使用者は同一人物であるとして説明する。そして、この使用者をオペレータと呼ぶ。
油圧ショベル１は、油圧ショベル１を動作させるエンジン１ａと、エンジン１ａを起動させるスタータモータ１４と、油圧ショベル１が作業を行うために駆動されるアクチュエータ２６と、スタータモータ１４およびアクチュエータ２６を制御する制御コントローラ８と、管理サーバ３１および携帯端末３４と通信を行う車両通信部３０と、油圧ショベル１を制限状態に設定するか否かを決定する情報コントローラ２９と、不図示のＧＰＳ受信器とを備える。
情報コントローラ２９および車両通信部３０は、油圧ショベル１の稼働状態によらず常に動作している。

【0011】

情報コントローラ２９は、ＣＰＵ、ＲＯＭ、ＲＡＭ、およびフラッシュメモリを備え、ＲＯＭに記憶されたプログラムをＲＡＭに展開して実行する。このプログラムは、通信装置の不具合や油圧ショベル１の通信圏外エリアへの移動などにより、油圧ショベル１と管理サーバ３１との通信が途絶すると、この通信途絶を検知して、制御コントローラ８に指令を出力し、油圧ショベル１を制限状態に移行させる。このプログラムの動作の詳細は後に説明する。情報コントローラ２９のフラッシュメモリには、後述する認証に使用される第２鍵９２、車両時刻情報８２、および最終更新時刻８２ａが記憶される。第２鍵９２は、油圧ショベル１の工場出荷時に生成されたランダムなデータ、すなわち乱数列であり、携帯端末３４に保存される第１鍵９１と同一のデータである。最終更新時刻８２ａは、管理サーバ３１との通信が行われるたびに更新され、通信が行われた最新時刻が記録される。後述する所定の条件下で、車両時刻情報８２に最終更新時刻８２ａが代入される。

【0012】

スタータモータ１４およびアクチュエータ２６は、制御コントローラ８の指令に基づき動作する。
制御コントローラ８は、情報コントローラ２９から制限状態に移行させる指令を受けると、エンジン１ａのスタータモータ１４の電源ラインを切断し、油圧ショベル１の動力を遮断する。ただし、油圧ショベル１の動力を遮断する代わりに、エンジン１ａの回転数を最低回転数に固定するなど、油圧ショベル１の動作に著しい制限をかけるようにしてもよい。

【0013】

管理サーバ３１は、サーバ制御部３１ａと、サーバ記憶部３１ｂと、サーバ通信部３１ｃとを備える。サーバ記憶部３１ｂおよびサーバ通信部３１ｃは、信号線によりサーバ制御部３１ａと接続され、サーバ制御部３１ａの指令に基づき動作する。
サーバ制御部３１ａは、ＣＰＵ、ＲＯＭ、およびＲＡＭを備え、ＲＯＭに記憶されたプログラムをＲＡＭに展開して実行する。このプログラムの動作は後に説明する。

【0014】

サーバ記憶部３１ｂは、磁気ディスクまたは不揮発性メモリから構成される。サーバ記憶部３１ｂは、情報データベース３２として利用される領域を有し、さらに、サーバ時刻情報８１、および最終更新時刻８１ａが記憶される。情報データベース３２には、管理サーバ３１と通信を行う複数の産業車両の稼働情報が記録される。稼働情報とは、たとえば時刻ごとの緯度・経度、速度、エンジン回転数、負荷、燃料残量などである。サーバ時刻情報８１は後述する認証に使用する情報であり、所定の条件により最終更新時刻８１ａが代入される。最終更新時刻８１ａは、油圧ショベル１と通信を行った最新の時刻である。
サーバ通信部３１ｃは、油圧ショベル１および携帯端末３４と無線通信を行う。無線通信とはたとえば、携帯電話網を用いた通信や、人工衛星を用いた通信である。

【0015】

携帯端末３４は、携帯制御部３４ａと、携帯記憶部３４ｂと、携帯通信部３４ｃと、不図示の入力部を備える。携帯記憶部３４ｂ、および携帯通信部３４ｃは携帯制御部３４ａと信号線により接続され、携帯制御部３４ａの指令に基づき動作する。
携帯制御部３４ａは、ＣＰＵ、ＲＯＭ、およびＲＡＭを備え、ＲＯＭに記憶されたプログラムをＲＡＭに展開して実行する。このプログラムの動作は後に説明する。
携帯記憶部３４ｂは、不揮発性メモリから構成される。携帯記憶部３４ｂには、第１鍵９１とサーバ時刻情報８１とが記憶される。第１鍵９１は、事前に生成されたランダムなデータであり、油圧ショベル１に保存される第２鍵９２と同一のデータである。第１鍵９１は、後述する認証に使用される情報である。サーバ時刻情報８１も後述する認証に使用する情報であるが、適宜更新される情報であり、後述する処理により管理サーバ３１から受信される。

【0016】

携帯通信部３４ｃは、油圧ショベル１および管理サーバ３１と無線通信を行う。ただし、油圧ショベル１と有線により通信を行ってもよい。
不図示の入力部は、たとえば複数のボタンにより構成される。オペレータは、不図示の入力部を用いて携帯端末３４に認証指令、およびサーバ時刻情報８１の取得指令を入力できる。携帯端末３４は認証指令が入力されると、油圧ショベル１に第１鍵９１、およびサーバ時刻情報８１を送信し、制限状態を解除するための認証要求を行う。携帯端末３４は、サーバ時刻情報８１の取得指令が入力されると、管理サーバ３１からサーバ時刻情報８１を取得する。

【0017】

（油圧ショベルのシステム構成）
図２は、油圧ショベル１の油圧システム図である。図２において、エンジン１ａの出力軸は、可変容量型の第１ポンプ２、第２ポンプ３、第３ポンプ４に接続される。各油圧ポンプから吐出される圧油は、コントロールバルブを含む油圧回路５へ送られ、流量や方向を制御されて、油圧シリンダ６、油圧モータ７などへ供給される。
制御コントローラ８は、エンジン制御演算部８ａと、ポンプ制御演算部８ｂとを制御する。エンジンコントロールダイヤル９は、エンジン回転数の指令値を調整する。エンジンコントロールダイヤル９によって調整された指令回転数は、制御コントローラ８のエンジン制御演算部８ａへ入力される。エンジン制御演算部８ａ、およびポンプ制御演算部８ｂは、操作レバー装置１０の操作圧やポンプ圧などを測定するセンサ信号１１などに応じて、油圧シリンダ６や油圧モータ７を駆動させる指令値を演算する。

【0018】

エンジン制御演算部８ａは、目標エンジン回転数を演算し、エンジンコントローラであるＥＣＵ１２に目標エンジン回転数を送り、その目標エンジン回転に従って、ＥＣＵ１２はエンジンの回転数を制御する。
ポンプ制御演算部８ｂは、レバー操作量に応じたポンプ流量が得られるように、ポンプ吐出流量を制御するポンプレギュレータ１３へ必要なポンプトルク圧の指令を送る。
スタータモータ１４は、バッテリ１５を電源としてエンジン１ａの初期回転を生み出し、その後はエンジン１ａ単体で回転し続ける。バッテリ１５は上記の他に、制御コントローラ８、情報コントローラ２９および車両通信部３０などの電源電圧として用いられる。

【0019】

図３は、制御コントローラ８のシステム構成図である。制御コントローラ８は、入力インタフェース２０、出力インタフェース２１、ＣＰＵ２２，ＲＯＭ２３、およびＲＡＭ２４を備える。制御コントローラ８は、油圧システムを制御するだけでなく、油圧ショベル１の稼働情報を収集し、情報コントローラ２９へ出力する。
入力インタフェース２０は、オペレータの操作によって入力される入力要素２５とＣＰＵ２２を接続するインタフェースであり、出力インタフェース２１は、アクチュエータ２６とＣＰＵ２２を接続するインタフェースである。
ＲＯＭ２３には、ＣＰＵ２２が実行する制御プログラムが格納される。ＣＰＵ２２は、その制御プログラムをＲＡＭ２４に展開して実行する。
モニタコントローラ２７は、オペレータが操作するボタンなどの入力要素２５や、アクチュエータ２６に備えられたセンサの出力を受信し、表示装置２８へ送信する。オペレータは、表示装置２８を見ることで車体の状態を確認できる。

【0020】

（動作の概要）
管理サーバ３１は、一定時間ごと、たとえば１分ごとに油圧ショベル１へ疎通確認信号、たとえばＰＩＮＧを送信する。これを受信した油圧ショベル１は、最終更新時刻８２ａを現在時刻に更新するとともに最新の稼働情報を管理サーバ３１に送信する。このとき油圧ショベル１が制限状態であれば、管理サーバ３１との通信が回復したことにより制限状態が解除される。
油圧ショベル１から稼働情報を受信した管理サーバ３１は、受信した稼働情報を情報データベース３２に保存する。さらに、油圧ショベル１との通信が成功したので、最終更新時刻８１ａを現在時刻に更新する。

【0021】

このように通信を行うたびに更新される最終更新時刻８１ａ、８２ａを、油圧ショベル１および管理サーバ３１の双方が有する共有秘密鍵とする。ただし、油圧ショベル１と管理サーバ３１との通信にはｍｓオーダーの時間を要することが通常であり、最終更新時刻８１ａと最終更新時刻８２ａとは厳密には一致しない。また、油圧ショベル１と管理サーバ３１の時計がｍｓオーダーでずれる状況が想定される。そこで、最終更新時刻８１ａと最終更新時刻８２ａとを一致させるために、記録する時刻の粒度を荒くする。すなわち記録する時刻の精度を低くし、たとえば、１秒ごとや５秒ごとの単位で時刻を記録する。このように時刻の粒度を粗くすることにより、最終更新時刻８１ａ、８２ａを一致させる。

【0022】

油圧ショベル１は、管理サーバ３１からの通信を所定時間以上、たとえば３０分以上受信しない場合は、制限状態に移行する。このとき、最終更新時刻８２ａを車両時刻情報８２に代入し、携帯端末３４からの認証に備える。
管理サーバ３１は、油圧ショベル１に疎通確認信号を送信しても稼働情報の返信を受けられない状態が所定時間以上、たとえば３０分以上継続すると以下の処理を行う。すなわち、サーバ時刻情報８１に最終更新時刻８１ａを代入し、サーバ時刻情報８１を携帯端末３４に送信する。

【0023】

ただし、油圧ショベル１に搭乗しているオペレータが携帯端末３４を所持しており、携帯端末３４も油圧ショベル１と同様に無線通信の通信圏外エリアに居る場合には、管理サーバ３１による携帯端末３４へのサーバ時刻情報８１の送信が失敗する。この場合は、後ほど携帯端末３４からサーバ時刻情報８１の送信要求を受けた際に、再度、サーバ時刻情報８１を携帯端末３４に送信する。

【0024】

携帯端末３４は、管理サーバ３１からサーバ時刻情報８１を受信すると、油圧ショベル１に制限状態を解除するための認証要求を行う。この認証要求は、油圧ショベル１への第１鍵９１およびサーバ時刻情報８１の送信により行われる。
携帯端末３４からの認証要求を受信した油圧ショベル１は、受信した第１鍵９１が情報コントローラ２９に保存される第２鍵９２と等しいか否か、受信したサーバ時刻情報８１が情報コントローラ２９に保存される車両時刻情報８２と等しいか否かを判断する。両方とも等しいと判断する場合は、認証が成功したので油圧ショベル１の制限状態を解除する。

【0025】

（油圧ショベルのフローチャート）
図４は、情報コントローラ２９により実行されるプログラムの動作を示すフローチャートである。
油圧ショベル１の情報コントローラ２９は、以下のプログラムを常に動作させる。以下に説明する各ステップの実行主体は、情報コントローラ２９のＣＰＵである。

【0026】

ステップＳ１０１では、管理サーバ３１から疎通確認信号を受信したか否かを判断する。受信したと判断する場合はステップＳ１０２に進み、受信していないと判断する場合はステップＳ１０６に進む。
ステップＳ１０２では、最終更新時刻８２ａに現在時刻を代入し、ステップＳ１０３に進む。
ステップＳ１０３では、制御コントローラ８から受信した稼働情報を管理サーバ３１に送信し、ステップＳ１０４に進む。
ステップＳ１０４では、管理サーバ３１との通信が行えたことから制限状態を解除する。ただし、制限状態にない場合は何も処理を行わない。次にステップＳ１０５に進む。

【0027】

ステップＳ１０５では、認証を行う必要がないので車両時刻情報８２を消去し、図４のフローチャートにより動作が表されるプログラムを終了する。
管理サーバ３１から疎通確認信号を受信していないと判断されると実行されるステップＳ１０６では、現在時刻と最終更新時刻８２ａとの差を評価し、最終更新時刻８２ａから所定時間以上、たとえば３０分以上経過しているか否かを判断する。所定時間以上経過していると判断する場合はステップＳ１０７に進み、所定時間以上経過していないと判断する場合はステップＳ１０４に進む。本ステップを設けた意義は、油圧ショベル１が短い時間だけ通信圏外エリアに移動した際に、制限状態に移行することを防止するためである。

【0028】

ステップＳ１０７では、制御コントローラ８に指令を出力し、油圧ショベル１を制限状態に移行させて、たとえばエンジン１ａのスタータモータ１４の電源ラインを切断し、ステップＳ１０８に進む。
ステップＳ１０８では、携帯端末３４からの認証要求に備えて、車両時刻情報８２に最終更新時刻８２ａを代入して図４のフローチャートにより動作が表されるプログラムを終了する。

【0029】

（管理サーバのフローチャート）
図５は、サーバ制御部３１ａにより実行されるプログラムの動作を示すフローチャートである。
管理サーバ３１のサーバ制御部３１ａは、以下のプログラムを常に動作させる。以下に説明する各ステップの実行主体は、サーバ制御部３１ａのＣＰＵである。
ステップＳ２０１では、現在時刻がタイマー時刻、たとえば毎分の０秒であるか否かを判断する。タイマー時刻であると判断する場合はステップＳ２０２に進み、タイマー時刻でないと判断する場合は図５のフローチャートにより動作が表されるプログラムを終了する。

【0030】

ステップＳ２０２では、油圧ショベル１に疎通確認信号、たとえばＰＩＮＧを送信し、ステップＳ２０３に進む。
ステップＳ２０３では、油圧ショベル１から稼働情報を受信したか否かを判断する。稼働情報を受信したと判断する場合はステップＳ２０４に進み、稼働情報を受信していないと判断する場合はステップＳ２０７に進む。
ステップＳ２０４では、油圧ショベル１から受信した稼働情報を情報データベース３２に記録し、ステップＳ２０５に進む。

【0031】

ステップＳ２０５では、最終更新時刻８１ａに現在時刻を代入し、ステップＳ２０６に進む。
ステップＳ２０６では、携帯端末３４が油圧ショベル１に対して認証を要求する必要のない状態なので、サーバ時刻情報８１を消去し、図５のフローチャートにより動作が表されるプログラムを終了する。

【0032】

ステップＳ２０３において稼働情報を受信していないと判断した場合に実行されるステップＳ２０７では、現在時刻と最終更新時刻８１ａの差を評価し、最終更新時刻８１ａから所定時間以上、たとえば３０分以上経過しているか否かを判断する。所定時間以上経過していると判断する場合はステップＳ２０８に進み、所定時間以上経過していないと判断する場合はステップＳ２０６に進む。なお、本ステップにおける閾値と図４のステップＳ１０６における閾値、すなわち両ステップにおける「所定時間」は同一の時間である。
ステップＳ２０８では、サーバ時刻情報８１に最終更新時刻８１ａを代入し、ステップＳ２０９に進む。
ステップＳ２０９では、サーバ時刻情報８１を携帯端末３４に送信し、図５のフローチャートにより動作が表されるプログラムを終了する。

【0033】

上述した第１の実施の形態によれば、次の作用効果が得られる。
（１）産業車両の認証システム１００は、管理サーバ３１、産業車両すなわち油圧ショベル１、および携帯端末３４から構成される。油圧ショベル１とネットワークにより接続可能な管理サーバ３１は、油圧ショベル１との接続が切断されたことを検出する第１切断検出部、すなわちサーバ制御部３１ａ（図５、ステップＳ２０３、Ｓ２０７）と、第１切断検出部が産業車両との接続が切断されたことを検出すると接続が切断された時刻を記録する第１切断時刻記録部、すなわちサーバ制御部３１ａ（図５、Ｓ２０５、Ｓ２０８）と、第１切断時刻記録部が記録した接続が切断された時刻を携帯端末３４に送信するサーバ通信部３１ｃとを備える。携帯端末３４は、管理サーバ３１から油圧ショベル１との接続が切断された時刻、すなわちサーバ時刻情報８１を受信する携帯通信部３４ｃと、管理サーバ３１から受信した接続が切断された時刻を用いて油圧ショベル１に認証を要求する認証要求部、すなわち携帯制御部３４ａとを備える。産業車両、すなわち油圧ショベル１は、当該産業車両のアクチュエータ２６の動作を制限する動作制限部、すなわち制御コントローラ８と、管理サーバ３１との接続が切断されたことを検出する第２切断検出部、すなわち情報コントローラ２９（図４、ステップＳ１０１、Ｓ１０６）と、第２切断検出部がサーバとの接続が切断されたことを検出すると、接続が切断された時刻、すなわち車両時刻情報８２を記録する第２切断時刻記録部、すなわち情報コントローラ２９（図４、ステップＳ１０２、Ｓ１０８）と、携帯端末３４からの認証の要求に応じて、第２切断時刻記録部が記録した接続が切断された時刻に基づき認証を行う認証実行部、すなわち情報コントローラ２９と、第２切断検出部が管理サーバ３１との接続の切断を検出すると動作制限部による制限を開始させ（図４、ステップＳ１０７）、認証実行部が認証に成功すると動作制限部による制限を終了させる制御部、すなわち情報コントローラ２９とを備える。

【0034】

認証システム１００をこのように構成したので、油圧ショベル１と管理サーバ３１との接続が切断された時刻が、油圧ショベル１の制限状態を解除する認証のための情報となる。油圧ショベル１と管理サーバ３１との通信が行われることにより、接続が切断された時刻が実質的に更新される。そのため、仮にサーバ時刻情報８１が漏洩しても、油圧ショベル１と管理サーバ３１との通信が行われれば、油圧ショベル１の認証に用いる車両時刻情報８２が更新され、漏洩したサーバ時刻情報８１では認証が成功しないので、サーバ時刻情報８１の漏えいに対して堅牢である。また、本システムによれば、認証に用いる情報の更新を容易に行うことができる。

【0035】

（２）携帯端末３４は、認証のための第１鍵９１を記憶する携帯記憶部３４ｂを備える。携帯端末３４の認証要求部は、管理サーバ３１から受信した接続が切断された時刻、および第１鍵情報を用いて油圧ショベル１に認証を要求する。産業車両は、認証のための第２鍵９２を記憶する産業車両記憶部、すなわち情報コントローラ２９を備える。産業車両の認証実行部は、第２切断時刻記録部が記録した接続が切断された時刻、および第２鍵９２に基づき認証を行う。
そのため、携帯記憶部３４ｂに記憶された第１鍵９１もあわせて認証に用いるので、安全性が向上する。特に、第２鍵９２は油圧ショベル１のみに保存されており、管理サーバ３１は第２鍵９２の情報を持たないので、管理サーバ３１が単独で油圧ショベル１の制限状態を解除することを防止できる。

【0036】

（３）管理サーバ３１の第１切断時刻記録部、すなわちサーバ制御部３１ａ、および油圧ショベル１の第２切断時刻記録部、すなわち情報コントローラ２９は、接続が切断された時刻を、最後に接続が成功した時刻とする。
そのため、通信は管理サーバ３１と情報コントローラ２９とで行われるリアルタイムのやりとりなので、管理サーバ３１が記録する時刻と情報コントローラ２９が記録する時刻にずれが生じにくい。

【0037】

（変形例１）
上述した第１の実施の形態では、予め定められた時刻に管理サーバ３１から油圧ショベル１へ疎通確認信号が送信された。しかし、管理サーバ３１が疎通確認信号をランダムなタイミングで送信してもよい。たとえば、図５のステップＳ２０１において肯定判断された際に、ランダムな時間だけ待機してからステップＳ２０２に進むことにより、ランダムなタイミングで疎通確認信号を送信してもよい。
この変形例１によれば、通信が行われるタイミング、すなわちサーバ時刻情報８１を予想することが困難であり、安全性を向上することができる。なお、第１の実施の形態では最後に通信が行われた時刻をサーバ時刻情報８１、および車両時刻情報８２としているので、疎通確認信号の送信タイミングの規則性が失われても支障がない。

【0038】

（変形例２）
上述した第１の実施の形態では、通信を行った時刻を最終更新時刻８１ａ、および最終更新時刻８２ａとして記録した。しかし、時間間隔を予め定めて油圧ショベル１と管理サーバ３１とで共有し、時間間隔から定まる時刻を以下のように利用してもよい。すなわち、最終更新時刻８１ａ、および最終更新時刻８２ａを、通信を行った時刻の次に訪れる、予め定められた時間間隔で設定された時刻としてもよい。

【0039】

たとえば、油圧ショベル１と管理サーバ３１とで、最終更新時刻として記録する時刻は、時間間隔を１分とする旨を定める。この場合において、油圧ショベル１が管理サーバ３１から疎通確認信号を「１０時２分３０秒」に受信すると、情報コントローラ２９は次のように判断する。すなわち、予め定められた時間間隔で設定された時刻は、「１０時２分０秒、１０時３分０秒、・・」なので、受信した時刻の次に訪れる設定された時刻である「１０時３分０秒」を最終更新時刻８２ａとして記録する。
なお、この予め定める時間間隔は、第１鍵９１や第２鍵９２とともに携帯記憶部３４ｂや情報コントローラ２９に記憶されてもよいし、この時間間隔そのものが第１鍵９１や第２鍵９２として記憶されてもよい。

【0040】

この変形例２によれば、次の作用効果が得られる。
（１）管理サーバ３１の第１切断時刻記録部、および油圧ショベル１の第２切断時刻記録部は、接続が切断された時刻を、予め定められた時間間隔で設定された時刻とする。
そのため、油圧ショベル１の時計と管理サーバ３１の時計とが一致していない場合に、時間間隔を時計のずれ時間よりも長く設定することにより、油圧ショベル１が記録する最終更新時刻と、管理サーバ３１が記録する最終更新時刻を一致させることができる。

【0041】

（変形例３）
上述した第１の実施の形態では、通信が切断された時刻と予め共有された鍵情報の２つを使って認証が行われた。しかし、鍵情報を用いずに通信が切断された時刻のみを用いて認証を行ってもよい。
この場合は、油圧ショベル１は第２鍵９２を記憶しなくてもよく、携帯端末３４は第１鍵９１を記憶しなくてもよい。そして携帯端末３４は、管理サーバ３１からサーバ時刻情報８１を受信すると、このサーバ時刻情報８１をそのまま油圧ショベル１に送信し認証を行う。携帯端末３４からの認証要求を受信した油圧ショベル１は、受信したサーバ時刻情報８１が情報コントローラ２９に保存される車両時刻情報８２と等しいか否かを判断し、等しいと判断する場合は、油圧ショベル１の制限状態を解除する。
この変形例３によれば、認証システム１００の構成および動作を簡素化できる。

【0042】

（第２の実施の形態）
図６を参照して、産業車両の認証システムの第２の実施の形態を説明する。以下の説明では、第１の実施の形態と同じ構成要素には同じ符号を付して相違点を主に説明する。特に説明しない点については、第１の実施の形態と同じである。本実施の形態では、主に、第１鍵９１を用いてサーバ時刻情報８１を加工し、その加工した情報を用いて認証を行う点で、第１の実施の形態と異なる。

【0043】

（構成）
油圧ショベル１、管理サーバ３１、および携帯端末３４の物理的な構成は第１の実施の形態と同様である。油圧ショベル１の情報コントローラ２９、および携帯端末３４の携帯制御部３４ａが実行するプログラムの認証に関する動作が異なる。

【0044】

（動作の概要）
情報コントローラ２９および携帯制御部３４ａは、認証のためにメッセージ認証コード（Message Authentication Code）を利用する。メッセージ認証コードは、ある入力値と鍵情報を用いて出力、すなわちＭＡＣ値を得るものである。たとえば携帯制御部３４ａは、サーバ時刻情報８１を入力値、第１鍵９１を鍵情報としてＭＡＣ値を算出し、情報コントローラ２９は、車両時刻情報８２を入力値、第２鍵９２を鍵情報としてＭＡＣ値を算出する。第１の実施の形態で説明したように、正常な処理が行われていれば、サーバ時刻情報８１と車両時刻情報８２は等しく、第１鍵９１と第２鍵９２は等しいので、得られる２つのＭＡＣ値は等しくなる。

【0045】

（油圧ショベルの動作）
図６は、第２の実施の形態において情報コントローラ２９により実行されるプログラムの動作を示すフローチャートである。
第１の実施の形態において図４に示したフローチャートとの違いは、ステップＳ１０８の次にステップＳ１０８Ａを設けた点である。第１の実施の形態との差異点のみを説明する。
ステップＳ１０８の次に実行されるステップＳ１０８Ａでは、情報コントローラ２９のＣＰＵは、認証情報、すなわちＭＡＣ値を算出する。このＭＡＣ値はたとえば、車両時刻情報８２を入力値、第２鍵９２を鍵情報として算出される。以上で図６のフローチャートにより動作が表されるプログラムを終了する。
油圧ショベル１は、携帯端末３４から認証要求、すなわちＭＡＣ値を受信すると、受信したＭＡＣ値とステップＳ１０８Ａにおいて算出したＭＡＣ値を比較し、両者が一致すれば認証が成功したと判断して油圧ショベル１の制限状態を解除する。

【0046】

（管理サーバの動作）
管理サーバ３１の動作は第１の実施の形態と同様である。すなわち認証に関する点では、最終更新時刻８１ａから所定時間以上経過していた場合に、携帯端末３４にサーバ時刻情報８１を送信する。

【0047】

（携帯端末の動作）
携帯端末３４の携帯制御部３４ａは、管理サーバ３１からサーバ時刻情報８１を受信すると、認証のための認証情報、すなわちＭＡＣ値を作成する。このＭＡＣ値はたとえば、サーバ時刻情報８１を入力値、第１鍵９１を鍵情報として算出される。携帯制御部３４ａは、このＭＡＣ値を油圧ショベル１に送信することにより認証要求を行う。
なお、ＭＡＣ値の算出方法は油圧ショベルと携帯端末とで統一されていればよく、入力値と鍵情報を入れ替えてもよい。

【0048】

上述した第２の実施の形態によれば、携帯端末３４は油圧ショベル１への認証要求の際に、共有秘密鍵である第１鍵９１を送信する必要がないため、認証要求の通信を第三者に傍受されて第１鍵９１が漏洩する恐れがない。仮に本実施形態で認証情報としているＭＡＣ値が傍受されても、ＭＡＣ値から第１鍵９１を推測することは非常に困難であり、第１鍵９１の秘匿性を高めることができる。

【0049】

（第２の実施の形態の変形例１）
第２の実施の形態では、携帯端末３４が認証情報を生成した。しかし、管理サーバ３１が第２鍵９２を備え、管理サーバ３１が携帯端末３４に代わって認証情報を生成してもよい。

【0050】

（油圧ショベルの構成と動作）
油圧ショベル１の構成、および動作は第２の実施の形態と同様である。
（携帯端末の構成と動作）
携帯端末３４の構成は、携帯記憶部３４ｂに第１鍵９１が記憶されていない点が第２の実施の形態と異なる。また、管理サーバ３１から認証情報を受信すると、受信した認証情報をそのまま油圧ショベル１に送信することにより認証を行う。

【0051】

（管理サーバの構成と動作）
管理サーバ３１のサーバ記憶部３１ｂには、さらに第１鍵９１が記憶される。サーバ制御部３１ａの動作を図７を用いて説明する。
図７は、第２の実施の形態の変形例１において、サーバ制御部３１ａにより実行されるプログラムの動作を示すフローチャートである。

【0052】

第１の実施の形態において図５に示したフローチャートとの違いは、ステップＳ２０８の次にステップＳ２０８Ａを設け、ステップＳ２０９の代わりにステップＳ２０９Ａを設けた点である。第１の実施の形態との差異点のみを説明する。
ステップＳ２０８の次に実行されるステップＳ２０８Ａでは、サーバ制御部３１ａのＣＰＵは、認証情報、すなわちＭＡＣ値を算出する。このＭＡＣ値はたとえば、サーバ時刻情報８１を入力値、第１鍵９１を鍵情報として算出される。次にステップＳ２０９Ａに進む。

【0053】

ステップＳ２０９Ａでは、ステップＳ２０８Ａにおいて作成した認証情報、すなわちＭＡＣ値を携帯端末３４に送信し、図７のフローチャートにより動作が表されるプログラムを終了する。
本変形例によれば、携帯端末３４には第１鍵９１が保存されず、管理サーバ３１から受信する認証情報からの第１鍵９１の推定も困難なので、携帯端末３４から第１鍵９１に関する情報が流出する恐れがない。

【0054】

本変形例によれば、次の作用効果が得られる。
（１）管理サーバ３１は、認証のための第１鍵９１を記憶するサーバ記憶部３１ｂと、
接続が切断された時刻、および第１鍵９１を用いて認証情報を作成する認証情報作成部、すなわちサーバ制御部３１ａ（図７のステップＳ２０８Ａ）とを備える。管理サーバ３１のサーバ通信部３１ｃは、認証情報作成部が作成した認証情報を携帯端末３４に送信する。携帯端末３４の認証要求部は、管理サーバ３１から受信した認証情報を用いて油圧ショベル１に認証を要求する。油圧ショベル１は、認証のための第２鍵９２を記憶する産業車両記憶部、すなわち情報コントローラ２９を備える。油圧ショベル１の認証実行部、すなわち情報コントローラ２９は、第２切断時刻記録部が記録した接続が切断された時刻、および第２鍵９２に基づき認証を行う。
そのため、携帯端末３４に第１鍵９１が保存されることがなく、携帯端末３４が盗難にあっても第１鍵９１の情報が漏洩することを防止できる。携帯端末３４は、第１鍵９１を用いて算出したＭＡＣ値を管理サーバ３１から受信するが、ＭＡＣ値から第１鍵９１を推測することは非常に困難であり、第１鍵９１の確保される。

【0055】

（第２の実施の形態の変形例２）
上述した第２の実施の形態では、メッセージ認証コードを用いて認証情報を作成した。また、第１鍵９１および第２鍵９２はランダムなデータとした。しかし、第１鍵９１および第２鍵９２を時間の操作に関する情報とし、サーバ時刻情報８１および車両時刻情報８２を操作した時刻を認証情報としてもよい。
たとえば、第１鍵９１を「２時間１０分進める」であり、サーバ時刻情報８１が「２０１５年４月１日２３時３０分２０秒」である場合は、認証情報は「２０１５年４月２日１時４０分２０秒」となる。
この変形例によれば、認証情報が時刻情報そのものなので、第１鍵９１の存在が気付かれにくい利点がある。

【0056】

（第３の実施の形態）
図８〜図９を参照して、産業車両の認証システムの第３の実施の形態を説明する。以下の説明では、第１の実施の形態と同じ構成要素には同じ符号を付して相違点を主に説明する。特に説明しない点については、第１の実施の形態と同じである。本実施の形態では、主に、次の２点で第１の実施の形態と異なる。１点目は、通信が本来行われる時刻であって通信が行われなかった時刻をサーバ時刻情報８１および車両時刻情報８２とする点である。２点目は、認証に第１鍵９１および第２鍵９２を用いない点である。

【0057】

（構成）
油圧ショベル１、管理サーバ３１、および携帯端末３４の物理的な構成は第１の実施の形態と同様である。ただし、油圧ショベル１には第２鍵９２が保存されておらず、管理サーバ３１および携帯端末３４のいずれにも第１鍵９１が保存されていない。また、油圧ショベル１の情報コントローラ２９、および管理サーバ３１のサーバ制御部３１ａの動作が第１の実施の形態と異なる。

【0058】

（動作の概要）
油圧ショベル１と管理サーバ３１は、あらかじめ疎通確認信号を送受信するタイミングを定めている。油圧ショベル１は、そのタイミングで管理サーバ３１から疎通確認信号を受信できなかった場合は、制限状態に移行するとともに、その時刻を車両時刻情報８２として保存する。管理サーバ３１は、所定のタイミングで疎通確認信号を送信したにもかかわらず、油圧ショベル１から稼働情報を受信できない場合は、その時刻をサーバ時刻情報８１として保存する。

【0059】

（油圧ショベルのフローチャート）
図８は、第３の実施の形態において情報コントローラ２９により実行されるプログラムの動作を示すフローチャートである。第１の実施の形態において説明した図４に示すフローチャートとの差異が複数あるので、先頭から順に説明する。ただし、第１の実施の形態において説明したステップの説明は簡略化する。以下に説明する各ステップの実行主体は、情報コントローラ２９のＣＰＵである。
ステップＳ１２１では、現在時刻がタイマー時刻、たとえば毎分の０秒であるか否かを判断する。タイマー時刻であると判断する場合はステップＳ１０１に進み、タイマー時刻でないと判断する場合は図８のフローチャートにより動作が表されるプログラムを終了する。

【0060】

ステップＳ１０１では、管理サーバ３１から疎通確認信号を受信したか否かを判断し、受信したと判断する場合はステップＳ１０３に進み、受信していないと判断する場合はステップＳ１０７に進む。
ステップＳ１０３〜ステップＳ１０５は第１の実施の形態と同様なので説明を省略する。
ステップＳ１０１において疎通確認信号を受信していないと判断されると実行されるステップＳ１０７において、制御コントローラ８に指令を出力し、油圧ショベル１を制限状態に移行させてステップＳ１２２に進む。

【0061】

ステップＳ１２２では、車両時刻情報８２に何らかの時刻が設定されているか否かを判断する。車両時刻情報８２に時刻が設定されていると判断する場合は、図８のフローチャートにより動作が表されるプログラムを終了する。これは、車両時刻情報８２を上書きすることを避けるためである。車両時刻情報８２に時刻が設定されていないと判断する場合は、ステップＳ１０８Ｂに進む。
ステップＳ１０８Ｂでは、車両時刻情報８２に現在時刻、すなわちステップＳ１２１を実行したタイマー時刻を代入し、図８のフローチャートにより動作が表されるプログラムを終了する。

【0062】

（管理サーバのフローチャート）
図９は、第３の実施の形態においてサーバ制御部３１ａにより実行されるプログラムの動作を示すフローチャートである。第１の実施の形態において説明した図５に示すフローチャートとの差異は、ステップＳ２０５が省略されてステップＳ２０４の次にステップＳ２０６が実行される点、およびステップＳ２０３が否定判断された場合の処理が異なる点である。以下では、ステップＳ２０３が否定判断された場合について説明する。

【0063】

ステップＳ２０３が否定判断されると実行されるステップＳ２１１において、サーバ時刻情報８１に何らかの時刻が設定されているか否かを判断する。サーバ時刻情報８１に時刻が設定されていると判断する場合は、図８のフローチャートにより動作が表されるプログラムを終了する。これは、サーバ時刻情報８１を上書きすることを避けるためである。サーバ時刻情報８１に時刻が設定されていないと判断する場合は、ステップＳ２０８Ｂに進む。
ステップＳ２０８Ｂでは、サーバ時刻情報８１に現在時刻、すなわちステップＳ２０１を実行したタイマー時刻を代入し、ステップＳ２０９に進む。
ステップＳ２０９では、サーバ時刻情報８１を携帯端末３４に送信し、図９のフローチャートにより動作が表されるプログラムを終了する。

【0064】

上述した第３の実施の形態によれば、次の作用効果が得られる。
（１）管理サーバ３１の第１切断時刻記録部、すなわちサーバ制御部３１ａ、および油圧ショベル１の第２切断時刻記録部、すなわち情報コントローラ２９は、接続が切断された時刻を、接続が失敗した最初の時刻とする。

【0065】

上述した各実施の形態および変形例は、それぞれ組み合わせてもよい。
上述した実施の形態および変形例では、本発明を油圧ショベルに適用したが、走行装置及び作業用のアクチュエータを有する作業車両や建設機械を含む産業車両の全般、たとえば、ホイールローダ、ダンプトラック、ブルドーザ等にも適用が可能である。
上記では、種々の実施の形態および変形例を説明したが、本発明はこれらの内容に限定されるものではない。本発明の技術的思想の範囲内で考えられるその他の態様も本発明の範囲内に含まれる。

【符号の説明】

【0066】

１ … 油圧ショベル（産業車両）
８ … 制御コントローラ（動作制限部）
２９ … 情報コントローラ（第２切断検出部、第２切断時刻記録部、認証実行部、制御部、産業車両記憶部、認証情報作成部）
３１ … 管理サーバ（サーバ）
３１ａ … サーバ制御部（第１切断検出部、第１切断時刻記録部）
３１ｂ … サーバ記憶部
３１ｃ … サーバ通信部（送信部）
３４ … 携帯端末
３４ａ … 携帯制御部（認証要求部）
３４ｂ … 携帯記憶部（携帯端末記憶部）
３４ｃ … 携帯通信部（受信部）
１００ … 産業車両の認証システム

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】