JP2008059450A - 車両情報書換えシステム - Google Patents

Abstract

【課題】 不揮発性メモリに搭載されているソフトウェア等の車両情報を、書換えツールを用いて書き換える際に、より強力な認証が可能な車両情報書換えシステムを提供する。
【解決手段】 書換えツール１０側からの入力による認証とは無関係に、書換えツールの使用資格者に随伴する（例えば使用資格者が携行するか、あるいは、作業場所に固定的に設けられた媒体ホルダに保持させるなど）無線認証媒体２００を、書換えツール１０側からの無線ポーリングにて検出することで、正規の使用資格者をより強力に認証することができる。
【選択図】 図２

Description

この発明は、車両情報書換えシステムに関する。

特開２００３−３３７７４８号公報 特開２００３−１７２１９９号公報 特開２００１-２２９０１４号公報

自動車には、各種機器（被制御要素）を制御するためにＥＣＵが搭載されている。ＥＣＵは、ＣＰＵからなる主制御部を有し、自動車上に搭載される電子機器の制御処理を予め定められたソフトウェアの実行に基づいて実施する。このソフトウェアは、バージョンアップやバグ修正等のために、内容を随時更新できるよう、不揮発性メモリ（例えば、フラッシュメモリ）に記憶される（特許文献１〜３）。アプリケーションの更新処理は、多くの場合、車両持込にて販売店などで行われる。具体的には、ソフトウェアの書換え対象となるＥＣＵに専用の書換えツールを通信接続し、該書換えツールを介してオペレーターが書換え作業を行なう。

しかしながら、書換えツールが正規の使用者により使用されているかどうかの認証については、従来、十分に考慮されているとは言い難い側面があった。特に、盗難、なりすましあるいは替え玉などによる書換えツールの不正使用については、パスワード等による周知認証技術よりもさらに強力な認証方式が求められる。

本発明の課題は、不揮発性メモリに搭載されているソフトウェア等の車両情報を、書換えツールを用いて書き換える際に、より強力な認証が可能な車両情報書換えシステムを提供することにある。

課題を解決するための手段及び発明の効果

本発明は、ＣＰＵからなる主制御部を有し、自動車上に搭載される電子機器の制御処理を主制御部による予め定められたソフトウェアの実行に基づいて実施する車両用制御ユニットに対し、通信手段を介してデータ送信元として機能する書換え用ツールを着脱可能に接続し、車両用制御ユニット側に不揮発性メモリとして設けられ、ソフトウェアを含む車両情報を格納する車両情報格納部の記憶内容を、通信手段を介して書換え用ツールから転送される書換え用データに基づいて書き換える車両情報書換えシステムにおいて、上記の課題を解決するために、その書換えツールに、
車両情報格納部の記憶内容の書換え動作が許容される書換え許可モードと、該書換え許可モードよりも書換え動作が制限される書換え制限モードとを切替設定する動作モード切替手段と、
当該書換えツールを用いた書換え作業時において、該書換えツールの使用資格者に付随するべき無線認証媒体を検出するために、該無線認証媒体を無線ポーリングする無線ポーリング手段と、
無線ポーリングによる無線認証媒体の検出成功を前提条件として、動作モード切替手段に対し書換え許可モードへの切替を指令するモード切替指令手段と、を設けたことを特徴とする。

上記本発明によると、書換えツール側からの入力による認証とは無関係に、書換えツールの使用資格者に随伴する（例えば使用資格者が携行するか、あるいは、作業場所に固定的に設けられた媒体ホルダに保持させるなど）無線認証媒体を、書換えツール側からの無線ポーリングにて検出することで、正規の使用資格者をより強力に認証することができる。

無線ポーリング手段は無線認証媒体に対する無線ポーリングを定期的に繰り返し実行するものとすることができ、動作モード切替手段が書換え許可モードを設定している状態において、モード切替指令手段は、繰り返し実行される無線ポーリングによる無線認証媒体の一連の検出結果が成功から失敗に移行したことを条件として、動作モード切替手段に対し、書換え許可モードからに書換え制限モードへの切替を指令するものとすることができる。この方式によると、例えば盗難やなりすまし、あるいは替え玉などにより書換えツールが不正使用された場合においても、無線認証媒体の存在監視に基づく認証処理が書換え処理のバックグラウンドで動作しつづけ、無線認証媒体の検出が途中で途切れた場合は書換え制限モードへ移行するので、セキュリティ性を高めることができる。

なお、正規資格者であっても、無線認証媒体を携行してうっかり作業場を離れるなどの要因により、無線認証媒体が一時的に検出不能となることがある。この場合、モード切替指令手段は、動作モード切替手段が書換え許可モードを設定している状態において、無線認証媒体の一連の検出結果が成功から失敗に移行した場合には直ちに、動作モード切替手段に対し、書換え許可モードからに書換え制限モードへの切替を指令するものとすることができる。上記の構成では、無線認証媒体の検出が再開されれば直ちに書換え許可モードへ移行するので、面倒な復帰作業が不要となる。

一方、モード切替指令手段は、動作モード切替手段が書換え許可モードを設定している状態において、無線認証媒体の一連の検出結果が成功から失敗に移行し、かつ、当該移行後の検出失敗を含めて複数回検出失敗が連続した場合に、動作モード切替手段に対し、書換え許可モードから書換え制限モードへの切替を指令するものとして構成することができる。これにより、例えば中座などで無線認証媒体がごく短時間のみ検出不能となった場合でも、いちいち書換え制限モードに移行することがなくなるので、書換え処理の効率低下を防止することができる。

無線認証媒体は、例えばＩＣタグなどを利用した専用の無線ＩＤカードなどで構成することもできるが、車両のスマートキーシステムに使用される携帯機を無線認証媒体に兼用することもできる。スマートキーシステムは、車両毎の固有のＩＤコードを記録した携帯機と車載機器との間で無線通信を行ない、車載機器が、車両から所定距離範囲内に当該車両用の携帯機が存在するか否かをＩＤコードによって照合し、その照合結果に基づいて所定の制御を行なうものである。これにより、スマートキーシステムに使用される携帯機を、書換え用の無線認証媒体として書換えツールに登録すればこと足り、ディーラー側では作業員専用の無線ＩＤカードを発行・交付する手間やコストを省くことができる。この場合、該携帯機に記憶されている（スマートキーシステム認証用の）ＩＤコードを、書換えツールの使用資格者を認証するための使用資格者認証情報として使用（流用）すれば、使用資格者専用のＩＤコードを携帯機に再登録する面倒な作業が不要となる。

また、上記の携帯機は、車両情報の書き換え対象となる車両の携帯機を使用することも可能である。この場合、書換えツールには、該車両の携帯機を当該書換えツールの使用資格者の無線認証媒体として登録する携帯機登録手段を設ける。使用資格者固有の携帯機を用いるのではなく、車両情報の書き換え対象となる車両の携帯機をその都度認証用に利用するので、該携帯機は、その車両の書換えにしか有効でなくなる（携帯機は、ディーラー側が車両のオーナーから借り受ければよい）。従って、使用資格者の専用携帯機を固定的に使用する場合と比較して、携帯機の盗難等による書換えツールへの不正アクセスの防止効果は一層高められることとなる。

書換えツールには、無線認証媒体の検出による認証とは別に使用資格者の認証を行なうための補助認証情報を入力する補助認証情報入力手段と、入力された補助認証情報に基づく補助認証処理の認証結果を取得する認証結果取得手段とを設けることができる。上記のモード切替指令手段は、無線ポーリングによる無線認証媒体の検出成功とともに、補助認証処理の認証結果が認証受理であることを前提条件として、動作モード切替手段に対し書換え許可モードへの切替を指令するものとすることができる。無線認証媒体の検出による認証と、書換えツールへの入力による補助認証処理とを併用することで、無線認証媒体が万一盗難等にあった場合においてもセキュリティ突破しにくいシステム構築が可能となる。

具体的には、書換えツールを認証用サーバーにも接続可能に構成することができる。該認証用サーバーに、書換えツールからの補助認証情報を受信する補助認証情報受信手段と、受信した補助認証情報に基づいて補助認証処理を行なう補助認証処理実行手段と、該補助認証処理の認証結果を書換えツールに送信する認証結果送信手段と、を設けることができる。補助認証処理の実行主体を、書換えツールの外部に設けられる認証用サーバー（例えばディーラー側の固定設置サーバー）に移行することで、書換えツールの持ち去り等による車両情報の不正改変を効果的に防止することができる。なお、認証用サーバーから補助認証処理に対する受理認証結果を一旦書換えツール側で受領すれば、書換えツール側では（無線認証媒体の検出を前提として）書換え許可モードへ移行する処理を行なうことができ、以降は書換えツールを認証用サーバーから切り離しても書換え処理の実行を行なうことができる。また、補助認証処理自体は書換えツールの外でなされるので、書換えツールの処理負荷を軽減することができる。

書換えツールは、補助認証情報としての基本照合コードを入力するための補助認証情報入力手段をなす基本照合コード入力手段と、基本照合コードを暗号化するための暗号化キーを取得する暗号化キー取得手段と、取得した暗号化キーにより入力された基本照合コードを暗号化して暗号化済照合コードを生成する照合コード暗号化手段と、暗号化済照合コードを認証用サーバーに送信する暗号化済照合コード送信手段とを備えたものとして構成できる。認証用サーバーの補助認証処理実行手段は、暗号化キーと対をなす復号化キーの取得手段と、取得した復号化キーにより書換えツールから受信した暗号化済照合コードを復号化する照合コード復号化手段とを備え、復号化された照合コードに基づいて補助認証処理を行なうものとすることができる。基本照合コードを暗号化して認証用サーバーに送り、サーバーではそれを複合化して認証照合を行なう方式により、書換えツールの使用資格者の認証に係るセキュリティ性を一層高めることができる。この場合、認証用サーバーのオペレーターの利便性を考慮し、書換えツール側に与える暗号化キーを秘密キーとし、認証用サーバー側に与える復号化キーを公開キーとする形の公開キー暗号方式を採用することが可能である。

また、基本照合コードは、書換えツールの使用資格者を識別可能な使用資格者固有情報（例えば社員番号など）として、書換えツールを使用するたびにその都度入力されるものとすることができる。この場合、書換えツールの暗号化済照合コード送信手段は、暗号化済照合コードとともに暗号化前の基本照合コードも認証用サーバーに送信するようにしておく。認証用サーバーの補助認証処理実行手段は、暗号化済照合コードから復号化された照合コードと、当該暗号化済照合コードとともに送られてくる暗号化前の基本照合コードとの双方に基づいて補助認証処理を行なう。上記の構成によれば、基本照合情報の入力内容に誤りがある場合と、暗号化キーの入力内容に誤りがある場合とのいずれにおいても認証棄却されるのでセキュリティ性がより向上する。ただし、基本照合コードを書換えツールと認証用サーバーとの双方に固定情報として予め与えておき、書換えツール側の基本照合コードの入力手段（及び送信手段）を省略する構成も可能である。

より具体的な構成として、次のようなものを例示できる。すなわち、暗号化キー作成用ツールを認証用サーバーに接続可能に設け、該暗号化キー作成用ツールには、基本照合コードに対する暗号化キーと、該暗号化キーに対応する復号化キーとを対にして作成する暗号化／復号化キー作成手段と、作成された暗号化キーを書換えツールの使用資格者にのみ公開・出力する暗号化キー公開出力手段と、作成された復号化キーを基本照合コードと対応付けて認証用サーバーに送信する復号化キー送信手段とを設ける。認証用サーバーの復号化キーの取得手段は、送信される復号化キー及び基本照合コードの受信手段と、該受信した復号化キーを基本照合コードと対応付けて記憶する記憶手段とを含むものとする。また、認証用サーバーの補助認証処理実行手段は、受信した基本照合コードに対応する復号化キーを記憶手段から読み出し、これを用いて受信した暗号化済照合コードの復号化を試みるとともに、当該復号化された情報が基本照合コードと照合一致するか否かに基づいて補助認証処理を行なう。

上記の構成によると、暗号化キー作成用ツールが認証用サーバーと別体構成されているので、セキュリティ性はさらに高められる。具体的には、必要に応じて該暗号化キー作成用ツールを認証用サーバーに随時接続して暗号化キーと復号化キーとのペアを生成し、このうちの復号化キーを社員番号等の基本照合コードと対応付けた形で認証用サーバーに配信するとともに、認証用サーバー側では、書換え用ツールから受信した基本照合コードに対応する復号化キーを記憶手段から読み出し、これを用いて受信した暗号化済照合コードの復号化を試み、当該復号化された情報が基本照合コードと照合一致するか否かに基づいて補助認証処理を行なう。従って、基本照合情報の入力内容に誤りがある場合と、暗号化キーの入力内容に誤りがある場合とのいずれにおいても、その照合結果は不一致となり、認証棄却される。

次に、補助認証情報入力手段は、補助認証情報として使用資格者の生体認証情報が入力される生体認証情報入力手段とすることもできる。生体認証処理（いわゆるバイオメトリックス認証処理）では、使用資格者の人体の一部から補助認証情報が取得されるので、なりすましや替え玉による書換えツールの不正使用をより確実に阻止することができる。

具体的には、書換えツールには、入力された生体認証情報から生体特徴情報を抽出する生体特徴情報抽出手段と、抽出された生体特徴情報を認証用サーバーに送信する生体特徴情報送信手段とを設け、認証用サーバーの補助認証処理実行手段は、生体特徴情報の受信手段を備え、受信した生体特徴情報に基づいて補助認証処理を行なう構成が可能である。処理負荷の大きい生体認証処理を書換えツール外の認証用サーバーで実行することで、書換えツールの認証処理負荷を軽減できる。この場合、書換えツールにて、生体認証情報入力手段からマスター登録用に入力された生体認識情報から、生体特徴情報抽出手段によりマスター生体特徴情報を抽出し、生体特徴情報送信手段により該マスター生体特徴情報を認証用サーバーに送信するとともに、認証用サーバーには、受信したマスター生体特徴情報を登録するマスター生体特徴情報登録手段が設けられ、補助認証処理実行手段は、認証用に受信した生体特徴情報をマスター生体特徴情報と照合することにより、補助認証処理を行なう構成が可能である。

なお、補助認証処理をより簡便に行なう構成として、以下のようなものを例示することができる。すなわち、書換えツールに、認証用サーバーにパスワードの発行を要求するパスワード発行要求手段を設け、認証用サーバーには、該パスワード発行要求を受けてパスワードを発行し、書換えツールに送信するパスワード発行手段を設ける。書換えツールには、発行された該パスワードを書換えツールの使用資格者に公開・出力するパスワード公開出力手段と、公開された該パスワードを使用資格者が認証用に入力するためのパスワード認証入力手段と、入力されたパスワードを認証用サーバーに送信するパスワード認証送信手段とを設ける。認証用サーバーの補助認証処理実行手段は、パスワードの受信手段を備え、受信したパスワードに基づいて補助認証処理を行なう。必要となる毎にパスワードをその都度発行して補助認証処理を行なうことにより、簡便でありながら比較的強力なセキュリティ性を確保することができる。このパスワードは、個々の補助認証処理において１回のみ有効となるワンタイムパスワードとして発行することが望ましい。

以下、本発明の実施の形態を、図面を参照して説明する。
図１は、本発明の車両情報書換えシステムが適用されるＥＣＵの電気的な構成図である。ＥＣＵ１は、ＣＰＵ１０１からなる主制御部を有し、自動車Ｃ上に搭載される電子機器（制御対象機器：被制御要素）の制御処理を該主制御部による予め定められたソフトウェアの実行に基づいて実施するものであり、具体的には、ＣＰＵ１０１、ＲＯＭ１０３（フラッシュメモリ等の不揮発性メモリからなる）、ＲＡＭ１０２及び入出力部（Ｉ／Ｏポート）１０５がバス接続されたマイコンからなる。

ＲＯＭ１０３には、対象機器の制御処理を司り、種々の車載機能を実現するアプリケーション１，２‥が搭載されている。ＲＯＭ１０３は不揮発性メモリで構成されているので電気的に記憶内容が書換え可能であり、アプリケーション１，２も、追加、削除、あるいはバージョンアップ等に伴う書き換え処理が必要に応じてなされる。この自動車側での書き換え処理を直接司る書換え用ファームウェア（ＦＷ）がＲＯＭ１０３内に搭載されている。アプリケーション１，２が書換え対象の車両情報となる。また、これらのアプリケーション１，２が取り扱う各種パラメータ値や、付随情報も書換え対象の車両情報となりうる。

ＲＯＭ１０３は本実施形態ではフラッシュメモリとして構成されている。フラッシュメモリは、そのハードウェア原理固有の事情として、追記書込処理はビット単位で可能な一方、消去はブロック単位でしか行なえないようになっている（周知であるので、理由等の詳細は略する）。従って、既に何らかのデータが書き込み済のエリアに別のデータを（見かけ上）上書きするには、そのエリアをブロック単位で消去し、その後、新しいデータを書き込む処理が必要となる。また、フラッシュメモリ上の特定エリアのデータを書換えたい場合は、書換え対象となるデータをＲＡＭ１０２のブロックコピーエリアに一旦コピーして、フラッシュメモリ上の対応エリアをブロック消去し、ＲＡＭ１０２上でデータ書換えを行なった後、ブロック単位でフラッシュメモリの対応エリアに書き戻す、といった処理が行なわれる。前述の書換え用ファームウェアは、こうした一連の書換え処理の制御を司るものである。

自動車Ｃ上には、上記のようなＥＣＵが車載ネットワーク（通信プロトコル：例えばＣＡＮ（Controller Area Network））を構築するシリアル通信バス３０により、各々シリアルインターフェース１０７及び受信バッファ１０７ａを介して複数接続されている。シリアル通信バス３０には外部機器接続用のコネクタ２０も接続され、各ＥＣＵの上記車両情報の書換え処理を行なうため、（例えば自動車供給元（ディーラー））のオペレーターが操作する書換えツール１０が該コネクタ２０に接続される。書換えツール１０は、自身に搭載されたファームウェアの実行に伴い、各ＥＣＵへの車両情報書換えのための認証（認証入力含む）、及びシリアル通信バス３０を介した書換え用データの転送、及び対象ＥＣＵからの書換え処理に係るステータス情報の受信などを含む一連の書換え処理を、各ＥＣＵと連携して行なうものである。

図２は、書換えツール１０の電気的構成を示すブロック図である。書換えツール１０は、ＣＰＵ１１、ＲＡＭ１２、ＲＯＭ１３（フラッシュメモリ等の不揮発性メモリからなる）、入出力Ｉ／Ｏ１５及び無線用入出力Ｉ／Ｏ２３がバス接続されたマイコン４０からなる。入出力Ｉ／Ｏ１５にはキーボードからなる操作入力部１９（以下、キーボード１９ともいう：以下の説明では、概念上包含関係にある技術要素に同一の符号を付与する場合がある）、液晶パネル等からなるモニタ４１が接続されている。オペレーターは、モニタ４１に表示される指示内容に従い、車両情報書換え処理の実行に必要な入力を行なう。この入力情報に基づいて、コネクタ２０Ｔ，２０Ａを介した通信により車両情報書換え処理を自動車側の書換え用ファームウェアと連携して実行するための書換え用ファームウェアがＲＯＭ１３に格納されている。また、ＲＯＭ１３は、書換え用の車両情報、ここではアプリケーションプログラムを構成するデータ列（以下、アプリケーションデータともいう）も合わせて格納されている。このアプリケーションデータは、自動車側にて特定のアプリケーションの更新が必要となる毎に用意され、例えば所定のサーバーから通信によりダウンロードしてＲＯＭ１３に格納されるものである。

次に、無線用入出力Ｉ／Ｏ２３には無線通信部４２が接続されている。無線通信部４２には、コイル状のＬＦアンテナを介して携帯キー２００とＬＦ帯で無線通信するためのＬＦ送信部２５と、無線用入出力Ｉ／Ｏ２３に接続された該ＬＦ送信部２５の変調部２４とが設けられている。また、図示しない内蔵アンテナを介して携帯キー２００とＲＦ帯で無線通信するためのＲＦ受信部２７と、無線用入出力Ｉ／Ｏ２３に接続された該ＲＦ受信部２７が接続される復調部２６とが設けられている。

携帯キー２００（携帯機）は、自動車Ｃに搭載された図示しないスマートキーシステムに使用するためのものである。この携帯キー２００は、具体的には、車両毎の固有のＩＤコードを記録するとともに車載機器との間で無線通信を行ない、車載機器が、車両から所定距離範囲内に当該車両用の携帯機が存在するか否かをＩＤコードによって照合し、その照合結果に基づいて所定の機能制御（例えば、ドアロック／ロック解除、イモビライザのアンロックなど）を行なうためのものである。携帯キー２００と通信する自動車側の無線通信部は、図２に示す書換えツール１０の無線通信部４２と同様の構造を有している。

以下、図２の符号を援用して説明すると、具体的には、自動車側では変調部２４において携帯キーＩＤ等が反映されたベースバンド信号によりＬＦ搬送波信号を変調し、ＬＦ送受信部２５からポーリング電波として定期的に繰り返し送信する。ポーリング電波の到達範囲内に携帯キー２００が存在すれば、携帯キー２００は該ポーリング電波をＬＦ受信部２０１にて受信し、復調部２０４でベースバンド信号を取り出し、マイコン２０７で内容解析する。解析の結果、自身に対するポーリングであることが確認されれば、携帯キー２００は、変調部２０６において認証用ＩＤが反映されたベースバンド信号によりＲＦ搬送波信号を変調し、ＲＦ送信部２０３から応答電波を自動車側に送信する。自動車側では、応答電波をＲＦ受信部２７にて受信し、復調部２６で認証用ＩＤを含んだベースバンド信号を取り出して認証処理を行なうとともに、結果が認証受理であった場合に限りドアロック解除やイモビライザアンロック等の機能制御処理を行なう。

次に、本実施形態では、この携帯キー２００が、該書換えツール１０の使用資格者（例えばディーラーの専任技術者）に付随する（例えば携行する）無線認証媒体に兼用されている。携帯キー２００は、本来は使用資格者とは別の、自動車オーナーが保有するものであり、そのオーナーを特定するために上記認証用ＩＤが記憶されている。車両情報書換えのために自動車をディーラーに入庫する際、この携帯キー２００は自動車オーナーから書換えツール１０の使用資格者に貸し渡される。使用資格者は携帯キー２００を上記認証用ＩＤにて書換えツール１０（例えばＲＯＭ１３）に登録して使用する。ただし、携帯キー２００は、車両情報書換えの対象となる自動車とは無関係の特定の自動車（例えばディーラー側で保有する特定の自動車）のスマートキーシステムに使用するものであってもよい。

図２において書換えツール１０の無線通信部４２は、書換えツール１０を用いた車両情報の書換え作業時において、該書換えツールの使用資格者に付随する携帯キー２００（無線認証媒体）を検出するために、該携帯キー２００を無線ポーリングする無線ポーリング手段として使用される。この無線ポーリングの制御処理は、ＲＯＭ１３に格納された携帯キーポーリング用ファームウェアが司る。

書換えツール１０のマイコン４０の内部バス１４には、シリアルインターフェース１７及び受信バッファ１７ａを介してコネクタ２０Ｔが接続されている。書換えツール１０は、該コネクタ２０Ｔにて自動車側のシリアル通信バス３０につながるコネクタ２０Ａに着脱可能に接続され、書換え対象となるＥＣＵと通信可能となる。書換えツール１０に搭載された書換え用ファームウェアは、書換え対象となる図１のＥＣＵ１のＲＯＭ１０３（車両情報格納部）の記憶内容（例えばアプリケーション１，２のいずれか）の書換え動作が許容される書換え許可モードと、該書換え許可モードよりも書換え動作が制限される書換え制限モードとを切替設定する動作モード切替手段の機能と、無線ポーリングによる無線認証媒体の検出成功を前提条件として、動作モード切替手段に対し書換え許可モードへの切替を指令するモード切替指令手段の機能とをソフトウェア的に実現する役割を果たす。

以下、書換えツール１０を用いたＥＣＵ１（図１）のアプリケーションの書換え処理を例に取り、その動作の詳細を、フローチャートを用いて説明する。図３は携帯キー２００を書換えツール１０に登録する処理である。まず、書換えツール１０の使用資格者を認証するために、書換えツール１０の入力部をなすキーボード１９から、認証ＩＤ（例えば社員番号）あるいはパスワードなどの登録用認証情報を入力する（Ｓ２１：認証処理）。書換えツール１０では入力された登録用認証情報を、予めＲＯＭ１３等に記憶されているマスター情報と照合する等により周知の認証処理を行ない、認証受理の場合に限りＳ２２に進み、登録モードへの切替を行なう。なお、この認証処理は、後述の補助認証処理と同一の認証処理を行なってもよい。また、既にプログラムの書換え対象車両の携帯キーが書換えツール１０に登録済みの場合は、登録不要と判断して以下の処理をスキップする。また、本実施形態では、この登録処理を、書換えツール１０と車両とを所定のコネクタにより有線接続して行なうものとする。

登録モードに移行すれば、書換えツール１０は、登録するべき携帯キー２００に書き込まれているのと同じ認証ＩＤ（ＩＤコード）の送信を、有線接続された車両に対し要求する（Ｓ２３）。車両はこれを受け、認証ＩＤの送信要求であることが確認されれば該認証用ＩＤを書換えツール１０側に送信する。書換えツール１０側ではこれを受信し（Ｓ２４）、ＲＯＭ１３内に登録する（Ｓ２５）。

なお、書換えツール１０と携帯キー２００との無線通信により、該携帯キー２００から認証ＩＤを直接取得できるようにしてもよい。

図４は、携帯キーポーリング用ファームウェア及び書換え用ファームウェアによる書換えツール１０側での、アプリケーション書換えに係る主処理の流れを示したものである。図２に示すように、コネクタ２０Ｔ，２０Ａにて書換えツール１０を自動車側に接続し、図４のＳ１で書換えツール１０の電源を投入する。するとモニタ４１にログイン画面が表示される。図２において書換えツール１０のＲＡＭ１２にはログインフラグと操作許可フラグとが形成されており、電源投入によりこれらのフラグはいずれも初期化される（つまり、ログインもツールの操作（ただし、プログラム書換えに関与する特定操作）もいずれも許可しない状態）。Ｓ２では、その画面指示に従って補助認証処理を行なう。この補助認証の結果が認証受理であればシステムへのログインが許可され（ログインフラグのみ「許可」状態となる）、Ｓ３に進む。他方、補助認証の結果が認証棄却であればログインを拒否しＳ２へ戻って補助認証のやりなおしを要求する。補助認証処理の詳細については後述する。

以下、Ｓ３では、携帯キー２００（無線認証媒体）に対する無線ポーリングを定期的に繰り返し実行する。書換用ファームウェア（書換えツール１０（図２）及びＥＣＵ１（図１））によるＲＯＭ１０３の、指定されたアプリケーション（あるいは、その他の車両情報）の書換え処理動作に対しては、書換えツール１０からＥＣＵ１への書換え用アプリケーションプログラムデータ（あるいは、その他の書換え用車両情報）の送信が許容される書換え許可モードと、送信が禁止される書換え制限モード（書換えに必要なデータがＥＣＵ１に送信されないのだから、結果的に書換え処理が制限（禁止）されていることになる）とが、上記の無線ポーリングの応答結果に応じて随時切り替えられることとなる（Ｓ４）。以下、その詳細について図５を用いて説明する。

書換え許可モードと書換え制限モードとの切替は、状態遷移型処理として実行される。すなわち、書換え許可モードを設定している状態においては、繰り返し実行される無線ポーリングによる携帯キー２００（無線認証媒体）の一連の検出結果が成功から失敗に移行したことを条件として、書換え許可モードから書換え制限モードへ切り替わる。また、書換え制限モードを設定している状態においては、上記の検出結果が失敗から成功に移行したことを条件として、書換え制限モードからに書換え許可モードへの切り替わる（以下、操作許可フラグは、書換え制限モードでは「非許可」状態となり、書換え制限モードでは同じく「許可」状態となる）。

本実施形態では、書換え制限モードを設定している状態において、上記検出結果が失敗から成功に移行した場合には直ちに、書換え許可モードからに書換え制限モードへ切り替わるようになっている。また、書換え許可モードを設定している状態において、上記検出結果が成功から失敗に移行し、かつ、当該移行後の検出失敗を含めて複数回（図５ではＮ回：例えば２回以上５回以下）検出失敗が連続した場合に、書換え許可モードからに書換え制限モードへの切り替わるようにしている。無線ポーリングのインターバルＴ_０は一定に設定してもよいし、ポーリング開始後の経過時間に応じてインターバルＴ_０を変えること（例えば、経過時間が長くなるほどインターバルＴ_０を大きくすること）も可能である。

図６Ａは書換え制限モードにおける書換用ファームウェア（書換えツール１０側）の処理の流れを示すものである。先頭のＳ５０で、書換えツール１０の使用禁止設定（書換えに必要なデータの送信禁止設定）が行なわれる。次いでポーリングインターバルＴ_０を計測するためのソフトタイマーを起動し（Ｓ５１）、Ｔ_０が経過すれば携帯キー２００のポーリングを開始する（Ｓ５２→Ｓ５３）。

無線ポーリング処理は携帯キーポーリング用ファームウェアの実行によりなされる。基本的な処理内容は、前述した自動車側のスマートキーシステムにおける無線ポーリング処理と実質的に同じである。具体的には、図２において、書換えツール１０側では変調部２４において携帯キーＩＤ等が反映されたベースバンド信号によりＬＦ搬送波信号を変調し、ＬＦ送受信部２５からポーリング電波として定期的に繰り返し送信する。ポーリング電波の到達範囲内に携帯キー２００が存在すれば、携帯キー２００は該ポーリング電波をＬＦ受信部２０１にて受信し、復調部２０４でベースバンド信号を取り出し、マイコン２０７で内容解析する。解析の結果、自身に対するポーリングであることが確認されれば、携帯キー２００は、変調部２０６において認証用ＩＤが反映されたベースバンド信号によりＲＦ搬送波信号を変調し、ＲＦ送信部２０３から応答電波を書換えツール１０側に送信する。書換えツール１０側では、応答電波をＲＦ受信部２７にて受信し、復調部２６で認証用ＩＤを含んだベースバンド信号を取り出して認証処理を行なうとともに、結果が認証受理であった場合は「携帯キーあり」と判断し、認証棄却であった場合は「携帯キーなし」と判断する。

図６Ａに戻り、Ｓ５４において上記のポーリング結果が「携帯キーなし」であれば、Ｓ５５でタイマーをリセットしてＳ５１に返り（Ｓ５５）、以下の処理を繰り返す。一方、ポーリング結果が「携帯キーあり」であればＳ５６に進み、書換え許可モードへ移行し、Ｓ５７でタイマーをリセットして終了する。

一方、図６Ｂは書換え許可モードにおける書換用ファームウェア（書換えツール１０側）の処理の流れを示すものである。先頭のＳ１００で、書換えツール１０の使用許可設定（書換えに必要なデータの送信許可設定）が行なわれる。次いで、Ｓ１０１では連続して「携帯キーなし（不存在）」と判定される回数を計数するための不存在カウンタＣ_Ａをリセットし、Ｓ５１でポーリングインターバルＴ_０を計測するためのソフトタイマーを起動する（Ｓ１０２）。Ｓ１０３でインターバルＴ_０が経過すればＳ１０４に進み、携帯キー２００のポーリングを開始する。Ｓ１０６において上記のポーリング結果が「携帯キーあり」であればＳ１０８に進み、不存在カウンタＣ_ＡをインクリメントしてＳ１０９に進む。そして、Ｓ１０９で不存在カウンタＣ_Ａの係数値がＮに到達していなければＳ１０７でタイマーをリセットしてＳ１０１に返り（Ｓ１０７）、以下の処理を繰り返す。一方、不存在カウンタＣ_Ａの係数値がＮに到達していればＳ１１０に進んで書換え制限モードへ移行し、Ｓ１１１でタイマーをリセットして終了する。

図４に戻り、書換え許可モードが設定されている場合は、書換えツール１０側からアプリケーション（あるいは、その他の車両情報）の書換えに必要なデータが自動車側に転送され、ＲＯＭ１３内の情報の書換え処理がなされる（Ｓ４）。書換え処理が終了すればＳ５に進み、書換えツール１０の電源が遮断されればプログラムは終了となり、遮断されない場合はログアウトとなり、Ｓ２に戻って次のログインのために待機する。

なお、「書換え制限モード」とは、書換えツール１０の使用者の意図によらず、車両側でのアプリケーションプログラムの書換えが結果的に妨げられる（制限される）ものであれば、これをどのような手段で実現するかについては特に制限はない。例えば、書換えツール１０の書換えのための操作自体を受け付けなくするようにしてもよいし、操作は受け付けても、アプリケーションプログラムの書換えに必要な車両側とのデータ通信を妨げるようにしてもよい。前者の場合、例えば、書換え用のアプリケーションプログラムのデータを書換えツール１０が車両へ送信中に携帯キーの存在を確認できなくなった場合、書換えツール１０の操作が禁止状態に移行するが、既に受け付けられた操作に基づくプログラムデータの送信のみは続行可能に処理することも可能である。しかし、この場合も、それ以降の受付拒否された操作にプログラムデータの送信は実行されないのだから、この場合もアプリケーションプログラムの書換えが制限（あるいは禁止）されていることに何ら変わりはない。

次に、前述の補助認証処理の詳細について説明する。書換えツール１０には、上記説明した携帯キー２００（無線認証媒体）のポーリング検出による認証（以下、「携帯キーポーリング認証」という）とは別に使用資格者の認証を行なうため、本実施形態では携帯キーポーリング認証の開始に先立って行なわれる（図４：Ｓ２）。書換えツール１０には、補助認証情報を入力する補助認証情報入力手段として、前述のキーボード１９や生体認証入力部１８が設けられている。これらの補助認証情報入力手段は、採用する認証方式に必要なものを適宜選択して設ければよい（従って、図示した入力手段は、採用する認証方式に特に使用しないものは省略することが可能である）。また、補助認証処理は、図２のＲＯＭ１３に格納された認証用ファームウェアにより実行される。

図４のフローチャートの流れからも明らかな通り、補助認証処理の認証結果が認証受理であることを前提条件として（Ｓ２→Ｓ３）、携帯キーポーリング認証の結果が認証受理であった場合に限り、書換え許可モードへの切替が可能となる。

以下、補助認証処理の第一例について説明する。ここでは、補助認証処理が公開キー暗号方式に従って実施される。図７に示すように、書換えツール１０は認証用サーバー５０に接続可能とされている。認証用サーバー５０は一般的なコンピューターハードウェアからなり、図２に示すように、コネクタ２０Ｓにて書換えツール１０のコネクタ２０Ｔにシリアル通信接続される。図７に示すように、認証用サーバー５０には、通信部５２（コネクタ２０Ｔにつながるシリアルインターフェースなどからなる：補助認証情報を受信する補助認証情報受信手段と、補助認証処理の認証結果を書換えツールに送信する認証結果送信手段とを構成する）、認証部５１（ハードウェア主体であるマイコンからなる：受信した補助認証情報に基づいて補助認証処理を行なう補助認証処理実行手段を構成する）及びデータ格納部５３（マイコンと内部バスにより接続された不揮発性メモリ等からなる）などが設けられている。

また、図７に示すように、暗号化キー作成用ツール３００が認証用サーバー５０に接続可能に設けられている。暗号化キー作成用ツール３００は、書換え用ツール１０の使用資格者に対し、暗号化キーをなす秘密キーと、これと対を成す復号化キーをなす公開キーとを固有に発行するためのものである。具体的には、図２に示すように、認証用サーバー５０のコネクタ２０Ｑと暗号化キー作成用ツール３００のコネクタ２０Ｊとにより、両者がシリアル通信可能に接続される。暗号化キー作成用ツール３００は、マイコンハードウェアからなる制御主体３０１、通信部３０３（コネクタ２０Ｊにつながるシリアルインターフェースなどからなる）、キーボード等の入力部３０４、液晶パネル等の表示部３０２及び暗号化キー生成部３０５（暗号化キー生成ファームウェアの実行に基づき、制御主体３０１によりソフトウェア的に機能実現される）などからなる。

暗号化キー生成部３０５は、基本照合コードに対する暗号化キーと、該暗号化キーに対応する復号化キーとを対にして作成する暗号化／復号化キー作成手段として機能する。また、表示部３０２は、作成された暗号化キーを書換えツールの使用資格者にのみ公開・出力する暗号化キー公開出力手段として機能する。さらに、通信部３０３は、作成された復号化キーを基本照合コード（後述）と対応付けて認証用サーバー５０に送信する復号化キー送信手段として機能する。他方、認証用サーバー５０の通信部５２は、暗号化キー生成ツール３００から復号化キーを取得する手段、及び下記書換えツール１０から送信される復号化キー及び基本照合コードの受信手段として機能する。また、データ格納部５３は、該受信した復号化キーを基本照合コードと対応付けて記憶する記憶手段として機能する。

上記の秘密キー／公開キーを用いた補助認証処理においては、書換えツール１０の入力部１９が、補助認証情報としての基本照合コード（本実施形態では、書換えツール１０の使用資格者の社員番号）を入力するための補助認証情報入力手段をなす基本照合コード入力手段、及び基本照合コードを暗号化するための暗号化キーを取得する暗号化キー取得手段として機能する。また、暗号部２２は、取得した暗号化キーにより入力された基本照合コードを暗号化して暗号化済照合コードを生成する照合コード暗号化手段として機能する。基本照合コードの暗号化のロジックとしては、ＲＳＡや楕円曲線暗号等の周知の方式を採用できる。ただし、各方式による暗号化は演算処理負荷が大きいことも多く、図２に示すように、本実施形態では、書換えツール１０の内部バスに、基本照合コードを暗号化するための論理回路である暗号化ロジック２２を暗号化バッファ２１とともに設けてある。該暗号化ロジック２２が暗号部２２を構成する。

図７に戻り、書換えツール１０においては、図２のマイコン１０が制御主体１０をなし、これに表示部（モニタ）４１、入力部（キーボード）１９、暗号部（暗号化ロジック）２２、通信部（シリアルインターフェース）１７などが接続されている。プログラム書換え部１３は、書換え用ファームウェアの実行により制御主体１０が機能実現するものである。そして、通信部１７は、暗号化済照合コードを認証用サーバーに送信する暗号化済照合コード送信手段、及び暗号化キーと対をなす復号化キーの取得手段を構成する。また、認証用サーバー５０の認証部５１は、取得した復号化キーにより書換えツールから受信した暗号化済照合コードを復号化する照合コード復号化手段を構成し、また、復号化された照合コードに基づいて補助認証処理を行なう役割を果たす。

また、書換えツール１０において通信部１７は、暗号化済照合コードとともに暗号化前の基本照合コードも認証用サーバーに送信する（暗号化済照合コード送信手段）。そして、認証用サーバー５０の認証部（補助認証処理実行手段）５１は、暗号化済照合コードから復号化された照合コードと、当該暗号化済照合コードとともに送られてくる暗号化前の基本照合コードとの双方に基づいて補助認証処理を行なう。具体的には、受信した基本照合コードに対応する復号化キーをデータ格納部５３（記憶手段）から読み出し、これを用いて受信した暗号化済照合コードの復号化を試みるとともに、当該復号化された情報が基本照合コードと照合一致するか否かに基づいて補助認証処理を行なう。

以下、上記第一例の補助認証処理の流れを、フローチャートを用いて説明する。
図８は、暗号化キー生成ツール３００における暗号化キーの作成処理の流れを示すものである。図２において、暗号化キー生成ツール３００と認証用サーバー５０とをコネクタ２０Ｊ，２０Ｑにて互いに接続する。この状態でユーザー（使用資格者：従業員）は、暗号化キー生成ツール３００の入力部３０４から、基本照合コードをなす従業員番号を入力する（Ｗ１）。暗号化キー生成ツール３００の暗号化キー生成部３０５はこの従業員番号を取得し（Ｋ１）、秘密キー（暗号化キー）と公開キー（復号化キー）のペアを作成する（Ｋ２）。このうち、秘密キーは表示部３０２に出力され（Ｋ３）、ユーザーはこれを視覚的に読み取って暗記する（Ｗ２）。一方、公開キーは入力された従業員番号とともに認証用サーバーに送られ（Ｋ４）、認証用サーバー５０のデータ格納部５３に登録・格納される（Ｖ１）。

図９は、上記秘密キーと公開キーとを用いた補助認証処理の流れを示すものである。まず、図２のコネクタ２０Ｔ、２０Ｓにおいて書換えツール１０と認証用サーバー５０とを接続する。この状態でユーザー（使用資格者：従業員）は、書換えツール１０の入力部１９から、基本照合コードをなす従業員番号と暗記している秘密キーとを入力する（Ｗ５１）。書換えツール１０においては、その従業員番号と秘密キーとを取得するとともに（Ｔ１）、暗号部２２にて該秘密キーにより従業員番号を暗号化する（Ｔ２）。そして、暗号化前の従業員番号と、上記秘密キーにて従業員番号を暗号化した暗号文とを認証用サーバー５０に送信する（Ｔ３）。

認証用サーバー５０では、（暗号化前の）従業員番号と上記の暗号文とを受信し（Ｖ５１）、受信した従業員番号に対応する公開キーをデータ格納部５３にて検索する。そして、検索された公開キーにて受信した暗号文の復号化を試み、復号化された結果情報を、対応する従業員番号と照合する（Ｖ５２）。照合一致の場合は補助認証受理となり書換えツール１０の使用を「許可」とする（Ｖ５３）。一方、照合不一致の場合は補助認証棄却となり書換えツール１０の使用を「禁止」とする（Ｖ５４）。以上の認証結果を書換えツール１０に送信する（Ｖ５５）。書換えツール１０ではこの認証結果を受信し（Ｔ４）、「使用許可」を示していれば、書換えツール１０は車両情報の書換え処理の実行が許可された状態に設定され（Ｔ５）、「使用禁止」を示していれば、車両情報の書換え処理の実行が禁止された状態に設定される（Ｔ６）。

次に、補助認証処理の第二例について説明する。ここでは、補助認証処理が生体認証方式に従って実施される。図１０はこの場合のハードウェア接続ブロック図を示すものである。ただし、図７との共通点も多いため主に相違点について説明し、共通する要素には図７と同一の符号を付与して詳細な説明は略する。まず、書換えツール１０側の入力部は生体情報入力部１８として構成される。生体認証（バイオメトリックス認証）方式は周知の種々の方式から選択することができ、本実施形態では、音声認証、網膜認証、顔認証、指紋認証及びアイリス（虹彩）認証のいずれか、又はそれらの二種以上を組み合わせた認証方式が採用される。これらの認証方式のいずれを採用するかによって、生体情報入力部１８は（上記認証方式の記載順に対応して）、マイクロフォン１８Ａ、網膜カメラ１８Ｂ、顔カメラ１８Ｃ、指紋検出器１８Ｄ及びアイリスカメラ１８Ｅの中から必要なものが選択される。

いずれの方式においても、認証用サーバー５０の認証部５１は、入力された生の生体情報を直接認証に使用するのではなく、該生の生体情報から認証対象者に固有の特徴情報を抽出し、データ格納部５３に予め登録されているマスター特徴情報と、上記抽出された特徴情報とを照合することで認証処理を行なう。上記いずれの方式においても、特徴情報抽出のアルゴリズムは公知であるので、詳細な説明は省略する。

また、図１０に示すように、生体情報登録装置４００が認証用サーバー５０に接続可能に設けられている。生体情報登録装置４００は、個々の認証方式に必要とされるマスター特徴情報を作成し登録するためのものである。具体的には、図２に示すように、認証用サーバー５０のコネクタ２０Ｑと生体情報登録装置４００のコネクタ２０Ｂとにより、両者がシリアル通信可能に接続される。入力部４０４は、書換えツール１０に搭載されているのと同様の生体情報入力部である。

以下、上記第二例の補助認証処理の流れを、フローチャートを用いて説明する。
図１１は、生体情報登録装置４００におけるマスター特徴情報の作成・登録処理の流れを示すものである。図２において、生体情報登録装置４００と認証用サーバー５０とをコネクタ２０Ｂ，２０Ｑにて互いに接続する。この状態でユーザー（使用資格者：従業員）は、生体情報登録装置４００の入力部４０４から、生体情報を入力する（Ｗ１０１）。生体情報登録装置４００の解析部４０５はこの生体情報を取得し（Ｂ１）、上記公知のアルゴリズムにより分析して特徴情報を抽出し（Ｂ２）、これを登録すべきマスター特徴情報として認証用サーバー５０に送信する（Ｂ３）。認証用サーバー５０はこのマスター特徴情報を受信取得し（Ｖ１０１）、データ格納部５３に登録・格納される（Ｖ１０２）。登録が完了すれば認証用サーバー５０から登録完了のステータスが生体情報登録装置４００に返される。生体情報登録装置４００では、その結果が表示部４０２に表示される（Ｂ４）。

図１２は、生体情報を用いた補助認証処理の流れを示すものである。まず、図２のコネクタ２０Ｔ、２０Ｓにおいて書換えツール１０と認証用サーバー５０とを接続する。この状態でユーザー（使用資格者：従業員）は、書換えツール１０の生体情報入力部１８から生体情報を入力する（Ｗ１５１）。書換えツール１０においては、その生体情報を取得するとともに（Ｔ５１）、上記公知のアルゴリズムにより生体情報内容を分析して特徴情報を抽出する（Ｔ５２）。そして、その特徴情報を認証用サーバー５０に送信する（Ｔ５３）。

認証用サーバー５０では、上記特徴情報を受信し（Ｖ１５１）、受信した特徴情報と一致するマスター特徴情報があるか否かをデータ格納部５３にて順次照合・検索する（Ｖ１５２）。そして、照合一致するものが存在する場合は補助認証受理となり書換えツール１０の使用を「許可」とする（Ｖ１５３）。一方、照合一致するものが存在しない場合は補助認証棄却となり書換えツール１０の使用を「禁止」とする（Ｖ１５４）。以上の認証結果を書換えツール１０に送信する（Ｖ１５５）。書換えツール１０ではこの認証結果を受信し（Ｔ５４）、「使用許可」を示していれば、書換えツール１０は車両情報の書換え処理の実行が許可された状態に設定され（Ｔ５５）、「使用禁止」を示していれば、車両情報の書換え処理の実行が禁止された状態に設定され（Ｔ５６）。Ｔ５７では、該生体情報による補助認証処理の結果が表示部４１に表示される。

最後に、補助認証処理の第三例について説明する。ここでは、補助認証処理がワンタイムパスワード方式に従って実施される。図１３はこの場合のハードウェア接続ブロック図を示すものである。ただし、図７との共通点も多いため主に相違点について説明し、共通する要素には図７と同一の符号を付与して詳細な説明は略する。まず、書換えツール１０側の入力部は再びキーボード１９が使用される。また、認証情報の作成や登録に係る専用ツールは特に使用されない。ここでは、認証用サーバー５０の認証部５１が、ワンタイムパスワードの生成部と照合部との機能を果たす。

以下、上記第三例の補助認証処理の流れを図１４のフローチャートを用いて説明する。まず、図２のコネクタ２０Ｔ、２０Ｓにおいて書換えツール１０と認証用サーバー５０とを接続する。この状態でユーザー（使用資格者：従業員）は、書換えツール１０の入力部１９からパスワード発行の要求コマンドを入力する（Ｔ１０１）。認証用サーバー５０ではこれを受け（Ｖ２０１）、ワンタイムパスワードを発行して書換えツール１０に送信する（Ｖ２０２）。

ワンタイムパスワードの生成アルゴリズムについては公知であるので、トークンを用いた代表的な認証方式についての概要を説明するに留める。トークン認証では、利用者にトークン、ここでは書換えツール１０のマイコン４０上で動作するソフトウエアトークンが配布される。各トークンには固有の数値（シード）が格納され、トークンに内蔵されている時計（ソフトクロック）から得られた時刻データとシード値とから、特定時刻にそのトークンだけに有効なトークンコードが生成される。生成されたトークンコードはトークンごとに決められている一定の更新インターバル（例えば６０秒）だけトークン上に表示され、該更新インターバル経過するごとに更新されるようになっている。なお、この認証方式は「時間同期方式」または「タイムシンクロナス方式」と称される。

トークン認証には、上記のような時間同期方式のほか、カウンタ同期方式を採用することも可能である。カウンタ同期方式で使用されるトークンには、時計に代えて内部カウンタが内蔵され、認証用サーバー５０と書換えツール１０側のトークンとはパスワードを発生させた回数で同期を取る。例えばユーザーがパスワード生成コマンドを実行すると、上記内部カウンタの値をベースにワンタイムパスワードが生成され、パスワードが生成されるたびに内部カウンタの値が更新される。この方式によれば、時刻を使わないので認証用サーバー５０との同期ずれが起こり難くい。

書換えツール１０では発行されたパスワードを取得し（Ｔ１０２）、表示部４１に表示する。このパスワード入力の有効期間は、前述の更新インターバルがタイムアップするまでの間であり、ユーザーは該更新インターバルが経過しないうちに、表示されたパスワードを速やかに入力部４１から入力する。入力されたパスワードは認証用サーバー５０に送信される（Ｔ１０３）。

認証用サーバー５０では、上記入力されたパスワードを受信し（Ｖ２０３）、受信したパスワードと認証用サーバー５０側でリザーブされているパスワードと一致するか否かを照合する（Ｖ２０４）。更新インターバルがタイムアップしている場合は、認証用サーバー５０側のパスワードが更新され、入力されたパスワードとは不一致となる（もちろん、入力されたパスワードに誤りがある場合も不一致となる）。そして、パスワードが照合一致する場合は補助認証受理となり書換えツール１０の使用を「許可」とする（Ｖ２０５）。一方、照合不一致の場合は補助認証棄却となり書換えツール１０の使用を「禁止」とする（Ｖ２０６）。以上の認証結果を書換えツール１０に送信する（Ｖ２０７）。書換えツール１０ではこの認証結果を受信し（Ｔ１０４）、「使用許可」を示していれば、書換えツール１０は車両情報の書換え処理の実行が許可された状態に設定され（Ｔ１０５）、「使用禁止」を示していれば、車両情報の書換え処理の実行が禁止された状態に設定される（Ｔ１０６）。

本発明の適用対象となるＥＣＵの一例を示すブロック図。 本発明の車両情報書換えシステムに使用する書換えツールの構成例を示すブロック図。 携帯キーの登録処理の流れを示すフローチャート。 本発明の車両情報書換えシステムの、主処理の一例を示すフローチャート。 携帯キーポーリング認証処理の状態遷移図。 図５の書換え制限モードにおける処理の流れを示すフローチャート。 同じく書換え許可モードにおける処理の流れを示すフローチャート。 補助認証処理の第一例におけるハードウェア接続関係を示すブロック図。 上記第一例における暗号化キー作成処理の流れを示すフローチャート。 上記第一例における認証処理の流れを示すフローチャート。 補助認証処理の第二例におけるハードウェア接続関係を示すブロック図。 上記第二例における生体情報登録処理の流れを示すフローチャート。 上記第二例における認証処理の流れを示すフローチャート。 補助認証処理の第三例におけるハードウェア接続関係を示すブロック図。 上記第三例における認証処理の流れを示すフローチャート。

符号の説明

１ ＥＣＵ（車両用制御ユニット）
１０３ ＲＯＭ（車両情報格納部）
１０ 書換えツール
５０ 認証用サーバー
２００ 携帯キー（携帯機：無線認証媒体）
３００ 暗号化キー作成用ツール

Claims (14)

1. ＣＰＵからなる主制御部を有し、自動車上に搭載される電子機器の制御処理を前記主制御部による予め定められたソフトウェアの実行に基づいて実施する車両用制御ユニットに対し、通信手段を介してデータ送信元として機能する書換えツールを着脱可能に接続し、前記車両用制御ユニット側に不揮発性メモリとして設けられ、前記ソフトウェアを含む車両情報を格納する車両情報格納部の記憶内容を、前記通信手段を介して前記書換え用ツールから転送される書換え用データに基づいて書き換える車両情報書換えシステムにおいて、前記書換えツールに、
   前記車両情報格納部の記憶内容の書換え動作が許容される書換え許可モードと、該書換え許可モードよりも前記書換え動作が制限される書換え制限モードとを切り替え設定する動作モード切替手段と、
   当該書換えツールを用いた書換え作業時において、該書換えツールの使用資格者に付随するべき無線認証媒体を検出するために、該無線認証媒体を無線ポーリングする無線ポーリング手段と、
   前記無線ポーリングによる前記無線認証媒体の検出成功を前提条件として、前記動作モード切替手段に対し前記書換え許可モードへの切替を指令するモード切替指令手段と、
   を設けたことを特徴とする車両情報書換えシステム。
2. 前記無線ポーリング手段は前記無線認証媒体に対する前記無線ポーリングを定期的に繰り返し実行するものであり、
   前記動作モード切替手段が前記書換え許可モードを設定している状態において、前記モード切替指令手段は、繰り返し実行される無線ポーリングによる前記無線認証媒体の一連の検出結果が成功から失敗に移行したことを条件として、前記動作モード切替手段に対し、前記書換え許可モードから前記書換え制限モードへの切替を指令するものである請求項１記載の車両情報書換えシステム。
3. 前記モード切替指令手段は、前記動作モード切替手段が前記書換え制限モードを設定している状態において、前記無線認証媒体の一連の検出結果が失敗から成功に移行した場合には直ちに、前記動作モード切替手段に対し、前記書換え制限モードから前記書換え許可モードへの切替を指令するものである請求項１記載の車両情報書換えシステム。
4. 前記モード切替指令手段は、前記動作モード切替手段が前記書換え許可モードを設定している状態において、前記無線認証媒体の一連の検出結果が成功から失敗に移行し、かつ、当該移行後の検出失敗を含めて複数回検出失敗が連続した場合に、前記動作モード切替手段に対し、前記書換え許可モードから前記書換え制限モードへの切替を指令するものである請求項２又は請求項３に記載の車両情報書換えシステム。
5. 車両毎の固有のＩＤコードを記録した携帯機と車載機器との間で無線通信を行ない、前記車載機器が、車両から所定距離範囲内に当該車両用の前記携帯機が存在するか否かを前記ＩＤコードによって照合し、その照合結果に基づいて所定の制御を行なうスマートキーシステムに使用される前記携帯機が、前記無線認証媒体に兼用されており、該携帯機に記憶されている前記ＩＤコードが、前記書換えツールの前記使用資格者を認証するための使用資格者認証情報として使用される請求項１ないし請求項４のいずれか１項に記載の車両情報書換えシステム。
6. 前記携帯機として、前記車両情報の書き換え対象となる車両の携帯機が使用され、前記書換えツールには、該車両の携帯機を当該書換えツールの使用資格者の無線認証媒体として登録する携帯機登録手段が設けられている請求項５記載の車両情報書換えシステム。
7. 前記書換えツールには、前記無線認証媒体の検出による認証とは別に前記使用資格者の認証を行なうための補助認証情報を入力する補助認証情報入力手段と、
   入力された前記補助認証情報に基づく補助認証処理の認証結果を取得する認証結果取得手段とが設けられ、
   前記モード切替指令手段は、無線ポーリングによる前記無線認証媒体の検出成功とともに、前記補助認証処理の認証結果が認証受理であることを前提条件として、前記動作モード切替手段に対し前記書換え許可モードへの切替を指令するものである請求項１ないし請求項６のいずれか１項に記載の車両情報書換えシステム。
8. 前記書換えツールは認証用サーバーに接続可能とされ、
   該認証用サーバーに、前記書換えツールからの補助認証情報を受信する補助認証情報受信手段と、受信した補助認証情報に基づいて前記補助認証処理を行なう補助認証処理実行手段と、該補助認証処理の認証結果を前記書換えツールに送信する認証結果送信手段と、が設けられている請求項７記載の車両情報書換えシステム。
9. 前記書換えツールは、前記補助認証情報としての基本照合コードを入力するための前記補助認証情報入力手段をなす基本照合コード入力手段と、前記基本照合コードを暗号化するための暗号化キーを取得する暗号化キー取得手段と、取得した暗号化キーにより入力された前記基本照合コードを暗号化して暗号化済照合コードを生成する照合コード暗号化手段と、前記暗号化済照合コードを前記認証用サーバーに送信する暗号化済照合コード送信手段とを備え、
   前記認証用サーバーの前記補助認証処理実行手段は、前記暗号化キーと対をなす復号化キーの取得手段と、取得した復号化キーにより前記書換えツールから受信した前記暗号化済照合コードを復号化する照合コード復号化手段とを備え、復号化された照合コードに基づいて前記補助認証処理を行なう請求項８記載の車両情報書換えシステム。
10. 前記書換えツールの暗号化済照合コード送信手段は、前記暗号化済照合コードとともに暗号化前の前記基本照合コードも前記認証用サーバーに送信するものであり、
    前記認証用サーバーの前記補助認証処理実行手段は、前記暗号化済照合コードから復号化された照合コードと、当該暗号化済照合コードとともに送られてくる前記暗号化前の基本照合コードとの双方に基づいて前記補助認証処理を行なう請求項９記載の車両情報書換えシステム。
11. 暗号化キー作成用ツールが前記認証用サーバーに接続可能に設けられ、
    該暗号化キー作成用ツールには、前記基本照合コードに対する暗号化キーと、該暗号化キーに対応する復号化キーとを対にして作成する暗号化／復号化キー作成手段と、作成された前記暗号化キーを前記書換えツールの使用資格者にのみ公開・出力する暗号化キー公開出力手段と、作成された前記復号化キーを前記基本照合コードと対応付けて前記認証用サーバーに送信する復号化キー送信手段を備え、
    前記認証用サーバーの前記復号化キーの取得手段は、送信される前記復号化キー及び前記基本照合コードの受信手段と、該受信した復号化キーを前記基本照合コードと対応付けて記憶する記憶手段とを含み、
    前記認証用サーバーの前記補助認証処理実行手段は、受信した基本照合コードに対応する復号化キーを前記記憶手段から読み出し、これを用いて受信した前記暗号化済照合コードの復号化を試みるとともに、当該復号化された情報が前記基本照合コードと照合一致するか否かに基づいて前記補助認証処理を行なう請求項１０記載の車両情報書換えシステム。
12. 前記補助認証情報入力手段は、前記補助認証情報として前記使用資格者の生体認証情報が入力される生体認証情報入力手段である請求項７又は請求項８に記載の車両情報書換えシステム。
13. 請求項８に記載の要件を備え、
    前記書換えツールには、入力された前記生体認証情報から生体特徴情報を抽出する生体特徴情報抽出手段と、抽出された前記生体特徴情報を前記認証用サーバーに送信する生体特徴情報送信手段とを備え、
    前記認証用サーバーの前記補助認証処理実行手段は、前記生体特徴情報の受信手段を備え、受信した生体特徴情報に基づいて前記補助認証処理を行なう請求項１２記載の車両情報書換えシステム。
14. 前記書換えツールには、前記認証用サーバーにパスワードの発行を要求するパスワード発行要求手段が設けられ、
    前記認証用サーバーには、該パスワード発行要求を受けてパスワードを発行し、前記書換えツールに送信するパスワード発行手段が設けられ、
    前記書換えツールには、発行された該パスワードを前記書換えツールの使用資格者に公開・出力するパスワード公開出力手段と、公開された該パスワードを前記使用資格者が認証用に入力するためのパスワード認証入力手段と、入力されたパスワードを前記認証用サーバーに送信するパスワード認証送信手段とが設けられ、
    前記認証用サーバーの前記補助認証処理実行手段は、前記パスワードの受信手段を備え、受信したパスワードに基づいて前記補助認証処理を行なう請求項８記載の車両情報書換えシステム。

Images