CN100541366C

CN100541366C - 车辆信息重写系统

Info

Publication number: CN100541366C
Application number: CNB2007101456011A
Authority: CN
Inventors: 岸田昌之; 加藤彩; 森勇二; 夏目充启
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2006-09-01
Filing date: 2007-08-30
Publication date: 2009-09-16
Anticipated expiration: 2027-08-30
Also published as: EP1895444A1; CN101135905A; US20080059806A1; JP2008059450A

Abstract

一种用于重写包括车辆信息等的非易失性存储器中的内容的重写工具(10)，其为改善安全性的目的提供补充认证过程，该过程在基于从所述重写工具(10)的输入来认证经授权的重写工具(10)使用者之外，还通过无条件的无线轮询来检测与经授权的重写工具(10)使用者相关联的无线认证介质(200)。

Description

车辆信息重写系统

技术领域

本公开涉及车辆信息重写系统。

背景技术

机动车辆(下文中被称为“车辆”)具有安装在其上用于控制各种设备(要被控制的部件)的ECU。该ECU具有包括CPU的主控制单元，并且通过执行预定的软件程序控制安装在车辆上的电子设备。该软件程序被存储在非易失性存储器(例如闪速存储器)中，从而其可以根据需要而被更新，以进行升级或调试(见日本专利文献JP-A-2003-337748，JP-A-2003-172199以及JP-A-2001-229014)。为了更新车上的应用，在许多情况下，车主将车辆带到车商那里或类似地方。在车商处，针对包括待被重写的软件程序的ECU的专用重写工具通过通信被连接到ECU，并且操作员使用该重写工具重写软件程序。

然而，至于执行认证以确保重写工具仅由授权使用者所使用，有的方面不一定进行了充分考虑。为了防止例如窃贼、假冒者、或顶替者未经授权地使用重写工具，需要一种比已知的依赖密码的系统更为强大的认证系统。

发明内容

考虑到上述以及其它问题，本发明的一个目的是提供一种车辆信息重写系统，其在重写车辆信息如存储在非易失性存储器中的软件程序方面，能够进行比以往更为强大的认证。

本发明提供一种车辆信息重写系统，其可移除地将经由通信单元用作数据发送源的重写工具连接到车辆控制单元，该车辆控制单元具有包括CPU的主控制单元，并且通过使主控制单元执行预定软件程序来控制安装在车辆上的电子设备；并且基于从重写工具经由通信单元发送的重写数据，所述车辆信息重写系统重写存储在车辆信息存贮器中的数据，该存贮器设置于车辆控制单元中作为非易失性存储器并存储包括软件程序的车辆信息。为达到上述目的，包括在车辆信息重写系统中的所述重写工具包括：操作模式切换单元，其在允许重写模式以及限制重写模式之间进行切换，其中，在所述允许重写模式下，允许重写存储在车辆信息存贮器中的数据，在所述限制重写模式下，相对于允许重写模式，存储在车辆信息存贮器中的数据的重写被禁止；无线轮询单元，当重写工具被用于重写操作时，所述无线轮询单元以无线方式轮询无线认证介质，来检测必须为该重写工具的授权使用者所拥有的无线认证介质；以及模式切换命令单元，其命令操作模式切换单元在通过无线轮询成功检测到无线认证介质的条件下切换到允许重写模式。

根据本发明，无论基于从重写工具输入的信息所进行的认证是什么认证，通过来自重写工具的无线轮询检测需要伴随重写工具的授权使用者(例如，由授权使用者携带，或者被放在介质固定设备处，该介质固定设备固定地设置在重写工具被使用的位置)的无线认证介质，以增强对授权使用者的认证。

附图说明

根据以下参考附图的详细描述，将更加清楚本发明的其它目的、特征以及优点。附图中：

图1示出了用于本公开的一种实施方式的车辆信息重写系统中的ECU的框图；

图2示出了本公开的所述实施方式中的重写工具的框图；

图3示出了本公开的所述实施方式中的便携钥匙的注册过程的流程图；

图4示出了本公开的所述实施方式中的车辆信息重写系统的主过程的流程图；

图5示出了本公开的所述实施方式中的便携单元检测过程的状态转移示意图；

图6A示出了本公开的所述实施方式中的限制重写模式下的过程流程图；

图6B示出了本公开的所述实施方式中的允许重写模式下的过程流程图；

图7示出了本公开的所述实施方式中的补充认证过程第一示例的硬件配置框图；

图8示出了补充认证过程第一示例的加密密钥生成过程的流程图；

图9示出了使用补充认证过程第一示例的认证过程的流程图；

图10示出了本公开的所述实施方式中的补充认证过程第二示例的硬件配置框图；

图11示出了补充认证过程第二示例中生物统计信息注册过程的流程图；

图12示出了使用补充认证过程第二示例的认证过程的流程图；

图13示出了本公开的所述实施方式中的补充认证过程第三示例的硬件配置框图；

图14示出了使用补充认证过程第三示例的认证过程的流程图。

具体实施方式

下面参考附图来描述本发明的各种实施方式。

图1是显示电子控制单元(ECU)的电配置框图，根据本发明的车辆信息重写系统被应用于该电子控制单元。ECU 1具有包括CPU 101的主控制单元。ECU 1通过使主控制单元执行预定软件程序来执行处理，以控制设置于车辆C上的电子设备(控制目标设备：受控设备)。更具体地，ECU 1是微型计算机，其中CPU 101、ROM 103(非易失性存储器，如闪速存储器)、RAM 102以及输入/输出单元(I/O端口)105通过总线104连接。

ROM 103存储应用1、2等等，所述应用控制目标设备来实现各种车上功能。由非易失性存储器构成的ROM 103是电可重写的，从而应用1、2等等能够根据需要被添加、删除或重写以进行升级。直接控制车上重写的重写固件(FW)也被包括在ROM 103中。应用1、2等等被包括在待被重写的目标车辆信息中。该待被重写的目标车辆信息还可包括由应用1、2等等处理的各种参数值以及其它伴随信息。

在本实施方式中，ROM 103是闪速存储器，由于硬件固有的操作原理，闪速存储器允许信息以比特形式被附加地写在其上，然而允许其上存在的信息仅以块形式被擦除(这是已经公知的，因此对其原因将不作详细描述)。为了将数据写入闪速存储器的某个区域，从而改写(尽管不是真正意义上的)已经存在于该区域的数据，需要按块擦除该区域并且然后写入新数据。为了在闪速存储器上的特定区域重写数据，待被重写的目标数据被一次性拷贝到RAM 102上的块拷贝区域，闪速存储器上的所述特定区域被按块擦除，被拷贝到RAM 102的目标数据被重写到该处，然后，所重写的数据被按块写回到闪速存储器上的被擦除的特定区域。重写固件控制这类重写过程。

在车辆C上，类似上述ECU的多个ECU通过串行通信总线30连接起来，形成车上网络(通信协议，例如控制器区域网络(CAN，Controller AreaNetwork))，所述多个ECU中的每一个经由串行接口107和接收缓冲器107a被连接到串行通信总线30。用于连接外部设备的连接器20也被连接到该串行通信总线30。要由操作员(例如在车商处)用来重写存储于每个ECU中的车辆信息的重写工具10被连接到连接器20。重写工具10通过存储于其中的固件的执行并协同目标ECU来实施一系列重写过程，这些过程包括重写目标ECU中的车辆信息所需的认证(包括认证输入)、经由串行通信总线30发送改写数据以及来自目标ECU的与重写过程有关的状态信息的接收。

图2是显示重写工具10的电配置的框图。重写工具10包括微型计算机40，其中CPU 11、RAM 12、ROM 13(非易失性存储器如闪速存储器)、I/O端口15以及无线I/O端口23通过总线14被连接。包括键盘的操作输入单元19(下文中还被称为“键盘19”)(在下文中，概念上是包含关系的技术部件可被分配相同参考标号)以及包括液晶显示板的监视器41被连接到I/O端口15。为了重写车辆信息，操作员根据显示在监视器41上的指令输入所需要的信息。协同车上重写固件并通过经由连接器20T和20A所进行的通信，来执行基于操作员所输入的信息重写车辆信息的过程的重写固件被存储于ROM 13中。ROM 13还存储改写车辆信息，在本实施例中即构成应用程序的数据串(下文中还被称为应用数据)。每当有必要更新特定的车上应用时，准备所需的应用数据，例如通过通信从预定服务器下载，并存储在ROM 13中。

无线通信单元42被连接到无线I/O端口23。无线通信单元42包括：低频(LF)发射/接收单元25，其经由环形LF天线在LF频带内与便携钥匙200进行无线通信；以及调制单元24，其被包括在LF发射/接收单元25中，连接到无线I/O端口23。无线通信单元42还包括：射频(RF)接收单元27，其经由内置天线(未示出)在RF频带内与便携钥匙200进行无线通信；以及解调单元26，其被连接到无线I/O端口23上，并且RF接收单元27被连接到该解调单元26。

便携钥匙200(便携设备)用于与安装在车辆C内的智能钥匙系统(未示出)一起使用。便携钥匙200具有记录在其中的唯一的车辆ID码，并且与车辆C上的设备进行无线通信。车辆C上的设备基于该ID码进行检查，以确定是否有便携设备200存在于距离车辆C的预定距离之内，并且根据该检查结果，控制预定操作(例如，门加锁/解锁或防盗止动器(immobilizer)解锁)。车辆侧与便携钥匙200通信的无线通信单元具有与图2所示的重写工具10的无线通信单元42相类似的配置。

下面描述车辆侧的无线通信单元，根据需要参考图2中所示的附图标记。LF载波信号在调制单元24中被基带信号调制，该基带信号中反映了便携钥匙ID等等。所调制的信号作为轮询信号从LF发射/接收单元25周期地并重复地被发射。当便携钥匙200存在于所述轮询信号所到达的范围内时，便携钥匙200在LF接收单元201处接收该轮询信号，在解调单元204处提取基带信号，并在微型计算机207处分析该基带信号。当所述分析确认轮询信号目标是便携钥匙200时，便携钥匙200使RF载波信号在调制单元206处被其中反映了认证ID的基带信号调制，并且从RF发射单元203向车辆发射回答信号。在车辆上，所述回答信号在RF接收单元27处被接收，包含认证ID的基带信号在解调单元26处被提取并被处理以进行认证，并且仅仅当通过认证时才进行功能控制，例如进行门解锁或防盗止动器解锁。

在本实施实施方式中，便携钥匙200还用作伴随重写工具10的合格使用者(例如在车商处分配的工程师)(例如由其携带)的无线认证介质。便携钥匙200主要不是要由重写工具10的合格使用者拥有，而是要由车主所拥有。因此，其存储用于拥有者认证的ID。当拥有者将车辆带到车商那里重写车辆信息时，拥有者将便携钥匙200借给重写工具10的合格使用者。该合格使用者使用认证ID向重写工具10(例如ROM 13)注册所述便携钥匙200，然后使用该重写工具10。便携钥匙200可以是与用于不同于用于重写车辆信息的目标车辆的特定车辆(例如，车商拥有的特定车辆)的智能钥匙系统一起使用的钥匙。

参考图2，当使用重写工具10重写车辆信息时，重写工具10的无线通信单元42被作为无线轮询单元来使用，用于以无线方式轮询便携钥匙200以探测伴随重写工具10的合格使用者的便携钥匙200(无线认证介质)。所述无线轮询由存储于ROM 13中的便携钥匙轮询固件进行控制。

连接器20T经由串行接口17以及接收缓冲器17a被连接到包括在重写工具10的微型计算机40中的内部总线14。重写工具10在连接器20T处被可移除地连接到连接器20A(所述连接器20A被连接到车辆侧的串行通信总线30)，由此能够与目标ECU通信来进行车辆信息重写。安装于重写工具10中的重写固件以软件方式来实现操作模式切换单元以及模式切换命令单元的功能。操作模式切换单元在允许重写模式和限制重写模式之间进行操作模式的切换，其中在允许重写模式下，允许重写图1中所示的ECU 1的ROM 103(车辆信息存储单元)(也就是重写目标)的内容(例如应用1和2中的任一个)；在限制重写模式下，重写受到比允许重写模式下更多的限制。所述模式切换命令单元在通过无线轮询而成功检测到无线认证介质的条件下，命令操作模式切换单元切换到允许重写模式。

下面以举例的方式参考流程图对使用重写工具10来重写存储于ECU 1(图1中所示)中的应用的过程进行详细描述。图3是向重写工具10注册便携钥匙200的流程图。首先，为了认证重写工具10的合格使用者，认证ID(例如雇员号码)或将被注册的认证信息例如密码从键盘19输入，所述键盘19用作重写工具10的输入单元(步骤S21：认证过程)。重写工具10执行公知的认证过程，例如，根据预存储在例如ROM 13中的主信息来检查所输入的待被注册的认证信息。只有通过了认证时，该处理才前进到步骤S22，在该步骤中，进行向注册模式的切换。这样所执行的认证过程可以与后面将要描述的补充认证过程相同。在用于使车上程序被重写的目标车辆的便携钥匙已经被注册到重写工具10中的情况下，确定所述便携钥匙不需要被再次注册，因此随后的步骤被跳过。在本实施方式中，执行注册过程时重写工具10和车辆使用预定连接器被有线连接起来。

当进入注册模式时，重写工具10请求所述被有线连接的车辆发送与在便携钥匙200中所注册的ID相同的认证ID(ID码)(步骤S23)。当车辆识别出该针对认证ID的请求时，其向重写工具10发送认证ID。当这样被发送的认证ID被接收时(步骤S24)，重写工具10将其注册到ROM 13中(步骤S25)。

可以做出这样一种方案，使得认证ID被直接以无线方式从便携钥匙200发送到重写工具10。

图4是使用重写工具10中的便携钥匙轮询固件以及重写固件来执行的用于重写应用程序的主处理过程的流程图。当重写工具10如图2所示经由连接器20T和20A连接到车辆时，重写工具10在图4所示的步骤S1中被加电，使得登录屏幕显示在监视器41上。同时，如图2所示，设置于重写工具10的ROM 12中的登录标志以及操作允许标志被初始化(即，进入到一种既不允许登录也不允许(与程序重写相关联的)工具操作的状态)。在步骤S2中，根据登录屏幕上所示的指令执行补充认证过程。当通过所述补充认证时，允许登录系统(只有登录标志被设置到允许状态)，并且所述处理前进到步骤S3。当未通过所述补充认证时，不允许登录系统，并且所述处理返回到步骤S2，在该步骤S2中，所述补充认证被再次执行。该补充认证过程将在后面详细描述。

在步骤S3中，周期性地重复对便携钥匙200(无线认证介质)的无线轮询。在要由重写固件(重写工具10(见图2)和ECU 1(见图1))执行以重写存储于ROM 103中的特定应用(或特定车辆信息)的处理方面，按照无线轮询的结果根据需要在允许重写模式以及限制重写模式之间进行切换(步骤S4)。在允许重写模式下，改写应用程序数据(或者改写车辆信息)能够从重写工具10被发送到ECU 1。在限制重写模式下，这种数据发送被禁止(即，重写被限制(禁止)，没有所需的改写数据被发送到ECU 1)。下面将参考图5对该过程进行详细描述。

作为状态转移过程，执行在允许重写模式(图5中的允许重写模式)和限制重写模式(图5中的限制重写模式)之间的切换。即，在允许重写模式下，当周期性重复对便携钥匙200(无线认证介质)的无线轮询时得到指示未能检测到便携钥匙200的轮询结果时，发生向限制重写模式的切换。相反地，在限制重写模式下，当得到指示成功检测到便携钥匙200的轮询结果时，发生向允许重写模式的切换。(当进行向限制重写模式的切换时，操作允许标志被设置为禁止重写状态。当进行向允许重写模式的切换时，操作允许标志被设置到允许重写状态)。

根据本实施实施方式，当在限制重写模式下得到指示成功检测到便携钥匙200的轮询结果时，立即进行从限制重写模式到允许重写模式的切换。同样，在允许重写模式下，当连续多次(在图5中指示为“N”次：“N”可以是例如2至5之间的值)得到指示未能检测到便携钥匙200的轮询结果时，进行从允许重写模式到限制重写模式的切换。轮询间隔T₀可以是恒定的，或者其可以被设置成随时间变化(例如，随时间增加)。

图6A是在限制重写模式下由重写固件(包括在重写工具10内)所执行的处理的流程图。首先，在步骤S50中，重写工具10被禁用(禁止发送重写所需要的数据)。接下来，测量轮询间隔T₀的软件计时器被启动(步骤S51)。当间隔T₀过去时，启动对便携钥匙200的轮询(在步骤S52和S53中)。

无线轮询通过执行便携钥匙轮询固件而被执行。重写工具10所执行的无线轮询的基本内容基本上与车辆上的智能钥匙系统中所执行的无线轮询的内容相同。参考图2，LF载波信号在调制单元24中被反应便携钥匙ID的基带信号调制。经调制的信号作为轮询信号从LF发射/接收单元25周期性地且重复性地被发射。当便携钥匙200出现在轮询信号可到达的位置处时，便携钥匙200在LF接收单元201处接收轮询信号，在解调单元204处提取基带信号，并在微型计算机207处分析该基带信号。当所述分析确认轮询信号目标是便携钥匙200时，便携钥匙200使RF载波信号在调制单元206处被其中反映认证ID的基带信号调制，并且将回答信号从RF发射单元203向重写工具10发射。在重写工具10中，答复信号在RF接收单元27处被接收，包含认证ID的基带信号在解调单元26处被提取并被处理以进行认证。当ID通过认证时，便携钥匙被确定为是存在的。当ID未通过认证时，便携钥匙被确定为是不存在的。

再参考图6A，当作为轮询的结果在步骤S54中确定便携钥匙不存在时，在步骤S55中将计时器清零，并且所述处理返回步骤S51以重复后续步骤。当作为轮询的结果在步骤S54中确定便携钥匙存在时，在步骤S56中进行向允许重写模式的切换，并且在步骤S57中将计时器清零以终止处理。

图6B是在允许重写模式下由重写固件(包括在重写工具10中)所执行的处理的流程图。首先，在步骤S100中，重写工具10被使能(允许发送重写所需要的数据)。随后，在步骤S101中对无钥匙计数器C_A清零，所述无钥匙计数器C_A对连续的表明不存在便携钥匙的轮询结果进行计数；并且在步骤S102中启动测量轮询间隔T₀的软件计时器。当在步骤S103中判定已经过去了时间间隔T₀时，在步骤S104中启动对便携钥匙200的轮询。当在步骤S106中作为在步骤S104中进行的轮询的结果判定存在便携钥匙时，所述处理前进到步骤S108，在该步骤中，无钥匙计数器C_A增一。然后，所述处理前进到步骤S109，在该步骤中检查无钥匙计数器C_A的计数是否已经达到N。当在步骤S109中判定计数器尚未到达N时，计数器在步骤S107中被清零，并且所述处理返回到步骤S101以重复后续步骤。当在步骤S109中判定计数已经到达N时，所述处理前进到步骤S110，在步骤S110中，进行向限制重写模式的切换，并且在步骤S111中对计时器清零以终止所述处理。

参考图4，在已经设定了允许重写模式的状态下，在重写应用程序(或者其它车辆信息)时所需要的数据从重写工具10被发送到车辆，并且ROM 13中的目标信息被重写(步骤S4)。当该重写被完成时，处理前进到步骤S5。在步骤S5中，当重写工具10被关电时，所述处理被终止。当重写工具10未被关电时，使用者被注销并且所述处理返回到步骤S2以等待另一登录操作被启动。

可以通过任何适当的手段来实现限制重写模式。在限制重写模式下仅需要对车上应用程序的重写事实上被禁止(限制)，而不论该重写工具10的使用者的意图如何。为了实际禁止重写，例如可以做出一种方案，使得由重写工具10启动的操作在车辆侧被拒绝，或者使得即使由重写工具10启动的操作未被拒绝，但是在车辆和重写工具10之间禁止用于重写车上应用程序的数据通信。在前者的情况下，有可能在重写工具10开始向车辆发送重写车上应用程序所需的数据之后，判定所需的便携钥匙不存在，从而，作为结果，由重写工具启动的操作开始被拒绝。在这种情况下，有可能继续由在便携钥匙被确定为不存在之前所接受的操作启动的程序数据传输。然而，即使继续所述程序数据传输，对重写工具10的任何后续的被拒绝操作仍不执行程序数据传输，因而对应用程序的重写被事实上限制(或禁止)。

下面将详细描述补充认证过程。根据本实施方式，在上述的通过轮询便携钥匙200(无线认证介质)进行的认证(下文中被称为“通过轮询进行的便携钥匙认证”)之前，重写工具10执行使用者资格认证过程(图4中所示的步骤S2)。重写工具10装备有作为补充认证信息输入单元的键盘19以及生物统计数据输入单元18，用于输入为补充认证所需的信息。补充认证信息输入单元可以根据所采用的认证系统而选择性地使用。(因此，在图2所示的认证信息输入单元中，那些在使用所采用的认证系统时不需要的可以被忽略。)补充认证过程由图2所示的ROM 13中存储的认证固件来执行。

如从图4所示的流程图中明显看出，仅在补充认证和通过轮询进行的便携钥匙认证都被通过之后(仅当步骤S2和S3都被通过之后)，才可能切换到允许重写模式。

下面将描述补充认证过程的第一示例。在该示例中，利用公开密钥密码系统来执行补充认证过程。如图7所示，重写工具10可连接到认证服务器50。认证服务器50包括通用计算机硬件。如图2所示，认证服务器50通过串行通信经由连接器20S被连接到重写工具的连接器20T。如图7所示，认证服务器50装备有通信单元52(具有连接到连接器20T的串行接口，并且包括接收补充认证信息的补充认证信息接收单元，以及向重写工具发送补充认证结果的认证结果发送单元)，认证单元51(具有主要由硬件构成的微型计算机，并且包括补充认证执行单元，其基于所接收的补充认证信息实施补充认证过程)，以及数据存贮器53(具有经由内部总线连接到微型计算机的非易失性存储器)。

同样如图7所示，提供加密密钥生成工具300以可连接到认证服务器50。加密密钥生成工具300向重写工具10的合格使用者发出作为加密密钥的私用密钥以及与该加密密钥成对的、作为解密密钥的公开密钥，该私钥和公开密钥对对所述合格使用者是唯一的。如图2所示，具有连接器20Q的认证服务器50和具有连接器20J的加密密钥生成工具300经由两个连接器被连接在一起以便可以进行串行通信。加密密钥生成工具300具有包括微型计算机硬件的控制主单元301、通信单元303(包括连接到连接器20J的串行接口)、包括例如键盘的输入单元304、包括例如液晶显示器的显示单元302以及加密密钥生成单元305(其功能通过加密密钥生成固件的执行而由控制主单元301以软件方式来实现)。

加密密钥生成单元305用作加密密钥和解密密钥生成单元，其生成一对与基本检验码相关联的加密密钥和对应于该加密密钥的解密密钥。显示单元302用作加密密钥公开/输出单元，其仅向重写工具的合格使用者公开/输出所生成的加密密钥。通信单元303用作解密密钥发送单元，其向认证服务器50发送所生成的与基本检验码(将在后面描述)相关联的解密密钥。认证服务器50的通信单元52用作获取单元，从加密密钥生成工具300获取解密密钥，并且还用作接收单元，接收从重写工具10发送的基本检验码和解密密钥。数据存贮器53用作存贮单元，其将所接收的解密密钥和基本检验码作为相关联的数据对存储。

在使用私钥和公开密钥所执行的补充认证过程中，重写工具10的输入单元19用作基本检验码输入单元，即用于输入作为补充认证信息的基本检验码(在本实施例中为重写工具10的合格使用者的雇员号码)的补充认证信息输入单元，并且还用作加密密钥获取单元，获取用于加密基本检验码的加密密钥。同样被包括在重写工具10中的加密单元22用作检验码加密单元，其通过使用所获取的加密密钥来加密所输入的基本检验码来生成经加密的检验码。基本检验码可以使用公知的加密逻辑如RSA方法或椭圆曲线密码系统(elliptic curve cryptosystem)来加密。在本实施方式中，考虑到取决于所使用的加密系统，加密过程会产生较大处理负荷，作为用于加密基本检验码的逻辑电路的加密逻辑22和加密缓冲器21一起被设置于重写工具10的内部总线中，如图2所示。加密逻辑22构成加密单元22。

再参考图7，在重写工具10中，控制主单元40由图2所示的微型计算机40构成。控制主单元40与显示单元(监视器)41、输入单元(键盘)19、加密单元(加密逻辑)22以及通信单元(串行接口)17连接。程序重写单元13通过控制主单元40对重写固件的执行来运行。通信单元17包括：经加密的检验码的发送单元，其向认证服务器发送经加密的检验码；以及解密密钥获取单元，其获取与加密密钥成对的解密密钥。认证服务器50的认证单元51包括检验码解密单元，其使用解密密钥对从重写工具10接收的经加密的检验码进行解密。认证单元51还基于经解密的检验码执行补充认证过程。

在重写工具10中，通信单元17在发送经加密的检验码(使用经加密的检验码的发送单元)时，还向认证服务器发送未经加密的原始基本检验码。在认证服务器50中，认证单元(补充认证单元)51基于从经加密的检验码所解密的检验码以及与经加密的检验码一同接收的未经加密的原始基本检验码两者来执行补充认证过程。更具体地，认证单元51从数据存贮器53(存储单元)读取对应于所接收的基本检验码的解密密钥，使用这样读出的解密密钥来对所接收的经加密的检验码进行解密，并且，作为补充认证过程，确定经解密的信息是否与基本检验码匹配。

下面结合流程图描述上述补充认证过程的第一示例是如何进行的。

图8是在加密密钥生成工具300中执行的加密密钥生成的流程图。加密密钥生成工具300和认证服务器50如图2所示经由连接器20J和20Q彼此相连接。在加密密钥生成工具300和认证服务器50彼此连接的情况下，使用者(合格使用者：雇员)从加密密钥生成工具300的输入单元304输入将被作为基本检验码使用的他或她的雇员号码(步骤W1)。加密密钥生成工具300的加密密钥生成单元305获取所输入的雇员号码(步骤K1)并生成私钥(加密密钥)和公开密钥(解密密钥)对(步骤K2)。私钥被输出给显示单元302(步骤K3)，并且使用者可视地读取并记忆该私钥(步骤W2)。公开密钥与所输入的雇员号码一起被发送给认证服务器(步骤K4)，以便被注册和并存储到认证服务器50的数据存贮器53中(步骤V1)。

图9是使用私钥和公开密钥来执行补充认证过程的流程图。首先，重写工具10和认证服务器50如图2所示经由连接器20T和20S而被连接。在重写工具10和认证服务器50相连接的情况下，使用者(合格使用者：雇员)从重写工具10的输入单元19输入将被作为基本检验码来使用的他或她的雇员号码以及他或她所记忆的私钥(步骤W51)。重写工具10获取所述雇员号码和私钥(步骤T1)，在加密单元22中对雇员号码使用私钥来加密(步骤T2)，并将未经加密的雇员号码以及使用私钥来加密雇员号码而生成的密文发送给认证服务器50(步骤T3)。

认证服务器50接收(未经加密的)雇员号码和所述密文，并搜索数据存贮器53来查找对应于所接收的雇员号码的公开密钥。然后，认证服务器50使用通过搜索数据存贮器53而得到的公开密钥对所述密文进行解密，并且将所得到的经解密的信息与对应的雇员号码进行核对(步骤V52)。当经解密的信息和雇员号码匹配时，则补充认证被通过，允许使用重写工具(步骤V53)。当它们不匹配时，补充认证未被通过，且禁止使用重写工具(步骤V54)。补充认证的结果被发送给重写工具10(步骤V55)。重写工具10接收该补充认证的结果(步骤T4)。当所接收的认证结果指示允许使用时，重写工具10被设置成允许状态，其中重写工具10被允许重写车辆信息(步骤T5)。当所接收的认证结果指示禁止使用时，重写工具10被设置成禁止状态，其中重写工具10被禁止重写车辆信息(步骤T6)。

下面将描述补充认证过程的第二示例。在该示例中，补充认证过程使用生物统计认证系统来执行。图10是在该示例中使用的硬件连接的框图。由于在图10中所示的硬件连接在许多部方面都类似于图7所示的连接，以下描述将主要集中于它们之间的不同之处。同样，它们之间的公共部件将由相同的参考标号来指示，并且下面将省略这类部件的详细描述。重写工具10的输入单元被配置为生物统计数据输入单元18。有可以被使用的各种公知的生物统计认证系统。在本实施方式中，可以使用语音认证、视网膜认证、面部认证、指纹认证以及虹膜认证系统中的任何一个系统或任何两个或多个系统的组合。取决于所采用的认证系统，麦克风18A、视网膜相机18B、面部相机18C、指纹检测器18D以及虹膜相机18E(按照对应于上述可选择的认证系统的次序来提及)中对应的一个可以被用作生物统计数据输入单元18。

无论采用什么认证系统，认证服务器50的认证单元51不直接使用所输入的原始生物统计数据。当生物统计数据由待认证的人输入时，认证单元51从所输入的生物统计数据中提取此人独有的特征数据，并且核对所提取的特征数据和预先在数据存贮器53中注册的对应主特征数据以进行认证。无论采用前述的认证系统中的哪一种，都使用公知的特征数据提取算法，因此在该说明书中将省略对这种算法的详细描述。

如图10所示，提供生物统计信息注册单元400，使之可连接到认证服务器50。生物统计信息注册单元400用于生成并注册每个认证系统所需的主特征数据。如图2所示，具有连接器20Q的认证服务器50和具有连接器20B的生物统计信息注册单元400经由这两个连接器被连接起来以便可以进行串行通信。输入单元404是类似于被包括在重写工具10中的生物统计数据输入单元。

下面将参考流程图描述补充认证过程的上述第二示例如何进行。

图11是在生物统计信息注册单元400中所执行的主特性信息生成和注册的流程图。生物统计信息注册单元400和认证服务器50如图2所示经由连接器20B和20Q彼此连接。在生物统计信息注册单元400和认证服务器50彼此连接的情况下，使用者(合格使用者：雇员)从生物统计信息注册单元400的输入单元404输入关于他或她的生物统计信息(步骤W101)。生物统计信息注册单元400的分析单元405获取所输入的生物统计信息(步骤B1)，使用公知算法来分析该生物统计信息，从而从该生物统计信息中提取特征信息(步骤B2)，并且将所提取的特性信息作为待被注册的主特性信息发送到认证服务器50(步骤B3)。认证服务器50接收主特性信息(步骤V101)并将该信息注册且存储到数据存贮器53中(步骤V102)。当主特性信息已经被注册时，认证服务器50向生物统计信息注册单元400发送注册完成状态信号(步骤V103)。主特性信息注册的结果被显示在生物信息注册单元400的显示单元402中(步骤B4)。

图12是使用生物统计数据来执行的补充认证过程的流程图。首先，重写工具10和认证服务器50如图2所示经由连接器20T和20S被连接。在重写工具10和认证服务器50被连接的情况下，使用者(合格使用者：雇员)从重写工具10的生物统计数据输入单元18输入关于他或她的生物统计信息(步骤W151)。重写工具10获取该生物统计信息(步骤T51)，使用公知算法来分析该生物统计数据，从而从生物统计信息中提取特征数据(步骤T52)，并向认证服务器50发送该特性信息(步骤T53)。

认证服务器50接收所述特性信息(步骤V151)并顺序地检查存储在数据存贮器53中的主特性信息，以确定与所接收的特性信息匹配的主特征数据是否存在(步骤V152)。当确定存在匹配的主特性信息时，补充认证被通过并且允许使用重写工具10(步骤V153)。当确定不存在匹配的主特性信息时，补充认证未通过，并且禁止使用重写工具10(步骤V154)。该补充认证的结果被发送给重写工具10(步骤T54)。当所接收的认证结果指示允许使用时，重写工具10被设置成允许重写工具10重写车辆信息的允许状态(步骤T55)。当所接收的认证结果指示禁止使用时，重写工具10被设置成禁止重写工具10重写车辆信息的禁止状态(步骤T56)。在步骤T57中，使用生物统计信息所执行的补充认证过程的结果被显示在监视器41上。

下面将描述补充认证过程的第三示例。在该示例中，补充认证过程使用一次性口令系统来执行。图13是在该示例中使用的硬件连接的框图。由于图13所示的硬件连接在许多方面类似于图7所示的连接，以下描述将主要集中于它们之间的不同之处。同样，它们之间的公共部件将通过相同的参考标号来指示，并且对这类部件的详细描述在下面将被省略。键盘19被用作重写工具10的输入单元。没有特殊工具被用于认证信息的生成和注册。在该示例中，认证服务器50的认证单元51用作一次性口令生成单元以及一次性口令检验单元。

下面将参考图14所示的流程图来描述上述补充认证过程的第二示例是如何进行的。重写工具10和认证服务器50如图2所示经由连接器20T和20S被彼此连接。在重写工具10和认证服务器50彼此连接的情况下，使用者(合格使用者：雇员)从重写工具10的输入单元19输入请求发布口令的命令(步骤T101)。认证服务器50接收该命令(步骤V201)，发布一次性口令，并将该口令发送给重写工具10(步骤V202)。

生成一次性口令的算法是公知的，因此在下面仅简要介绍典型的基于令牌的认证系统。在基于令牌的认证系统中，每个使用者被给予一个令牌，即在该示例中，该令牌为在重写工具10的微型计算机40上运行的软件令牌。所述令牌存储独有的数值(种子)，并具有内置的软件时钟。使用软件时钟所给出的时间数据以及所述种子值，产生与特定令牌相关联且仅在特定时间有效的令牌代码。这样产生的令牌代码仅在针对该令牌所确定的固定的更新时间间隔(例如60秒)期间被显示在令牌上。每隔一个更新时间间隔更新令牌代码。该认证系统被称为时间同步认证系统。

除了上述的时间同步认证系统之外，计数器同步认证系统也可以被用于基于令牌的认证。在计数器同步认证系统中所使用的令牌具有内部计数器而非时钟。该计数器被用于基于口令发布的次数来使认证服务器50和在重写工具中使用的令牌同步。当使用者执行口令生成命令时，基于内部计数器的计数而生成一次性口令。每当生成一次性口令时，所述内部计数器的计数被更新。在该系统中，不使用时间数据，因此认证服务器50和在重写工具10中使用的令牌不容易异步。

重写工具10获取所发布的口令(步骤T102)，并将该口令显示在监视器41上。该口令仅仅在当前更新时间间隔期间能够被有效地输入，因此在当前更新时间间隔结束之前，使用者即时地从输入单元19输入所显示的口令。这样被输入的口令被发送到认证服务器50(步骤T103)。

认证服务器50接收该口令(步骤V203)，并检查所接收的口令是否与保存在认证服务器50中的口令相匹配(步骤V204)。当所接收的口令是在有效的更新时间间隔过去之后所输入的口令时，由于所保存的口令已经被更新，因此所接收的口令与保存在认证服务器50中的口令不匹配(不必说，当所接收的口令包含输入错误时，两个口令也不匹配)。当两个口令匹配时，补充认证被通过，且允许使用重写工具10(步骤V205)。当两个口令不匹配时，补充认证未通过，且禁止使用重写工具10(步骤V206)。补充认证的结果被发送给重写工具10(步骤V207)。重写工具10接收补充认证结果(步骤T104)。当所接收的认证结果指示允许使用时，重写工具10被设置成允许重写工具10重写车辆信息的允许状态(步骤T105)。当所接收的认证结果指示禁止使用时，重写工具10被设置成禁止重写工具10重写车辆信息的禁止状态(步骤T106)。

Claims

1.一种具有车辆控制单元以及重写工具的车辆信息重写系统，其中所述车辆控制单元具有包括CPU的主控制器，用于基于在所述主控制器的控制下的预定软件程序的执行来执行车辆电气设备的控制过程，其中所述重写工具作为数据发送器通过通信单元被可移除地连接到车辆控制单元，并且其中所述重写工具基于从所述重写工具通过所述通信单元发送的重写数据来重写车辆信息存贮器的存储内容，所述车辆信息存贮器通过使用存储车辆信息，包括所述软件程序，的非易失性存储器来实施，

所述重写工具包括：

操作模式切换单元，其在允许重写模式以及限制重写模式之间进行切换，其中在所述允许重写模式下，允许重写存储在所述车辆信息存贮器中的数据，在所述限制重写模式下，相对于所述允许重写模式，重写存储在所述车辆信息存贮器中的数据被禁止；

无线轮询单元，当所述重写工具被用于重写操作时，所述无线轮询单元以无线方式轮询无线认证介质，来检测必须为所述重写工具的授权使用者所拥有的所述无线认证介质；以及

模式切换命令单元，其在通过所述无线轮询成功检测到所述无线认证介质的条件下命令所述操作模式切换单元切换到所述允许重写模式。

2.如权利要求1所述的车辆信息重写系统，

其中所述无线轮询单元按照均匀的时间间隔重复地执行对所述无线认证介质的无线轮询，以及

当所述操作模式切换单元处于设置所述允许重写模式的状态下时，在通过所述无线轮询以重复方式进行的对所述无线认证介质的一系列检测结果从成功变为不成功的条件下，所述模式切换命令单元命令所述操作模式切换单元从所述允许重写模式切换到所述限制重写模式。

3.如权利要求1所述的车辆信息重写系统，

其中，当所述操作模式切换单元处于设置所述限制重写模式的状态下时，在通过所述无线轮询、以重复方式进行的对所述无线认证介质的一系列检测结果从不成功变为成功的条件下，所述模式切换命令单元立即命令所述操作模式切换单元从所述限制重写模式切换到所述允许重写模式。

4.如权利要求2或3所述的车辆信息重写系统，

其中，当所述操作模式切换单元处于设置所述允许重写模式的状态下时，在通过所述无线轮询、以重复方式进行的对所述无线认证介质的一系列检测结果从成功变为具有至少多次不成功检测结果的不成功的条件下，所述模式切换命令单元命令所述操作模式切换单元从所述允许重写模式切换到限制重写模式。

5.如权利要求1至3中任何一个所述的车辆信息重写系统，

其中，所述无线认证介质用作智能钥匙系统中具有每个车辆的独特ID码的便携单元，所述智能钥匙系统用于基于所述独特ID码与在所述便携单元和车辆单元之间的无线通信的比较结果来执行预定控制，用于识别所述便携单元处于与所述独特ID码相关联的车辆预定距离范围内，以及

存储在所述便携单元中的所述独特ID码被用作认证所述重写工具的授权使用者的授权使用者认证信息。

6.如权利要求1至3中任何一个所述的车辆信息重写系统，

其中便携钥匙与车辆信息将被重写的所述车辆相关联，以及

所述重写工具具有注册单元，所述注册单元被用于将所述车辆的所述便携钥匙注册为所述重写工具的所述授权使用者的所述无线认证介质。

7.如权利要求1至3中任何一个所述的车辆信息重写系统，

其中，所述重写工具具有：补充认证信息输入单元，该补充认证信息输入单元用于在通过检测所述无线认证介质而进行的对所述授权使用者的所述认证之外，补充地认证所述重写工具的所述授权使用者；以及认证结果获取单元，该认证结果获取单元用于基于所输入的补充认证信息来获取补充认证过程的认证结果，以及

在通过所述无线轮询成功地检测到所述无线认证介质并且所述补充认证过程产生被接受的认证的条件下，所述模式切换命令单元命令所述操作模式切换单元切换到所述允许重写模式。

8.如权利要求7所述的车辆信息重写系统，

其中，所述重写工具可连接到认证服务器，以及

所述认证服务器具有：补充认证信息接收单元，用于从所述重写工具接收所述补充认证信息；补充认证执行单元，用于执行所述补充认证过程；以及认证结果发送单元，用于发送所述补充认证过程的认证结果。

9.如权利要求8所述的车辆信息重写系统，

其中，所述重写工具具有：基本检验码输入单元，用于输入作为所述补充认证信息的基本检验码；加密密钥获取单元，用于获取加密所述基本检验码的加密密钥；经加密的检验码的生成单元，用于通过利用所述加密密钥来加密所输入的基本检验码从而生成经加密的检验码；以及经加密的检验码的发送单元，用于向所述认证服务器发送所述经加密的检验码，

所述基本检验码用作所述补充认证信息，

在所述认证服务器中的所述补充认证执行单元具有：解密密钥获取单元，用于获取与所述加密密钥成对的解密密钥；以及检验码解密单元，用于利用所获取的解密密钥来解密从所述重写工具发送的所述经加密的检验码，以及

所述补充认证执行单元基于所解密的检验码来执行所述补充认证过程。

10.如权利要求9所述的车辆信息重写系统，

其中，在所述重写工具中的所述经加密的检验码的发送单元将没有加密的所述基本检验码和所述经加密的检验码一起发送，以及

在所述认证服务器中的所述补充认证执行单元基于解密所述经加密的检验码得到的所述检验码以及与所述经加密的检验码一起被发送的没有加密的所述基本检验码两者来执行所述补充认证过程。

11.如权利要求10所述的车辆信息重写系统，

其中，加密密钥生成工具被设置成可连接到所述认证服务器，

所述加密密钥生成工具具有：加密/解密密钥生成单元，用于生成对应于所述基本检验码的加密密钥以及以成对方式对应于所述加密密钥的解密密钥；加密密钥输出单元，用于仅仅向所述重写工具的所述授权使用者公布和输出所生成的加密密钥；以及解密密钥发送单元，用于向所述认证服务器发送与所述基本检验码相关联的所生成的解密密钥，

在所述认证服务器中的所述解密密钥获取单元具有：接收单元，用于接收待被发送的所述解密密钥和所述基本检验码；以及存储单元，用于存储所接收的与所述基本检验码相关联的解密密钥，

在所述认证服务器中的所述补充认证执行单元从所述存储单元提取对应于所接收的基本检验码的所述解密密钥，用于对所接收的经加密的检验码进行解密尝试，以及

在所述认证服务器中的所述补充认证执行单元基于所述解密尝试中所解密的信息是否与所述基本检验码匹配的条件来执行所述补充认证过程。

12.如权利要求7所述的车辆信息重写系统，

其中所述补充认证信息输入单元是生物统计认证信息输入单元，用于输入所述授权使用者的生物统计认证信息作为所述补充认证信息。

13.如权利要求8所述的车辆信息重写系统，

14.如权利要求13所述的车辆信息重写系统，

所述重写工具具有：生物统计信息提取单元，用于从所输入的生物统计认证信息提取生物统计特性信息；以及生物统计特性信息发送单元，用于向所述认证服务器发送所提取的生物统计特性信息，

在所述认证服务器中的所述补充认证执行单元具有用于接收生物统计特性信息的接收单元；

在所述认证服务器中的所述补充认证执行单元基于所接收的生物统计特性信息执行所述补充认证过程。

15.如权利要求8所述的车辆信息重写系统，

其中所述重写工具具有口令发布请求单元，该口令发布请求单元用于向所述认证服务器请求发布口令，

所述认证服务器具有口令发布单元，该口令发布单元用于在接收到所述发布口令请求后发布口令，并向所述重写工具发送所述口令，

所述重写工具具有：口令输出单元，该口令输出单元用于向所述重写工具的所述授权使用者公布和输出所发布的口令；口令输入单元，用于由所述授权使用者输入针对认证所公布的口令；以及口令发送单元，用于向所述认证服务器发送所输入的口令，

所述补充认证执行单元具有用于接收所述口令的接收单元，以及

所述补充认证执行单元基于所接收的口令执行所述补充认证过程。