CN108885669A - 信息处理装置及信息处理系统 - Google Patents

Abstract

提供能够防止信息的非法重写的信息处理装置及信息处理系统。依照写入用存储部(232)所存储的写入程序将信息写入信息存储部(231)。在相对于信息存储部(231)的信息的写入结束了的情况下，依照无效化存储部(233)所存储的无效化程序将信息存储部(231)所存储的信息的重写无效化。因此，能够防止信息存储部(231)所存储的信息的非法重写。

Description

信息处理装置及信息处理系统

技术领域

本发明涉及处理信息的信息处理装置及信息处理系统。

背景技术

以往，使用具备写入用存储部、写入部及信息存储部的信息处理装置。

写入用存储部存储用于将信息写入信息存储部的写入程序。写入部依照写入程序将信息写入信息存储部。信息存储部存储被写入的信息。

然而，在专利文献1中记载有如下技术：依照写入用存储部所存储的写入程序(在文中为“非易失性存储器”所存储的“非易失性存储器改写执行程序”)而以新的信息重写(在文中为“改写”)信息存储部所存储的信息(在文中为，“非易失性存储器”所存储的“控制用程序”)。

现有技术文献

专利文献

专利文献1：日本特开2012-188027号公报

发明内容

发明所要解决的课题

然而，存在如下问题：在正规的信息相对于信息存储部的写入结束之后，信息被非法重写。

本发明鉴于该情况而完成，其主要目的在于提供能够防止信息的非法重写的信息处理装置及信息处理系统。

用于解决课题的技术手段

本实施方式的信息处理装置的特征在于，具备：信息存储部，存储写入的信息；写入用存储部，存储用于将信息写入该信息存储部的写入程序；写入部，依照该写入用存储部所存储的写入程序将信息写入所述信息存储部；无效化存储部，存储用于将所述信息存储部所存储的信息的重写无效化的无效化程序；及无效化部，在由所述写入部进行的信息的写入结束了的情况下，依照所述无效化存储部所存储的无效化程序将所述存储的信息的重写无效化。

本实施方式的信息处理装置的特征在于，所述无效化部以与所述写入程序无关的信息重写该写入程序。

本实施方式的信息处理装置的特征在于，还具备参照存储部，该参照存储部存储在执行由所述写入部进行的信息的写入的情况下被参照的参照信息，所述无效化部以与所述参照存储部所存储的参照信息无关的信息重写该参照信息。

本实施方式的信息处理装置的特征在于，所述无效化部伴随由所述写入部进行的信息的写入结束而自动地将所述存储的信息的重写无效化。

本实施方式的信息处理装置的特征在于，还具备：结束发送部，在由所述写入部进行的信息的写入结束了的情况下，将所述存储的信息或基于所述存储的信息生成的生成信息向外部发送；及指示接收部，在由该结束发送部进行的所述存储的信息或所述生成信息的发送之后，接收对所述存储的信息的重写的无效化进行指示的无效化指示，在所述指示接收部接收到所述无效化指示时，所述无效化部将所述存储的信息的重写无效化。

本实施方式的信息处理装置的特征在于对控制电气设备的多个控制装置之间的通信进行中继。

本实施方式的信息处理系统包含处理接收到的信息的信息处理装置和向该信息处理装置发送信息的信息通信装置，所述信息处理系统的特征在于，所述信息处理装置具备：信息存储部，存储写入的信息；写入用存储部，存储用于将所述接收到的信息写入该信息存储部的写入程序；写入部，依照该写入用存储部所存储的写入程序将所述接收到的信息写入所述信息存储部；无效化存储部，存储用于将所述信息存储部所存储的信息的重写无效化的无效化程序；及无效化部，在由所述写入部进行的信息的写入结束了的情况下，依照所述无效化存储部所存储的无效化程序将所述存储的信息的重写无效化。

本实施方式的信息处理系统的特征在于，所述信息处理装置还具备：结束发送部，在由所述写入部进行的信息的写入结束了的情况下，将所述存储的信息或基于所述存储的信息生成的生成信息向所述信息通信装置发送；及指示接收部，在由该结束发送部进行的所述存储的信息或所述生成信息的发送之后，接收对所述存储的信息的重写的无效化进行命令的无效化指示，所述信息通信装置具备：信息接收部，接收所述存储的信息或所述生成信息；无效化判定部，在该信息接收部接收到所述存储的信息或所述生成信息的情况下，该无效化判定部基于接收到的所述存储的信息或所述生成信息来判定是否将所述存储的信息的重写无效化；及无效化发送部，在该无效化判定部判定为进行无效化的情况下，该无效化发送部将所述无效化指示向所述信息处理装置发送，在所述指示接收部接收到所述无效化指示时，所述无效化部将所述存储的信息的重写无效化。

在本实施方式中，在相对于信息存储部的信息的写入结束了的情况下，依照无效化程序将信息存储部所存储的信息的重写无效化。无效化程序存储于无效化存储部。

在本实施方式中，在相对于信息存储部的信息的写入结束了的情况下，以与写入程序无关的信息重写写入程序自身。

因此，能够防止由依照写入程序将非法的信息写入存储信息的信息存储部而实现的信息的非法重写。

在本实施方式中，在写入部向信息存储部写入信息的情况下，参照参照信息。在相对于信息存储部的信息的写入结束了的情况下，以与参照信息无关的信息重写参照信息。

因此，能够防止由参照参照信息将非法的信息写入存储信息的信息存储部而实现的信息的非法重写。

在本实施方式中，伴随相对于信息存储部的信息的写入结束，自动地将信息存储部所存储的信息的重写无效化。

因此，能够可靠地防止信息存储部所存储的信息的非法重写。

在本实施方式中，在相对于信息存储部的信息的写入结束了的情况下，在将信息存储部所存储的信息或生成信息发送到外部之后接收到无效化指示时，将信息存储部所存储的信息的重写无效化。

另一方面，在未接收到无效化指示时，或在虽然未向外部发送信息存储部所存储的信息或生成信息却接收到无效化指示时，不将信息的重写无效化。

因此，能够使防止信息的非法重写和防止对信息的重写进行不必要的无效化这两者同时成立。

在本实施方式中，能够将信息处理装置例如用作对车载控制装置之间的通信进行中继的车载通信中继装置。

在本实施方式中，在信息处理装置接收到的信息的相对于信息存储部的写入结束了的情况下，依照无效化程序将信息存储部所存储的信息的重写无效化。无效化程序存储于无效化存储部。

在本实施方式中，在相对于信息存储部的信息的写入结束了的情况下，当在从信息处理装置向信息通信装置发送信息存储部所存储的信息或生成信息之后信息处理装置接收到无效化指示时，将信息存储部所存储的信息的重写无效化。

另一方面，在信息处理装置未接收到无效化指示时，或在未将信息存储部所存储的信息或生成信息从信息处理装置向信息通信装置发送却接收到无效化指示时，不将信息的重写无效化。

因此，能够使防止信息的非法重写和防止对信息的重写不必要的无效化这两者同时成立。

然而，在信息通信装置中，基于来自信息处理装置的接收内容来判断是否将信息存储部所存储的信息的重写无效化。

在将重写无效化的情况下，从信息通信装置向信息处理装置发送无效化指示。另一方面，在不将重写无效化的情况下，不发送无效化指示。

因此，若不需要信息的重写，则能够将重写无效化。另一方面，若需要信息的重写，则能够将重写设为有效。

发明效果

在本实施方式的信息处理装置及信息处理系统的情况下，依照无效化存储部所存储的无效化程序，信息存储部所存储的信息的重写被无效化。因此，能够防止信息存储部所存储的信息的非法重写。

附图说明

图1是概略表示实施方式1的信息处理系统的结构的框图。

图2是概略表示实施方式1的作为信息处理装置发挥功能的CGW(中央网关)的结构的框图。

图3是表示CGW具备的存储装置所存储的信息的一例的示意图。

图4是表示CGW具备的存储装置所存储的信息的另一例的示意图。

图5是表示CGW具备的存储装置所存储的信息的又一例的示意图。

图6是表示由CGW执行的写入处理的步骤的流程图。

图7是表示由CGW执行的无效化处理的步骤的流程图。

图8是表示由实施方式2的作为信息处理装置发挥功能的CGW执行的写入处理的步骤的流程图。

图9是表示由实施方式2的信息处理系统所具备的信息通信装置执行的无效化判定处理的步骤的流程图。

图10是表示实施方式3的作为信息处理装置发挥功能的CGW具备的存储装置所存储的信息的一例的示意图。

图11是表示CGW具备的存储装置所存储的信息的又一例的示意图。

图12是表示由CGW执行的写入处理的步骤的流程图。

图13是表示由CGW执行的无效化处理步骤的详细内容的流程图。

图14是概略表示实施方式4的信息处理系统的结构的框图。

具体实施方式

以下，对于本发明，基于示出其实施方式的附图来详细叙述。

实施方式1.

图1是概略表示实施方式1的信息处理系统的结构的框图。

图中的1是信息处理系统，信息处理系统1具备实施方式1的作为信息处理装置发挥功能的CGW(Central Gateway：中央网关)2及信息通信装置3。

CGW2是搭载于车辆4的通信中继装置。

在车辆4分别搭载有多台电气设备41、41、…及ECU42、42、…。

电气设备41例如是照明装置或汽车导航装置。电气设备41与任一个ECU42连接。

各ECU42是具有控制与自身连接的电气设备41的工作的功能和通信功能的控制装置。ECU42与总线431连接。在总线431连接有多台ECU42、42、…。

对于ECU42预先提供自身应接收的信息会被赋予的ID(以下，称为接收ID4)。在将信息向其他ECU42发送的情况下，ECU42将赋予了通信对象的接收ID4的信息向总线431输出。

各ECU42接收输入到总线431的信息。接着，ECU42判定接收到的信息所赋予的接收ID4是否为自身的接收ID4。在接收到的信息被赋予的接收ID4与自身的接收ID4不同的情况下，ECU42将接收到的信息废弃。其结果是，EUC42能够选择性地接收赋予有自身的接收ID4的信息。

在CGW2连接有多根总线431、431、…。

另外，在CGW2经由总线432连接有连接器44。在连接器44上可装卸地连接有通信电缆11。

此外，在CGW2上经由总线433连接有无线机45。无线机45与位于车辆4的外部的无线通信机通信。

对CGW2提供中继用表，该中继用表将各总线431与连接于总线431的ECU42、42、…各自的接收ID4建立了关联。CGW2参照被提供的中继用表来对ECU42、42、…之间的通信进行中继。具体而言，CGW2接收输出到总线432的信息。接着，CGW2基于接收到的信息被赋予的接收ID4而参照中继用表。然后，CGW2将接收到的信息向与接收ID4建立了关联的总线431输出。

以上的结果是，在与不同的总线431、431连接的ECU42、42之间，信息的发送和接收成立。

信息通信装置3具备控制部31、使用易失性存储器构成的临时存储部32、使用非易失性存储器构成的存储装置33、显示部34、操作部35及通信部36。

控制部31具有CPU。控制部31经由总线与临时存储部32、存储装置33、显示部34、操作部35及通信部36连接。

存储装置33存储信息。在存储装置33所存储的信息中包含计算机程序。

存储装置33的存储区域的一部分是第一存储部331。第一存储部331存储用于控制信息通信装置3的工作的计算机程序。控制部31将临时存储部32用作作业区域，并依照第一存储部331所存储的计算机程序对装置各部分的工作进行控制，执行各种处理。

存储装置33的存储区域的另一部分是第二存储部332。第二存储部332存储应该提供给CGW2的信息(以下，称为供给信息)。以下，例示出供给信息是中继用表的情况。

显示部34例如是液晶显示面板。

操作部35例如是键盘或触摸板。

通信部36上可装卸地连接通信电缆11。

图2是概略表示CGW2的结构的框图。

CGW2具备控制部21、使用易失性存储器构成的临时存储部22、使用非易失性存储器构成的存储装置23、多个I/F(接口)部24、24、…、有线通信部25及无线通信部26。

控制部21具有CPU。控制部21经由总线与临时存储部22、存储装置23、I/F部24、24、…、有线通信部25及无线通信部26连接。

存储装置23存储信息。在存储装置23所存储的信息中包含计算机程序。控制部21将临时存储部22用作作业区域，并依照存储装置23所存储的计算机程序对装置各部分的工作进行控制，执行各种处理。

在各I/F部24上连接有总线431。

在有线通信部25经由总线432而连接有连接器44。

在无线通信部26经由总线433而连接有无线机45。

对于CGW2，预先提供自身应该接收的信息会被赋予的ID(以下，称为接收ID2)。

图3是表示存储装置23所存储的信息的一例的示意图。

存储装置23的存储区域的一部分是信息存储部231。图3所示的信息存储部231未存储信息。在图3之后的图中，以双点划线的矩形表示未存储信息。

存储装置23的存储区域的另一部分是写入用存储部232。写入用存储部232存储用于将控制程序写入信息存储部231的写入程序。

存储装置23的存储区域的又一部分是无效化存储部233。无效化存储部233存储用于将信息存储部231所存储的信息的重写无效化的无效化程序。

图4是表示存储装置23所存储的信息的另一例的示意图。

信息存储部231存储有供给信息。

写入用存储部232存储有写入程序。

无效化存储部233存储有无效化程序。

图5是表示存储装置23所存储的信息的又一例的示意图。

信息存储部231存储有供给信息。

写入用存储部232未存储写入程序。

无效化存储部233存储有无效化程序。

CGW2在信息存储部231未存储供给信息的状态下被从CGW制造商向车辆制造商发货(参照图3)。

在车辆制造商处，CGW2被装入车辆4。其后，对CGW2提供供给信息。

为了对CGW2提供供给信息，车辆制造商的作业人员经由通信电缆11将信息通信装置3的通信部36与车辆4的连接器44连接(参照图1)。

接着，作业人员操作信息通信装置3的操作部35而将供给信息的写入命令和识别应该写入供给信息的CGW2的CGW识别信息(例如为CGW2的名称)向信息通信装置3输入。

存储装置33的存储区域的又一部分将识别CGW2的CGW识别信息和CGW2的接收ID2建立关联而存储。应该提供该供给信息的CGW2的接收ID2与第二存储部332所存储的供给信息对应。

在被输入了写入命令及CGW识别信息的情况下，控制部31从第二存储部332读出与和CGW识别信息建立了关联的接收ID2对应的供给信息，并生成包含读出的供给信息的通信信息，并且将生成的通信信息和接收ID2向通信部36输出。

通信部36对输入的通信信息赋予接收ID2并将通信信息发送。

通信部36所发送出的通信信息经由通信电缆11而向总线432输入。

CGW2的有线通信部25接收输入到总线432的通信信息。

在接收到的通信信息被赋予有CGW2的接收ID2的情况下，有线通信部25将接收到的通信信息向临时存储部22写入。在接收到的通信信息未被赋予接收ID2的情况下，有线通信部25将接收到的通信信息废弃。

图6是表示由CGW2执行的写入处理的步骤的流程图。

在有线通信部25将包含供给信息的通信信息写入到临时存储部22的情况下，控制部21依照写入用存储部232所存储的写入程序来执行写入处理。

控制部21从临时存储部22读出包含于通信信息中的供给信息(S11)，并将读出的供给信息向信息存储部231写入(S12)。执行S12的处理的控制部21作为实施方式中的写入部发挥功能。

在供给信息的写入结束之后，控制部21从临时存储部22删除包含供给信息的通信信息(S13)。

执行完S12的处理之后的信息存储部231存储有供给信息(参照图4)。

然而，若利用写入用存储部232所存储的写入程序，则能够以供给信息以外的信息(例如非法的供给信息或无意义的信息)重写信息存储部231所存储的供给信息。

因此，在S12的处理结束之后，控制部21依照无效化存储部233所存储的无效化程序来执行用于将信息存储部231所存储的供给信息的重写无效的无效化处理(S14)，并结束写入处理。

图7是表示由CGW2执行的无效化处理的步骤的流程图。

控制部21以与写入程序无关的信息(例如无意义的信息)重写写入用存储部232所存储的写入程序(S21)，并结束无效化处理。执行S21的处理的控制部21作为实施方式中的无效化部发挥功能。

在S21的处理中，例如对写入用存储部232的全部簇写入与写入程序无关的信息。执行完S21的处理之后的写入用存储部232未存储写入程序(参照图5)。

在无效化处理的结束后，控制部21一边参照信息存储部231所存储的供给信息(即中继用表)一边进行对ECU42、42、…之间的通信进行中继的处理。另外，在有线通信部25所接收到的通信信息被赋予有ECU42的接收ID4的情况下，控制部21进行将有线通信部25所接收到的通信信息向与接收ID4对应的总线431输出的处理。

在将供给信息提供给CGW2之后，作业人员通过从连接器44卸下通信电缆11而解除通信部36与连接器44的连接。

此外，供给信息不限于被从信息通信装置3提供的情况。例如，也可以从与无线通信机连接的服务器提供包含供给信息的通信信息。

无线机45将从无线通信机接收到的通信信息向总线433输出。CGW2的无线通信部26接收输出到总线433的通信信息。在接收到的通信信息被赋予有CGW2的接收ID2的情况下，无线通信部26将接收到的通信信息向临时存储部22写入。在无线通信部26将包含供给信息的通信信息写入到临时存储部22的情况下，控制部21依照写入用存储部232所存储的写入程序来执行写入处理。另一方面，在接收到的通信信息未被赋予接收ID2的情况下，无线通信部26将接收到的通信信息废弃。

在无效化处理结束后，在无线通信部26所接收到的通信信息被赋予有ECU42的接收ID4的情况下，控制部21进行将无线通信部26所接收到的通信信息向与接收ID4对应的总线431输出的处理。

在根据如上那样的CGW2的情况下，能够防止供给信息的非法重写。

写入程序及无效化程序由CGW制造商在CGW2的发货前提供给CGW2。因此，车辆制造商无需准备写入程序或无效化程序来提供给CGW2。

并且，伴随图6所示的S12的处理的执行结束，在S14的处理中自动执行无效化处理。因此，无需例如车辆制造商的作业人员手动消去写入程序。

此外，无效化处理也可以是管理写入程序的信息(例如文件名)的变更，或写入程序的向写入用存储部232以外的存储区域的移动，或表示向信息存储部231的写入禁止的标志的设定等。然而，如本实施方式那样重写写入程序的安全性更高。这是由于，写入程序自身变得不存在于CGW2的内部。

在本实施方式中，例示出中继用表来作为供给信息，但不限于此。

例如，供给信息也可以是在具有通信功能的任意装置与CGW2进行通信时使用的加密秘钥。在该情况下，写入用存储部232存储用于将加密秘钥写入信息存储部231的写入程序。

或者，供给信息也可以是通信中继用的计算机程序。在该情况下，在无效化处理的结束后，控制部21依照信息存储部231所存储的通信中继用的计算机程序来进行对ECU42、42、…之间的通信进行中继的处理。

中继用表、加密秘钥及通信中继用的计算机程序是由CGU2直接使用的信息，但供给信息不限于此。例如，供给信息也可以是车辆4的制造编号。

接着，对实施方式2、3进行说明。实施方式2、3的信息处理系统1是与实施方式1的信息处理系统1大致相同的构成。以下，对与实施方式1的差异进行说明，此外，对于与实施方式1对应的部分附加相同标号并省略它们的说明。

实施方式2.

对于信息通信装置3，预先提供信息通信装置3应该接收的信息会被赋予的ID(以下，称为接收ID3)。

控制部31在被输入了写入命令及CGW识别信息的情况下，从第二存储部332读出与和CGW识别信息建立了关联的接收ID2对应的供给信息，并生成包含读出的供给信息和接收ID3的通信信息，并且将生成的通信信息和接收ID2向通信部36输出。

通信部36对输入的通信信息赋予接收ID2并将通信信息发送。

有线通信部25在接收到的通信信息被赋予有CGW2的接收ID2的情况下，将接收到的通信信息向临时存储部22写入。其结果是，有线通信部25将包含供给信息及接收ID3的通信信息向临时存储部22写入。

在有线通信部25将包含供给信息及接收ID3的通信信息写入到临时存储部22的情况下，控制部21依照写入用存储部232所存储的写入程序来执行写入处理。

图8是表示实施方式2的由CGW2执行的写入处理的步骤的流程图。

图8所示的写入处理相当于以接下来的S31～S35置换图6所示的写入处理所具有的S13及S14。

如图8所示，在S12的处理结束之后，CGW2的控制部21基于构成信息存储部231所存储的供给信息的信息而以预定的步骤生成生成信息(S31)。由S31的处理生成的生成信息例如是哈希值。

接着，控制部21生成包含由S31的处理生成的生成信息及接收ID2的通信信息(S32)。此外，控制部21从临时存储部22读出包含于通信信息中的接收ID3(S33)。接着，控制部21将由S32的处理生成的通信信息及由S33的处理读出的接收ID3向有线通信部25输出(S34)。

在S34的处理结束之后，控制部21从临时存储部22删除包含供给信息及接收ID3的通信信息(S35)，并结束写入处理。

有线通信部25对被输入的通信信息赋予接收ID3并发送通信信息。此时，有线通信部25作为实施方式中的结束发送部发挥功能。

作为S34的处理的结果，有线通信部25发送出的通信信息由信息通信装置3的通信部36接收。

在接收到的通信信息被赋予有接收ID3的情况下，通信部36将接收到的通信信息向临时存储部32写入。此时，在接收到的通信信息中包含生成信息，因此通信部36作为实施方式中的信息接收部发挥功能。在接收到的通信信息未被赋予接收ID3的情况下，通信部36将接收到的通信信息废弃。

图9是表示由实施方式2的信息处理系统1所具备的信息通信装置3执行的无效化判定处理的步骤的流程图。

在通信部36将包含生成信息的通信信息写入到临时存储部32的情况下，控制部31依照第一存储部331所存储的计算机程序来执行无效化判定处理。

控制部31从临时存储部32读出包含于通信信息中的生成信息(S41)，并基于读出的生成信息来判定是否将CGW2的信息存储部231所存储的供给信息的重写无效化(S42)。执行S42的处理的控制部31作为实施方式中的无效化判定部发挥功能。

为了执行S42的处理，控制部31预先基于构成第二存储部332所存储的供给信息的信息而以预定的步骤生成生成信息。生成的生成信息与接收ID2对应。在S42的处理中，控制部31从临时存储部32读出包含于通信信息中的接收ID2，并将与读出的ID2对应的生成信息与由S41的处理读出的生成信息进行比较。

在比较的生成信息彼此一致的情况下，控制部31判定为将供给信息的重写无效化(在S42中为“是”)。

在S42中为“是”的情况下，控制部31生成对信息存储部231所存储的供给信息的重写的无效化进行命令的无效化指示(S43)，并生成包含生成的无效化指示的通信信息(S44)。接着，控制部31将生成的通信信息和接收ID2向通信部36输出(S45)。

通信部36对被输入的通信信息赋予接收ID2并将通信信息发送。此时，通信部36作为实施方式中的无效化发送部发挥功能。

在比较的生成信息彼此不一致的情况下，控制部31判定为不将供给信息的重写无效化(在S42中为“否”)。

在S42中为“否”的情况下，控制部31使错误消息显示于显示部34(S46)，该错误消息表示在CGW2产生供给信息的写入错误。

在S45或S46的处理结束之后，控制部31从临时存储部32删除包含生成信息的通信信息(S47)，并结束无效化判定处理。

目视确认到错误消息的作业人员将供给信息的写入错误产生的原因消除。其后，作业人员再次操作操作部35而将写入命令和CGW识别信息向信息通信装置3输入。

作为S45的处理的结果，通信部36发送出的通信信息由CGW2的有线通信部25接收。

在接收到的通信信息被赋予有CGW2的接收ID2的情况下，有线通信部25将接收到的通信信息向临时存储部22写入。此时，由于在接收到的通信信息中包含无效化指示，因此有线通信部25作为实施方式中的指示接收部发挥功能。

在有线通信部25将包含无效化指示的通信信息写入到临时存储部22的情况下，CGW2的控制部21执行图7所示的无效化处理。其结果是，能够防止供给信息的非法重写。

在未执行无效化处理的情况下，每当有线通信部25将包含供给信息及接收ID3的通信信息向临时存储部22写入时，控制部21都将包含于通信信息中的供给信息向信息存储部231写入。因此，能够将写入失败了的供给信息重写。换言之，在需要供给信息的重写的情况下能够防止供给信息的重写的无效化。

此外，CGW2的控制部21也可以在S12的处理结束之后不执行S31的处理，而在S32的处理中生成包含信息存储部231所存储的供给信息及接收ID2的通信信息。

在该情况下，S41的处理中的控制部31从临时存储部32读出包含于通信信息中的供给信息。另外，在由S41的处理读出的生成信息中包含的供给信息和与在通信信息中包含的接收ID2对应的供给信息一致的情况下，S42的处理中的控制部31判定为将供给信息的重写无效化。

在被写入信息存储部231的信息为加密秘钥的情况下，由S31的处理生成的生成信息也可以是基于信息存储部231所存储的加密秘钥而将预定的信息(例如CGW2的接收ID2)暗号化而得到的信息。

在该情况下，在将由S41的处理读出的生成信息解密而得到的信息与预定的信息一致的情况下，S42的处理中的控制部31判定为将供给信息的重写无效化。

实施方式1、2的CGW2是将写入到信息存储部231的全部供给信息的重写无效化的构成，但不限于此。例如，CGW2也可以是如下构成：使一供给信息(例如加密秘钥)的重写无效化和允许其他的供给信息的重写(例如通信中继用的计算机程序的更新)这两者同时成立。

为此，写入用存储部232存储有用于将一供给信息写入信息存储部231的一写入程序和用于将其他供给信息写入信息存储部231的其他写入程序。

在接收到一供给信息并写入到信息存储部231的情况下，控制部21执行无效化处理而将写入用存储部232所存储的一写入程序无效化。

另一方面，在接收到其他供给信息并写入到信息存储部231的情况下，控制部21不执行无效化处理。此时，写入用存储部232所存储的其他写入程序不被无效化。

以上的结果是，即使再度接收一供给信息，由于一写入程序被无效化，因此也不执行向信息存储部231的写入。然而，在接收到其他供给信息时，执行向信息存储部231的写入。

或者，在写入用存储部232所存储的写入程序中包含用于将一供给信息写入信息存储部231的一子程序和用于将其他供给信息写入信息存储部231的其他子程序。

在接收到一供给信息并写入到信息存储部231的情况下，控制部21执行无效化处理而将写入用存储部232所存储的写入程序之中的一子程序无效化。

另一方面，在接收到其他供给信息并写入到信息存储部231的情况下，控制部21不执行无效化处理。此时，写入用存储部232所存储的其他子程序不被无效化。

以上的结果是，即使再度接收一供给信息，由于一子程序被无效化，因此也不执行向信息存储部231的写入。然而，在接收到其他供给信息时，执行向信息存储部231的写入。

实施方式3.

以下，对使第一供给信息(信息)的重写无效化和允许第二供给信息的重写这两者同时成立的构成进行说明。第一供给信息例如是加密秘钥，第二供给信息例如是通信中继用的计算机程序。以下，在不区别第一供给信息及第二供给信息的情况下，仅称为供给信息。

图10是表示实施方式3的CGW2具备的存储装置23所存储的信息的一例的示意图。

信息存储部231未存储第一供给信息及第二供给信息。

写入用存储部232存储有写入程序。该写入程序用于将供给信息写入信息存储部231。

无效化存储部233存储有无效化程序。

存储装置23的存储区域的又一部分是参照存储部234。参照存储部234存储有第一参照信息及第二参照信息。以下，在不区别第一参照信息及第二参照信息的情况下，只称为参照信息。参照信息在控制部21依照写入用存储部232所存储的写入程序而执行将供给信息向信息存储部231写入的写入处理的情况下被参照。

第一参照信息在写入第一供给信息的情况下被参照。换言之，无法不参照第一参照信息就将第一供给信息写入信息存储部231。具体而言，第一参照信息例如是函数、子例程、系数或写入目标地址。在第一参照信息中，表示在第一供给信息的写入之后需要将第一参照信息无效化的要否信息(在图中为“(要)”)和识别第一参照信息的参照ID1建立关联。

第二参照信息与第一参照信息大致相同。但是，第二参照信息在写入第二供给信息的情况下被参照。另外，在第二参照信息中，表示在第二供给信息的写入之后不需要将第二参照信息无效化的要否信息(在图中为“(否)”)和识别第二参照信息的参照ID2建立关联。

以下，在不区别参照ID1及参照ID2的情况下，只称为参照ID。

图11是表示存储装置23所存储的信息的又一例的示意图。

信息存储部231存储有第一供给信息及第二供给信息。

写入用存储部232存储有写入程序。

无效化存储部233存储有无效化程序。

参照存储部234未存储第一参照信息，但存储有第二参照信息。

在信息存储部231未存储第一供给信息及第二供给信息的状态下，CGW2被从CGW制造商向车辆制造商发货(参照图10)。

车辆制造商处CGW2被装入车辆4。其后，对CGW2提供供给信息。

为此，信息通信装置3的第二存储部332存储有供给信息。在第二存储部332所存储的供给信息中，应该提供供给信息的CGW2的接收ID2和在供给信息的写入时应该参照的参照信息的参照ID相对应。

车辆制造商的作业人员经由通信电缆11将信息通信装置3的通信部36与车辆4的连接器44连接(参照图1)。

接着，作业人员操作信息通信装置3的操作部35而将第一供给信息及第二供给信息的写入命令和对应该写入第一供给信息及第二供给信息的CGW2进行识别的CGW识别信息向信息通信装置3输入。

在输入了写入命令及CGW识别信息的情况下，控制部31从第二存储部332读出与和CGW识别信息建立关联的接收ID2对应的第一供给信息及第二供给信息和与第一供给信息及第二供给信息分别建立关联的要否信息及参照ID，并生成包含读出的供给信息、要否信息及参照ID的通信信息，并且将生成的通信信息和接收ID2向通信部36输出。

通信部36对输入的通信信息赋予接收ID2并发送通信信息。

通信部36发送出的通信信息由CGW2的有线通信部25接收。

在接收到的通信信息被赋予有CGW2的接收ID2的情况下，有线通信部25将接收到的通信信息向临时存储部22写入。

图12是表示由CGW2执行的写入处理的步骤的流程图。

在有线通信部25将包含供给信息、要否信息及参照ID的通信信息写入到临时存储部22的情况下，控制部21依照写入用存储部232所存储的写入程序来执行写入处理。

控制部21从临时存储部22读出包含于通信信息中的供给信息之内的尚未被从临时存储部22读出的供给信息和与其建立关联的参照ID及要否信息(S51)。

接着，控制部21判定参照存储部234是否存储有与由S51读出的参照ID对应的参照信息(S52)。例如，在由S51读出的参照ID为参照ID1的情况下，控制部21判定参照存储部234是否存储有与参照ID1对应的第一参照信息。

在参照存储部234存储有参照信息的情况下(在S52中为“是”)，控制部21参照参照存储部234所存储的参照信息而将由S51读出的供给信息向信息存储部231写入(S53)。执行S53的处理的控制部21作为实施方式中的写入部发挥功能。

接着，控制部21判定由S51读出的要否信息是否表示需要将参照信息无效化(S54)。例如，在由S51读出的参照ID为参照ID1的情况下，由S51读出的要否信息表示需要在第一供给信息的写入之后将第一参照信息无效化。

在需要将参照信息无效化的情况下(在S54中为“是”)，控制部21执行无效化处理(参照如下所示的图13)(S55)。

图13是表示由CGW2执行的无效化处理步骤的详细内容的流程图。控制部21依照无效化存储部233所存储的无效化程序来执行无效化处理。

控制部21以与参照信息不相关的信息重写参照存储部234所存储的参照信息(S61)。执行S61的处理的控制部21作为实施方式中的无效化部发挥功能。

在S61的处理结束之后，控制部21将无效化处理结束并返回图12所示的写入处理。

在S55的处理结束之后，控制部21判定是否已完成从临时存储部22全部读出包含于通信信息中的供给信息(S56)，在有尚未被从临时存储部22读出的供给信息的情况下(在S56中为“否”，使处理返回S51。

在已完成从临时存储部22全部读出包含于通信信息中的供给信息的情况下(在S56中为“是”)，控制部21从临时存储部22删除包含供给信息的通信信息(S57)，并结束写入处理。

在参照存储部234未存储参照信息的情况下(在S52中为“否”)，或无需将参照信息无效化的情况下(在S54中为“否”)，控制部21使处理向S56移动。

如图10所示，在信息存储部231未存储第一供给信息及第二供给信息的情况下，在被写入到临时存储部22的通信信息包含第一供给信息及第二供给信息这两方时，S53的处理被执行两次。执行完两次S53的处理之后的信息存储部231存储有第一供给信息及第二供给信息。

在第一供给信息由S53的处理写入到信息存储部231的情况下，执行S55的处理。另一方面，在第二供给信息由S53的处理写入到信息存储部231的情况下，S55的处理不被执行。其结果是，参照存储部234成为虽然未存储第一参照信息但存储有第二参照信息的状态(参照图11)。

如图11所示，在信息存储部231存储有第一供给信息及第二供给信息的情况下，在被写入到临时存储部22的通信信息包含第一供给信息时，由于在S52中判定为“否”，因此S53的处理不被执行。因此，能够防止第一供给信息的非法重写。

如图11所示，在信息存储部231存储有第一供给信息及第二供给信息的情况下，在被写入到临时存储部22的通信信息包含第二供给信息时，由于在S52中判定为“是”，因此执行S55的处理。并且，由于在S54中判定为“否”，因此S55的处理不被执行。因此，能够允许第二供给信息的更新。

此外，无效化处理也可以是管理参照信息的信息的变更，或参照信息的向参照存储部234以外的存储区域的移动，或表示参照信息的参照禁止的标志的设定等。然而，如本实施方式那样重写参照信息的安全性更高。

在无需将应该允许更新的供给信息提供给CGW2的情况下，也可以在信息存储部231存储完全部的供给信息之后将参照信息及写入程序这两方一起重写。

在实施方式1～3中，例示出了信息处理装置为CGW2的情况，但不限于此。例如，信息处理装置也可以是ECU42。在信息处理装置为ECU42的情况下，供给信息通过CGW2而被向ECU42发送。

在实施方式1～3中，例示出了写入程序与无效化程序独立的构成，但不限于此。例如，无效化程序也可以包含于写入程序中。包含无效化程序的写入程序在被复制于临时存储部22之后执行。在无效化处理的执行结束之后，临时存储部22所存储的写入程序由被写入临时存储部22的信息重写。

在实施方式1～3中，例示出了对搭载到车辆4之后的CGW2提供供给信息的情况，但不限于此。以下，例示对搭载到车辆4之前的ECU42提供供给信息的情况。被提供给ECU42的供给信息例如是用于控制电气设备41的工作的控制程序。

实施方式4.

图14是概略表示实施方式4的信息处理系统的构成的框图。

图中的10是信息处理系统，信息处理系统10具备作为实施方式4的信息处理装置发挥功能的ECU42及信息通信装置3。

ECU42具备控制部421、使用易失性存储器构成的临时存储部422、使用非易失性存储器构成的存储装置423、I/F部424、通信部425及连接器426。

控制部421具有CPU。控制部421经由总线与临时存储部422、存储装置423、I/F部424、通信部425及连接器426连接。

存储装置423存储有信息。在存储装置423所存储的信息中包含计算机程序。控制部421将临时存储部422用作作业区域，并依照存储装置423所存储的计算机程序来对装置各部分的工作进行控制，执行各种处理。

存储装置423的存储区域的一是如图3～图5所示那样的信息存储部231、写入用存储部232及无效化存储部233。

在I/F部424上，在将ECU42搭载于车辆4的情况下连接电气设备41。

在将ECU42搭载于车辆4的情况下，通信部425与总线431连接。

对于连接器426，可装卸地连接通信电缆11。

ECU42在信息存储部231未存储供给信息的状态下被从ECU制造商向车辆制造商发货。

在车辆制造商处ECU42在被提供供给信息之后被装入车辆4。

为了对ECU42提供供给信息，车辆制造商的作业人员经由通信电缆11将信息通信装置3的通信部36与ECU42的连接器426连接。

接着，作业人员操作信息通信装置3的操作部35而将供给信息的写入命令和对应该写入供给信息的ECU42进行识别的ECU识别信息(例如ECU42的名称)向信息通信装置3输入。

存储装置33的存储区域的一将识别ECU42的ECU识别信息和ECU42的接收ID4建立关联而存储。第二存储部332所存储的供给信息与应该提供该供给信息的ECU42的接收ID4对应。

在被输入了写入命令及ECU识别信息的情况下，控制部31从第二存储部332读出与和ECU识别信息建立关联的接收ID4对应的供给信息，并生成包含读出的供给信息的通信信息，将生成的通信信息和接收ID4向通信部36输出。

通信部36对输入的通信信息赋予接收ID4并将通信信息发送。

通信部36发送出的通信信息经由通信电缆11而被向ECU42的连接器426输入。被输入到连接器426的通信信息被向临时存储部422写入。

ECU42的控制部421判定在被写入到临时存储部422的通信信息是否被赋予有ECU42的接收ID4。

在被写入临时存储部422的通信信息未被赋予有ECU42的接收ID4的情况下，通信部425从临时存储部422删除被写入到临时存储部422的通信信息。

在被写入到临时存储部422的通信信息被赋予有ECU42的接收ID4的情况下，控制部421依照写入用存储部232所存储的写入程序来执行图6所示那样的写入处理。

在无效化处理的结束之后，在被装入车辆4的ECU42中，控制部421依照信息存储部231所存储的供给信息(即控制程序)而经由I/F部424控制电气设备41的工作。

在实施方式4中，例示出信息处理装置为ECU42的情况，但不限于此。例如，信息处理装置也可以是被搭载于车辆4之前的CGW2。

在实施方式1～4中，例示出从信息通信装置3对信息处理装置提供供给信息的情况，但不限于此。例如也可以是，信息处理装置具备信息输入部，作业人员使用信息输入部将供给信息提供给信息处理装置。

此次公开的实施方式在所有方面均为例示，并不应该认为是限定性的。本发明的范围不只包含上述的含义，也意在包含与权利要求等同的含义及权利要求范围内的全部变更。

另外，只要具有本发明的效果，在信息处理系统1或CGW2中也可以包含实施方式1～3未公开的构成要素。

在各实施方式中公开的构成要件(技术特征)能够互相组合，且能够通过组合形成新的技术特征。

标号说明

1 信息处理系统

2 CGW(信息处理装置)

21 控制部(写入部、无效化部)

231 信息存储部

232 写入用存储部

233 无效化存储部

234 参照存储部

25 通信部(结束发送部、指示接收部)

3 信息通信装置

31 控制部(无效化判定部)

36 通信部(信息接收部、无效化发送部)

Claims (8)

1.一种信息处理装置，其特征在于，具备：

信息存储部，存储写入的信息；

写入用存储部，存储用于将信息写入该信息存储部的写入程序；

写入部，依照该写入用存储部所存储的写入程序将信息写入所述信息存储部；

无效化存储部，存储用于将所述信息存储部所存储的信息的重写无效化的无效化程序；及

无效化部，在由所述写入部进行的信息的写入结束了的情况下，依照所述无效化存储部所存储的无效化程序将所述存储的信息的重写无效化。

2.根据权利要求1所述的信息处理装置，其特征在于，

所述无效化部以与所述写入程序无关的信息重写该写入程序。

3.根据权利要求1或2所述的信息处理装置，其特征在于，

还具备参照存储部，该参照存储部存储在执行由所述写入部进行的信息的写入的情况下被参照的参照信息，

所述无效化部以与所述参照存储部所存储的参照信息无关的信息重写该参照信息。

4.根据权利要求1～3中任一项所述的信息处理装置，其特征在于，

所述无效化部伴随由所述写入部进行的信息的写入结束而自动地将所述存储的信息的重写无效化。

5.根据权利要求1～3中任一项所述的信息处理装置，其特征在于，还具备：

结束发送部，在由所述写入部进行的信息的写入结束了的情况下，将所述存储的信息或基于所述存储的信息生成的生成信息向外部发送；及

指示接收部，在由该结束发送部进行的所述存储的信息或所述生成信息的发送之后，接收对所述存储的信息的重写的无效化进行指示的无效化指示，

在所述指示接收部接收到所述无效化指示时，所述无效化部将所述存储的信息的重写无效化。

6.根据权利要求1～5中任一项所述的信息处理装置，其特征在于，

对控制电气设备的多个控制装置之间的通信进行中继。

7.一种信息处理系统，包含处理接收到的信息的信息处理装置和向该信息处理装置发送信息的信息通信装置，所述信息处理系统的特征在于，

所述信息处理装置具备：

信息存储部，存储写入的信息；

写入用存储部，存储用于将所述接收到的信息写入该信息存储部的写入程序；

写入部，依照该写入用存储部所存储的写入程序将所述接收到的信息写入所述信息存储部；

无效化存储部，存储用于将所述信息存储部所存储的信息的重写无效化的无效化程序；及

无效化部，在由所述写入部进行的信息的写入结束了的情况下，依照所述无效化存储部所存储的无效化程序将所述存储的信息的重写无效化。

8.根据权利要求7所述的信息处理系统，其特征在于，

所述信息处理装置还具备：

结束发送部，在由所述写入部进行的信息的写入结束了的情况下，将所述存储的信息或基于所述存储的信息生成的生成信息向所述信息通信装置发送；及

指示接收部，在由该结束发送部进行的所述存储的信息或所述生成信息的发送之后，接收对所述存储的信息的重写的无效化进行命令的无效化指示，

所述信息通信装置具备：

信息接收部，接收所述存储的信息或所述生成信息；

无效化判定部，在该信息接收部接收到所述存储的信息或所述生成信息的情况下，该无效化判定部基于接收到的所述存储的信息或所述生成信息来判定是否将所述存储的信息的重写无效化；及

无效化发送部，在该无效化判定部判定为进行无效化的情况下，该无效化发送部将所述无效化指示向所述信息处理装置发送，

在所述指示接收部接收到所述无效化指示时，所述无效化部将所述存储的信息的重写无效化。