JP2001225706A - 電子制御装置の制御情報書換システム、当該システムに用いられるセンタ、電子制御装置、及び書換装置 - Google Patents

Abstract

(57)【要約】 【課題】 書換装置又は書換装置内部の情報が盗まれた
場合であっても、電子制御装置における制御情報の不正
な書き換えを防止できるようにする 【解決手段】 書換装置２０がＥＣＵ１１〜１４にアク
セスするために必要な関数ｆをセンタ３０に記憶してお
く。そして、センタ３０は、書換装置２０を正当なもの
と判断してはじめて、書換装置２０へ関数ｆを送信す
る。センタ３０は、書換装置２０に対しユニークに割り
振られたＩＤ情報と電話回線網４０を介してデータ通信
を行う際の書換装置２０側の電話番号とを対応させて記
憶したデータベースを有している。そして、書換装置２
０からＩＤ情報を取得すると共に発呼元の電話番号を取
得し、このＩＤと電話番号との対応関係がデータベース
に記憶された対応関係と一致している場合に、書換装置
２０を正当なものと判断する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、電気的にデータの
書き換えが可能な不揮発性メモリを有する電子制御装置
（以下「ＥＣＵ」ともいう。）に関し、特に当該不揮発
性メモリに記憶された制御プログラムや制御データとい
った制御情報の不正な書き換えを防止する技術に関す
る。

【０００２】

【従来の技術】従来より、自動車のエンジン等を制御す
るＥＣＵには、電気的にデータの書き換えが可能な不揮
発性メモリに制御情報を格納したものがある。ここで制
御情報とは、制御用のプログラム及びデータをいう。こ
れによって、このような制御情報を、市場への供給後で
も書き換え可能にしている。

【０００３】すなわち、この種のＥＣＵは、通常時に
は、不揮発性メモリに格納された制御情報に従ってエン
ジン等の制御対象を制御するための制御処理を実行する
のであるが、別途用意された書換装置が接続されて、そ
の書換装置から書き換え指令が送信されて来ると、所定
の通信手順を踏んだ後に、不揮発性メモリの内容を書き
換えるように構成されている。なお、不揮発性メモリの
内容の書き換えは、不揮発性メモリに格納されている制
御情報の一部又は全部を消去し、その消去したメモリ領
域に、メモリ書換装置から送信されてくる変更データと
しての新たな制御情報を書き込むという手順で行われ
る。

【０００４】具体的には図９に示すように、車両１００
に用意された車両ダイアグコネクタ１２０を介して書換
装置２００が接続される。図９では、車両１００に４つ
のＥＣＵ１０１，１０２，１０３，１０４が搭載されて
おり、各ＥＣＵ１０１〜１０４は、ネットワーク回線１
１０にて結ばれている。書換装置２００は、作業者によ
る操作に基づきＥＣＵコードを送信することによって、
４台のＥＣＵ１０１〜１０４のうちの１台とデータ通信
を行う。

【０００５】このようなＥＣＵでは、不揮発性メモリに
格納される制御情報を書換装置を用いて書き換えること
ができるため、動作内容（制御内容）を任意に変更する
ことができるという点で有利である。特に、動作内容
（制御内容）に不具合があった場合も迅速に対応できる
ことになり、市場への供給後における車両のメンテナン
スを容易にする。

【０００６】しかしその反面、利用者が制御情報を故意
に書き換える可能性が残される。すなわち、環境面や安
全面を配慮して設定される制御情報を、利用者が快適性
や興味などで書き換えてしまう可能性がある。例えば、
エンジンを制御するＥＣＵでは、車速の上限値を制御デ
ータとして予め設定しておき、車速がその上限値を越え
た場合には、燃料をカットするというような安全面から
の制御を行うのが一般的である。このとき、利用者が、
予め設定された車速の上限値（制御データ）を故意に書
き換えることが考えられる。このように制御情報が利用
者によって故意に書き換えられると、環境面や安全面に
おいて妥当でない状況が発生する。

【０００７】そのため、Ｅ−ＯＢＤの電子システムセキ
ュリティ規定で不正な制御情報の書き換えを防止するこ
とが義務付けられている。そこで次に、従来の書換処理
を図面を用いて説明する。図１０の左側に示した処理が
図９におけるＥＣＵ１０１〜１０４の処理に相当し、図
１０の右側に示した処理が図９における書換装置２００
の処理に相当している。なお、各処理にはｂ１〜ｂ１２
の符号を付した。以下、この符号を用いて処理の説明を
行う。

【０００８】まず最初に書換装置が制御情報の書き換え
を行うＥＣＵを選択し、書換要求を送信する（ｂ１）。
ＥＣＵの選択は、ＥＣＵコードを送信することによって
行う。このＥＣＵコードは作業者によって書換装置に入
力される。すると、選択されたＥＣＵは、乱数ｒを発生
し（ｂ２）、この乱数ｒを書換装置へ送信する（ｂ
３）。

【０００９】書換装置には関数ｆが予め記憶されてお
り、送信される乱数ｒに対して関数値ｆ（ｒ）を算出す
る（ｂ４）。そして、その算出した関数値ｆ（ｒ）を送
信する（ｂ５）。一方、ＥＣＵには関数Ｆが予め記憶さ
れており、送信される関数値ｆ（ｒ）に対して関数値Ｆ
（ｆ（ｒ））を算出する（ｂ６）。続いて、算出したＦ
（ｆ（ｒ））が乱数ｒに等しければ、すなわちｆ＝Ｆ^-1
であれば、書き換えを許可する許可信号を送信する（ｂ
７）。

【００１０】ここまでの処理は、ＥＣＵが記憶する関数
Ｆの逆関数ｆを書換装置が有している場合に、ＥＣＵが
書換装置を正当であると判断するものである。この例で
は、書換装置の有する関数ｆがＥＣＵをアクセスするた
めの情報となっている。書換装置は、ＥＣＵから送信さ
れる許可信号を受信すると（ｂ８）、変更データを送信
する（ｂ９）。ＥＣＵは、この変更データに基づき制御
情報の書き換えを行う（ｂ１０）。

【００１１】ＥＣＵは制御情報の書き換えが正常に終了
すると、正常終了を通知し（ｂ１１）、書換装置が通知
を受けて（ｂ１２）一連の書き換え処理が完了する。

【００１２】

【発明が解決しようとする課題】図１０を用いて説明し
た書換処理では、書換装置内の情報である関数ｆを用い
た通信処理（ｂ１〜ｂ７）によって、ＥＣＵが書換装置
の正当性を判断している。そのため、書換装置自体が盗
まれたり、又は、書換装置内部の情報が盗まれたりした
場合には、不正な制御情報の書き換えを防止できないと
いう問題があった。特に、書換装置は作業現場にあるた
め、上述した盗難の可能性が比較的高くなってしまう。

【００１３】本発明は、上述した問題点を解決するため
になされたものであり、書換装置又は書換装置内部の情
報が盗まれた場合であっても、上述した不正な制御情報
の書き換えを防止できるようにすることを目的とする。

【００１４】

【課題を解決するための手段及び発明の効果】上述した
目的を達成するためになされた請求項１に記載の制御情
報書換システムは、車両を制御するために車載され、電
気的に書き換え可能な不揮発性メモリに車両制御のため
の制御情報を記憶した電子制御装置と、制御情報を書き
換えるための書換装置とを備えることを前提としてい
る。

【００１５】このとき、書換装置は、所定のアクセス情
報を用いた通信開始処理を電子制御装置との間で実行
し、一方、電子制御装置は、通信開始処理によって書換
装置の正当性を判断し、当該書換装置を正当なものであ
ると判断すると、書換装置から送信される変更データに
基づき制御情報の一部又は全部を書き換える。

【００１６】このような構成に加え、本発明のシステム
ではさらに、書換装置との間でデータ通信を行うセンタ
を備えていることを特徴としている。センタは、例えば
作業現場とは別の場所に設置されることが考えられる。
このセンタの記憶手段には、上述したアクセス情報が記
憶されている。また、書換装置の判別情報が記憶されて
いる。

【００１７】このとき、センタの正当性判断手段は、書
換装置とのデータ通信において、当該書換装置からの情
報を取得する。そして、当該取得した情報が記憶手段に
記憶された判別情報と一致している場合は、所定のアク
セス情報を書換装置へ送信する。一方、判別情報と一致
していない場合は、所定のアクセス情報を書換装置へ送
信しない。

【００１８】つまり、本発明では、電子制御装置へのア
クセスを可能にするアクセス情報を、書換装置ではなく
センタに記憶しておき、書換装置の正当性を電子制御装
置に先立ってセンタが判断するようにしたのである。セ
ンタは、書換装置を正当なものであると判断した場合
に、アクセス情報を送信することによって、制御情報の
書き換えを許可する。

【００１９】これは、以下のような２段階のチェックを
行うことにあたる。 センタが書換装置の正当性を判断してアクセス情報を
書換装置へ送信する。 書換装置はそのアクセス情報を用いた通信開始処理を
実行し、その通信開始処理に基づき、電子制御装置が書
換装置の正当性を判断する。

【００２０】これによって、少なくとも判別情報を書換
装置内部に記憶しておかなければ、上記の段階で書換
装置はセンタからアクセス情報を得ることができない。
したがって、書換装置又は書換装置内部の情報が盗まれ
たとしても、上記において電子制御装置により書換装
置が正当であると判断されないため、その後、制御情報
の書き換えが行われない。その結果、書換装置や書換装
置内部の情報が盗まれた場合であっても、電子制御装置
の制御情報が不正に書き換えられることを防止できる。

【００２１】なお、通常、書換装置は、例えば修理工場
毎に設置されるというように、本システムに複数台存在
する。そこで、書換装置毎の正当性を判断するために、
例えば請求項２に示す構成を採用することが望ましい。
ここでは、上述した判別情報が、識別情報及び対応情報
からなることを特徴としている。識別情報は、書換装置
を識別するための書換装置固有の番号などであることが
考えられる。一方、対応情報は、各識別情報に対応させ
て設定される情報である。

【００２２】このときセンタの正当性判断手段は、書換
装置とのデータ通信において、当該書換装置の識別情報
及び対応情報を取得する。そして、当該取得した情報の
対応関係が記憶手段に記憶された判別情報と一致してい
る場合は、所定のアクセス情報を書換装置へ送信する。
一方、一致していない場合は、所定のアクセス情報を書
換装置へ送信しない。

【００２３】これによって、少なくとも識別情報及び対
応情報のいずれか一方を書換装置内部に記憶しておかな
ければ、上記の段階で書換装置はセンタからアクセス
情報を得ることができない。したがって、書換装置又は
書換装置内部の情報が盗まれたとしても、上記におい
て電子制御装置により書換装置が正当であると判断され
ないため、その後、制御情報の書き換えが行われない。
その結果、書換装置や書換装置内部の情報が盗まれた場
合であっても、電子制御装置の制御情報が不正に書き換
えられることを防止できる。そして、この場合、書換装
置毎に、その正当性を判断できる。

【００２４】ところで、上記における「アクセス情報
を用いた通信開始処理」は、次に示すようなものとする
ことが考えられる。すなわち、書換装置が、センタから
取得したアクセス情報に基づく正当性判断情報を電子制
御装置に送信し、これに対し電子制御装置は、書換装置
から送信される正当性判断情報に基づき、書換装置の正
当性を判断するものとすることが考えられる（請求項
３）。ここでいう正当性情報は、例えば、電子制御装置
から送信される所定データをアクセス情報を基に変換し
た情報である（請求項４）。

【００２５】具体的な構成としては、従来技術して上述
したのと同様の構成（請求項５）が挙げられる。すなわ
ちこの場合、書換装置は、前記電子制御装置に記憶され
た関数Ｆに対応する関数ｆをアクセス情報としてセンタ
から取得し、所定データとしての所定値ｒに対する関数
値ｆ（ｒ）を、正当性判断情報として、電子制御装置に
送信する。そして、電子制御装置は、書換装置から送信
される関数値ｆ（ｒ）に対する関数値Ｆ（ｆ（ｒ））が
所定値ｒに等しければ、書換装置を正当なものであると
判断する。ここで所定値ｒは固定的なものとしてもよい
が、電子制御装置にて生成される乱数としてもよい（請
求項６）。

【００２６】なお、正当なアクセス情報を得ることな
く、書換装置による電子制御装置への不正なアクセスが
行われることを防止するために、請求項７に示す構成を
採用してもよい。この構成では、電子制御装置が、書換
装置を正当なものでないと所定回数判断すると、書換装
置からのアクセスを例えば１０分というような一定時間
拒否する。所定回数は１回としてもよいが、通信エラー
などが生じる可能性を考慮して例えば３回というように
設定することが考えられる。また、所定回数は、「正当
なものでない」という判断が連続して行われた回数であ
ってもよいし、「正当なものでない」という判断を累積
した回数としてもよい。このようにすれば、不正なアク
セス情報を用いては連続的に何度も電子制御装置をアク
セスすることができないため、不正な電子制御装置への
アクセスを効果的に防止することができ、制御情報の書
き換え防止に有効である。

【００２７】ここでは「正当なものでない」という判断
が連続して行われた場合の電子制御装置の動作に言及し
たが、逆に、書換装置を正当なものであると判断する
と、電子制御装置は、書換装置からの変更データの送信
待ち状態になるようにすることが考えられる（請求項
８）。

【００２８】ところで、上記における書換装置の正当
性判断において、センタは、書換装置の判別情報を利用
している。判別情報が例えば識別情報及び対応情報で構
成されるならば、上述したように、識別情報又は対応情
報の少なくともいずれか一方を書換装置内部に記憶して
おかなければ、書換装置又は書換装置内部の情報が盗ま
れた場合であっても、書換装置はセンタからアクセス情
報を得ることはできない。

【００２９】そこで、例えば請求項９に示すように、判
別情報の少なくとも一部は、センタとのデータ通信可能
状態が確立する度に、利用者によって書換装置へ入力さ
れるようにするとよい。このとき、書換装置は、利用者
によって入力された情報をセンタへ送信する。

【００３０】例えば判別情報が識別情報及び対応情報で
構成されている場合、対応情報を利用者によって入力さ
れるものとすることが考えられる。この場合の対応情報
は、識別情報に対応するいわゆるパスワードとして位置
付けられる。このように毎回利用者が対応情報を入力す
るようにすれば、書換装置又は書換装置内の情報が盗ま
れ、結果的に識別情報が盗まれたとしても、それに対応
する対応情報が分からないため、センタからアクセス情
報を得ることができない。したがって、電子制御装置の
制御情報が不正に書き換えられることを防止できる。

【００３１】なお、「少なくとも一部」としたのは、判
別情報が複数の情報で構成されるという前提の下、判別
情報の全てを利用者が入力するようにしてもよいためで
ある。例えば識別情報も、書換装置内部に記憶しておか
ず、対応情報と同様に利用者によって入力されるように
してもよい。その場合、利用者が入力する情報は増える
ものの、書換装置又は書換装置内部の情報が盗まれた場
合に対応情報だけでなく識別情報までも分からないた
め、センタからアクセス情報を不正に得られる可能性が
さらに低くなり、制御情報が不正な書き換えに対して有
効となる。

【００３２】ただし、判別情報の少なくとも一部を利用
者が入力する上述の構成を採用しても、それらの情報が
何らかの別ルートで盗まれる可能性も考えられる。そこ
で、請求項１０に示す構成を採用することが考えられ
る。この構成は、センタと書換装置との間に電話回線を
介してデータ通信可能状態が確立されることを前提とす
る。センタは、書換装置との間にデータ通信可能状態が
確立されると、書換装置側の電話番号を判別情報又は判
別情報の一部としてとして取得する。例えば判別情報自
体を電話番号とすることも考えられるし、識別情報と共
に判別情報を構成する対応情報を電話番号とすることも
考えられる。後者の場合、センタは、取得される識別番
号と電話番号との対応関係が記憶手段に予め記憶された
判別情報と一致するか否かを判断し、一致すればアクセ
ス情報を送信することになる。

【００３３】このようにすれば、別の場所、すなわち正
規の作業場所以外からセンタとの間に回線を接続した場
合、センタの取得する電話番号は、予め決められた電話
番号でなくなる。そのため、例えば識別情報と対応せ
ず、センタからアクセス情報を得ることはできない。つ
まり、この技術思想は、不正な書き換えが行われる場合
には書換装置が正規の設置場所にない、という事実に着
目したものである。このようにすれば、書換装置や書換
装置内の情報が盗まれた場合であっても、電子制御装置
の制御情報が不正に書き換えられることを確実に防止で
きる。

【００３４】ところで、電子制御装置にて書換装置が正
当でないと判断された場合に、電子制御装置が書換装置
からのアクセスを例えば１０分というような一定時間拒
否することによって、電子制御装置への不正なアクセス
が効果的に防止できることは上述した。センタと書換装
置との間にも、同様の手法を採用することが考えられ
る。

【００３５】すなわち請求項１１に示すように、センタ
は、正当性判断手段にて判別情報の不一致が所定回数判
断されると、書換装置からのアクセスを一定時間拒否す
るようにするとよい。ここでいう「所定回数」の意味す
るところは、既に述べた請求項７に記載の所定回数と同
様である。したがって説明は省略する。このようにすれ
ば、書換装置からセンタへの不正なアクセスは、連続し
て何度も行うことができなくなる。したがって、不正な
制御情報の書き換え防止に効果的である。

【００３６】なお、従来は、書換装置の有する記録媒体
に制御情報を書き換えるための変更データを記憶してい
た。本発明においても、変更データを書換装置に記憶す
る構成としてもよい。しかし、さらにセキュリティ面を
考慮するならば、センタが、さらに、制御情報の変更デ
ータを記憶する変更データ記憶手段を有する構成とする
ことが考えられる（請求項１２）。つまり、センタに変
更データを記憶しておけば、書換装置又は書換装置内部
の情報が盗まれた場合であっても、変更データが外部に
漏れる可能性がない。

【００３７】この変更データは、例えば利用者が書換装
置を介して手動にて読み出すことも考えられるが、セン
タが変更データを自動的に書換装置へ送信する構成とす
れば（請求項１３）、利用者にとって便利である。この
とき、センタは、電子制御装置にて書換装置が正当であ
ると判断された場合に、変更データ記憶手段に記憶され
た変更データを書換装置へ送信するようにするとよい
（請求項１４）。つまり、上記において書換装置が正
当であるとの判断がなされた後に、変更データを書換装
置へ送信するのである。例えば、電子制御装置が、書換
装置を正当なものであると判断すると、書き換えの許可
を示す情報を書換装置へ送信し、さらに、書換装置が、
この情報をセンタに送信することによって、センタが変
更データを送信するという具合である。もちろん、上記
において書換装置の正当性をセンタが判断した際に、
アクセス情報と共に変更データを書換装置へ送信するよ
うにしてもよい。しかし、上述したように電子制御装置
にて書換装置が正当であると判断された場合に変更デー
タを送信するようにすれば、すなわち、上記及びの
チェックが行われた後に変更データを送信するようにす
れば、さらにセキュリティ面で有利である。

【００３８】また、上述した変更データ記憶手段には、
複数の変更データが記憶されることが考えられる。例え
ば車両や電子制御装置毎に、変更データが異なるのが一
般的だからである。そこで、変更データを特定するため
のデータ特定情報が書換装置によって送信されることを
前提とし、センタは、このデータ特定情報に基づき、変
更データ記憶手段に記憶された変更データの中から該当
する変更データを選択して送信するようにしてもよい
（請求項１５）。

【００３９】このようにセンタに変更データを記憶して
おき、さらには、書換装置からのデータ特定情報に基づ
き、該当する変更データをセンタが決定するという構成
のみを採用しても、不正な書き換えを防止するという目
的が達成できる。したがって、このような構成を備える
センタの発明として実現することも考えられる（請求項
４８）。

【００４０】なお、データ特定情報は、例えば車両や電
子制御装置に対応する変更データを特定可能なものであ
るため、車載された電子制御装置によって書換装置へ送
信されるものとすることが考えられる（請求項１６）。
車両や電子制御装置毎に変更データが用意されることを
考えると、データ特定情報には、車両を特定するための
各車両に固有の車両情報又は電子制御装置を特定するた
めの電子制御装置に固有の装置情報の少なくともいずれ
か一方が含まれることが考えられる（請求項１８）。車
両情報としては、例えば各車両固有の車両ＶＩＮ（Vehi
cle ID Number）コードが挙げられる。また、セキュリ
ティ面を考慮するならば、電子制御装置によって書換装
置が正当であると判断された場合に、このデータ特定情
報が送信されるようにするとよい（請求項１７）。すな
わち、このデータ特定情報は変更データの送信に係る情
報であるため、変更データの送信タイミングと同様に、
上記及びのチェックが行われた後にするのが望まし
い。

【００４１】ところで、従来は、電子制御装置の制御情
報が過去に書き換えられているか否かを判断できない状
況が存在した。例えば制御プログラムが複数回バージョ
ンアップされているような場合、ある車両に対して同一
ユーザが同一の修理工場を利用する場合は、修理工場側
で記録を残すことなどで、車両の制御プログラムがどこ
までバージョンアップされたかを把握することができ
る。

【００４２】しかし、車両のユーザが途中で変わった場
合や別の修理工場へ車両の点検を依頼した場合などは、
制御プログラムのバージョンアップの履歴がないため、
既に制御プログラムの書き換えが行われているにもかか
わらず、再度制御プログラムの書き換えを行うというよ
うな無駄な制御情報の書き換えが行われる状況があっ
た。このような場合、無駄な作業時間を要するだけでな
く、例えば制御情報の記憶にＥＥＰＲＯＭを用いている
場合、書き換え可能回数が制限されるため、無駄な書き
換えによって必要な書き換えができなくなるおそれもあ
った。

【００４３】そこで、請求項１９に示すように、センタ
が、さらに、車両に係る制御情報の更新履歴を記憶する
更新履歴記憶手段を有する構成とすることが考えられ
る。これは各車両における制御情報の更新履歴をセンタ
にて一括管理しようという技術思想である。

【００４４】このような更新履歴記憶手段を有する構成
の下、車両に係る更新履歴を特定するための履歴特定情
報が書換装置によって送信されることを前提とすれば、
センタは、更新履歴記憶手段に記憶された更新履歴を参
照し、履歴特定情報に基づいて当該車両における制御情
報の書き換えの必要性を判断するようにもできる（請求
項２０）。

【００４５】そしてさらに、上述した変更データ記憶手
段を有する構成であれば、センタは、制御情報の書き換
えが必要であると判断すると、変更データ記憶手段に記
憶された変更データを書換装置へ送信する構成にするこ
とが考えられる（請求項２１）。逆に、制御情報の書き
換えが必要でないと判断すると、書き換えが必要でない
旨を示す情報を書換装置へ送信するようにしてもよい
（請求項２２）。

【００４６】この履歴特定情報は、各車両を、詳しくは
各車両に搭載された電子制御装置内の制御情報の更新履
歴を特定するものであるため、上述したデータ特定情報
と同様に、車載された電子制御装置によって書換装置へ
送信されるものとすることが考えられる（請求項２
３）。車両あるいは電子制御装置を特定する必要性を考
えると、データ特定情報と同様に、履歴特定情報には、
車両を特定するための各車両に固有の車両情報又は電子
制御装置を特定するための電子制御装置に固有の装置情
報の少なくともいずれか一方が含まれることが考えられ
る（請求項２５）。また、セキュリティ面を考慮するな
らば、電子制御装置によって書換装置が正当であると判
断された場合に、履歴特定情報が送信されるようにする
とよい（請求項２４）。つまり、この履歴特定情報も、
データ特定情報と同様、変更データの送信に係る情報で
あるため、上記及びのチェックが行われた後に送信
するのが望ましいのである。

【００４７】このようにすれば、センタによって制御情
報の更新履歴が管理されるため、無駄な制御情報の書き
換えが行われない。その結果、無駄な作業時間がなくな
り、また、無駄な書き換えによって必要な書き換えがで
きなくなることもなくなる。なお、更新履歴は、例えば
作業者が制御情報の書き換え完了後にマニュアル操作で
更新してもよいが、請求項２６に示すように自動的に更
新されるようにすると便利である。

【００４８】すなわち、センタは、電子制御装置にて制
御情報の書き換えが完了すると、更新履歴記憶手段に記
憶された、当該電子制御装置が搭載された車両に対する
更新履歴を更新するようにするとよい。具体的には、電
子制御装置が制御情報の書き換え完了を示す情報を書換
装置に送信し、書換装置がさらにこの情報をセンタへ送
信する。つまり、センタは、電子制御装置にて制御情報
の書き換えが完了したか否かを、書換装置からの情報に
基づいて判断することが考えられる（請求項２７）。こ
のようにすれば、書き換えの終了時に更新履歴が自動的
に更新されるため、作業者にとって便利である。

【００４９】ところで、センタが書換装置の正当性を判
断してアクセス情報を送信した後に、その書込装置から
アクセス情報が盗まれる可能性も考えられる。したがっ
て、請求項２８に示すように、書換装置は、電子制御装
置にて制御情報の書き換えが完了すると、所定のアクセ
ス情報を抹消するのが望ましい。具体的には、電子制御
装置が制御情報の書き換えが完了したことを示す情報を
書換装置へ送信し、この情報に基づき、書換装置がアク
セス情報を抹消するという具合である。このようにすれ
ば、書き換えの終了時にアクセス情報が速やかに抹消さ
れるため、送信されたアクセス情報が書換装置から盗ま
れる可能性を低減させることができる。

【００５０】また、上記において書換装置がセンタか
らアクセス情報を取得した後、センタと書換装置との間
のデータ通信を一時的に終了することが考えられる。た
だし、書換装置に送信されたアクセス情報が盗まれ、別
の書換装置を用い、このアクセス情報を使用して電子制
御装置がアクセスされる可能性がある。

【００５１】したがって、請求項２９に示すように、書
換装置は、センタとの間でデータ通信可能状態が確立さ
れた後、電子制御装置にて制御情報の書き換えが完了す
る前にセンタとの間のデータ通信が不能となった場合、
制御情報の書き換えを中止するようにすることが考えら
れる。

【００５２】この場合、書換装置の正当性判断を含む一
連の書き換え処理が終了するまではセンタと書換装置が
データ通信可能状態となっていることを書き換えの条件
とするのである。これによって、盗んだアクセス情報を
用いて別の書換装置から電子制御装置をアクセスするこ
とができないため、制御情報が不正な書き換えを確実に
防止できる。

【００５３】以上は、制御情報書換システムの発明とし
て説明した。これに対して、上述したような制御情報書
換システムに用いられて有効な、センタの発明として、
また、電子制御装置の発明として、さらには、書換装置
の発明として実現することもできる。

【００５４】これらセンタ、電子制御装置、書換装置の
発明として実現する場合も、制御情報書換システムの備
えるセンタ、電子制御装置及び書換装置と同様の構成を
採用できることは言うまでもない。そして、各構成を採
用した場合の、センタ、電子制御装置、書換装置の発明
が発揮する効果の説明は、制御情報書換システムの発明
が発揮する効果として上述したものと同様になるため、
割愛する。

【００５５】

【発明の実施の形態】以下、本発明を具体化した一実施
例を図面を参照して説明する。図１は、実施例の制御情
報書換システム１の概略構成を示すブロック図である。
車両１０には、４台のＥＣＵ１１，１２，１３，１４が
搭載されており、各ＥＣＵ１１〜１４はネットワーク回
線１５で結ばれている。ＥＣＵ１１〜１４は、不揮発性
メモリとしてのＥＥＰＲＯＭ（不図示）を有しており、
書換装置２０が接続されていない通常時には、このＥＥ
ＰＲＯＭに記憶された制御情報（制御プログラム及び制
御データ）に基づき、ネットワーク回線１５を介したＥ
ＣＵ１１〜１４間通信を行って、エンジン等それぞれの
制御対象を制御する。

【００５６】そして、ＥＣＵ１１〜１４の有するＥＥＰ
ＲＯＭに記憶された制御情報を書き換えるためのシステ
ムが、本制御情報書換システム１である。図１では、書
換装置２０が車両ダイアグコネクタ１６を介して各ＥＣ
Ｕ１１〜１４と接続された様子が示されている。車両ダ
イアグコネクタ１６は、書換装置２０と各ＥＣＵ１１〜
１４とのネットワーク回線１５を介したデータ通信を可
能にするため、車両１０に用意されたコネクタである。
なお、車両１０及び書換装置２０は、修理工場などの作
業現場に設置されている。

【００５７】また、本実施例の制御情報書換システム１
では、書換装置２０が電話回線網４０を介してセンタ３
０とデータ通信できるようになっている。センタ３０
は、いわゆるサーバとして作業現場とは別の場所に設置
される。そして、このセンタ３０の記憶装置（不図示）
には、ＥＣＵ１１〜１４を書換装置２０がアクセスする
ためのアクセス情報、制御情報を書き換える変更デー
タ、書換装置２０の正当性を判断するためのデータベー
ス、及び、各車両１０の制御情報の更新履歴のデータベ
ースが記憶されている。したがって、この記憶装置が
「記憶手段」、「変更データ記憶手段」及び「更新履歴
記憶手段」に相当する。

【００５８】書換装置２０とセンタ３０とは、書換装置
２０がセンタ３０を発呼することによって、書換装置２
０とセンタ３０との間で所定の通信処理が行われてデー
タ通信が可能な状態となる。なお、図１には、センタ３
０が１台の書換装置２０と接続されていることを示した
が、センタ３０に対しては、例えば別の作業現場の書換
装置が並行して接続されることも考えられる。

【００５９】次に、本制御情報書換システム１の動作の
概要を図２に基づき説明する。図２では、本制御情報書
換システム１の動作をＢ１〜Ｂ１８の符号を付したブロ
ック単位で示した。詳しくは、各ＥＣＵ１１〜１４にお
ける処理を、ＥＣＵ側処理として図２中の左側の列に、
Ｂ５，Ｂ６，Ｂ９，Ｂ１０，Ｂ１５，Ｂ１６と示した。
また、書換装置２０における処理を、書換装置側処理と
して中央の列に、Ｂ１，Ｂ４，Ｂ７，Ｂ８，Ｂ１１，Ｂ
１４，Ｂ１７と示した。さらに、センタ３０における処
理を、センタ側処理として右側の列に、Ｂ２，Ｂ３，Ｂ
１２，Ｂ１３，Ｂ１８と示した。これらの処理は、Ｂ１
→Ｂ２→Ｂ３→・・・→Ｂ１８という順序で実行され
る。

【００６０】最初に書換装置２０がセンタ３０を発呼
し、書換装置２０とセンタ３０との間にデータ通信可能
状態が確立されると、書換装置２０は、通信開始要求と
共に書換装置２０自体を識別させるための「識別情報」
としてのＩＤ情報をセンタ３０へ送信する（Ｂ１）。こ
れに対し、センタ３０は、書換装置２０からのＩＤ情報
を受信すると共に、発呼元の電話番号、すなわち、書換
装置２０側の電話番号を取得する（Ｂ２）。この電話番
号が「対応情報」に相当する。

【００６１】センタ３０は、書換装置２０のＩＤ情報と
書換装置２０に割り当てられた電話番号とを対応させた
データベースを有している。したがって、センタ３０は
次に、受信したＩＤ情報と取得した電話番号との対応関
係をデータベースにある対応関係と照合する（Ｂ２）。
ここで一致していれば、第１許可信号及び関数ｆを書換
装置２０へ送信する（Ｂ３）。

【００６２】書換装置２０は、ＥＣＵ１１〜１４の中か
ら書き換え対象とするＥＣＵを選択し、そのＥＣＵへ書
換要求を送信する（Ｂ４）。ここではＥＣＵ１１が書き
換え対象のＥＣＵとして選択されたものとして以下の説
明を続ける。選択されたＥＣＵ１１は、乱数ｒを発生し
（Ｂ５）、この乱数ｒを書換装置２０へ送信する（Ｂ
６）。

【００６３】書換装置２０は、上記Ｂ３にてセンタから
送信された関数ｆを用い、ＥＣＵ１１からの乱数ｒに対
して関数値ｆ（ｒ）を算出する（Ｂ７）。そして、その
算出した関数値ｆ（ｒ）をＥＣＵ１１へ再度送信する
（Ｂ８）。一方、ＥＣＵ１１には関数Ｆが予め記憶され
ており、書換装置２０から送信される関数値ｆ（ｒ）に
対し、関数値Ｆ（ｆ（ｒ））を算出する（Ｂ９）。続い
て、算出したＦ（ｆ（ｒ））が乱数ｒに等しければ、す
なわちｆ＝Ｆ^-1であれば、書き換えを許可する第２許可
信号を送信すると共に、車両ＶＩＮコードを送信する
（Ｂ１０）。車両ＶＩＮコードは、車両毎にユニークに
付された番号であり、これが上述の「データ特定情報」
及び「履歴特定情報」に相当する。

【００６４】書換装置２０は、ＥＣＵ１１からの第２許
可信号及び車両ＶＩＮコードを受信し、これらの情報を
さらに、センタ３０へ送信する（Ｂ１１）。センタ３０
は、各車両それぞれの制御情報の更新履歴をデータベー
スとして有している。したがって、書換装置２０からの
車両ＶＩＮコードに基づき、車両１０の判別を行い、更
新履歴のデータベースを参照して、制御情報の書き換え
必要性を判断する（Ｂ１２）。ここで車両１０に対する
制御情報の書き換えが必要であると判断すると、変更デ
ータを書換装置２０へ送信する（Ｂ１３）。

【００６５】書換装置２０は、センタ３０からの変更デ
ータを受信し、この変更データをＥＣＵ１１へ送信する
（Ｂ１４）。ＥＣＵ１１は、書換装置２０からの変更デ
ータに基づき、制御情報の書き換えを行う（Ｂ１５）。
そして、制御情報の書き換えが正常に終了すれば、正常
終了を書換装置２０へ通知する（Ｂ１６）。

【００６６】書換装置２０は、ＥＣＵ１１から正常終了
が通知されると、上記Ｂ３にてセンタ３０から送信され
た関数ｆを抹消する（Ｂ１７）。また、センタ３０に正
常終了を通知する。これによって、センタ３０は、更新
履歴のデータベースを更新する（Ｂ１８）。

【００６７】以上のようにして一連の書き換え処理が完
了する。次に、上述したＥＣＵ側処理、書換装置側処
理、及びセンタ側処理の詳細を順に説明する。なお、各
処理の説明にあたって適宜図２を参照する。最初に図３
及び図４のフローチャートに基づき、各ＥＣＵ１１〜１
４にて実行されるＥＣＵ側処理を説明する。なお、この
ＥＣＵ側処理は、車両１０に車両ダイアグコネクタ１６
を介して書換装置２０が接続された状態において、例え
ば０．２秒というような所定時間間隔で実行されるもの
である。

【００６８】まずステップＳ３００において、書換装置
２０からの書換要求があったか否かを判断する。ここで
書換要求があったと判断された場合（Ｓ３００：ＹＥ
Ｓ）、Ｓ３１０へ移行する。一方、書換要求がなかった
と判断された場合（Ｓ３００：ＮＯ）、以降の処理を実
行せずに、本ＥＣＵ側処理を終了する。

【００６９】Ｓ３１０では、アクセス拒否タイマが
「０」か否かを判断する。アクセス拒否タイマは、後述
するように書換装置２０が「正当でない」と所定回数連
続して判断された場合に設定されるものである。ここで
アクセス拒否タイマが「０」でないと判断された場合
（Ｓ３１０：ＮＯ）、Ｓ３２０にてタイマをデクリメン
トし、さらに変数Ｃ１に「０」を代入して、本ＥＣＵ側
処理を終了する。変数Ｃ１は、書換装置が正当でないと
連続して判断された回数を計数するものである。一方、
アクセス拒否タイマが「０」であると判断された場合
（Ｓ３１０：ＹＥＳ）、Ｓ３３０へ移行する。

【００７０】Ｓ３３０では、変数Ｃ１が「２」以下であ
るか否かを判断する。ここでＣ１＞２である場合（Ｓ３
３０：ＮＯ）、Ｓ３４０にてアクセス拒否タイマをセッ
トし、本ＥＣＵ側処理を終了する。本実施例では、１０
分がセットされる。一方、Ｃ１≦２である場合（Ｓ３３
０：ＹＥＳ）、Ｓ３５０へ移行する。

【００７１】Ｓ３５０では、乱数ｒを発生し、書換装置
２０へ送信する。この処理は、図２中のＢ５及びＢ６の
処理に相当する。これに対し、図２中のＢ８に示したよ
うに、書換装置２０から関数値ｆ（ｒ）が送信される。
したがって、続くＳ３６０では、関数値ｆ（ｒ）の送信
があったか否かを判断する。ここで関数値ｆ（ｒ）の送
信があった場合（Ｓ３６０：ＹＥＳ）、Ｓ３７０へ移行
する。一方、関数値ｆ（ｒ）の送信がないうちは（Ｓ３
６０：ＮＯ）、この判断処理を繰り返す。

【００７２】Ｓ３７０では、書換装置２０から送信され
る関数値ｆ（ｒ）に対し、関数値Ｆ（ｆ（ｒ））を算出
する。この処理は、図２中のＢ９の処理に相当する。続
く図４のＳ３８０では、算出した関数値Ｆ（ｆ（ｒ））
が乱数ｒに等しいか否かを判断する。ここでＦ（ｆ
（ｒ））＝ｒである場合（Ｓ３８０：ＹＥＳ）、Ｓ３９
０にて第２許可信号及び車両ＶＩＮコードを送信し、Ｓ
４２０へ移行する。このＳ３８０及びＳ３９０の処理が
図２中のＢ１０の処理に相当する。一方、Ｆ（ｆ
（ｒ））≠ｒである場合（Ｓ３８０：ＮＯ）、書き換え
を許可しない旨をＳ４００にて書換装置２０に通知し、
Ｓ４１０にて変数Ｃ１をインクリメントして、本ＥＣＵ
側処理を終了する。このようにして書換装置２０の正当
性が判断され、正当でないと判断した場合（Ｓ３８０：
ＮＯ）変数Ｃ１がインクリメントされ（Ｓ４１０）、上
述したようにＣ１＞２でタイマがセットされる（図３中
のＳ３４０）。したがって、本実施例では、Ｃ１が
「０」→「１」→「２」という具合に、３回連続して書
換装置２０が正当でないと判断されると、アクセス拒否
がなされることになる。

【００７３】上述したように、センタ３０にて車両ＶＩ
Ｎコードに基づく制御情報の書き換えの必要性判断がな
され、書き換えが必要があればセンタ３０から書換装置
２０を経由して変更データが送信される。一方、書き換
えが必要でなければ、すなわち、既に制御情報の書き換
えがなされている場合には、書き換え済みであることを
示す情報がセンタ３０から書換装置２０を経由して送信
される。

【００７４】そのため、Ｓ４２０では、書換装置２０か
らのデータ送信があったか否かを判断する。ここでデー
タ送信があったと判断された場合（Ｓ４２０：ＹＥ
Ｓ）、Ｓ４３０へ移行する。一方、データ送信がないう
ちは（Ｓ４２０：ＮＯ）、この判断処理を繰り返す。

【００７５】そして、Ｓ４３０では、書換装置２０から
送信されたデータが変更データか否かを判断する。ここ
で変更データであると判断された場合（Ｓ４３０：ＹＥ
Ｓ）、Ｓ４４０へ移行する。一方、変更データでないと
判断された場合（Ｓ４３０：ＮＯ）、すなわち、書き換
え済みを示す情報が送信された場合には、以降の処理を
実行せず、本ＥＣＵ側処理を終了する。

【００７６】Ｓ４４０では、送信された変更データに基
づき、制御情報の書き換えを行う。続くＳ４５０では、
書き換え後の制御情報のチェックサムを計算する。これ
は、正常に制御情報が書き換えられたか否かを判断する
ためである。そして、次のＳ４６０では、Ｓ４５０にて
計算したチェックサムに基づき、制御情報の書き換えが
正常に終了したか否かを判断する。ここで正常に終了し
たと判断された場合（Ｓ４６０：ＹＥＳ）、Ｓ４７０に
て書換装置２０へ正常終了を通知し、その後、本ＥＣＵ
処理を終了する。一方、正常に終了したと判断されなか
った場合（Ｓ４６０：ＮＯ）、Ｓ４８０にて書換装置２
０へ変更データの再送信を要求し、Ｓ４２０からの処理
を繰り返す。

【００７７】続いて図５及び図６のフローチャートに基
づき、書換装置２０にて実行される書換装置側処理を説
明する。なお、この書換装置側処理は、書換装置２０と
センタ３０との間にデータ通信可能状態が確立された
後、作業者による所定の操作をトリガとして実行される
ものである。

【００７８】まず最初のステップＳ５００において、セ
ンタ３０に対し、通信開始を要求すると共に予め記憶さ
れているＩＤ情報を送信する。この処理は、図２中のＢ
１の処理に相当する。センタ３０は、書換装置２０が正
当なものであると判断すると、第１許可信号及び関数ｆ
を送信してくる。

【００７９】したがって、続くＳ５１０では、センタ３
０からの応答があったか否かを判断する。ここでセンタ
３０からの応答があったと判断された場合（Ｓ５１０：
ＹＥＳ）、Ｓ５２０へ移行する。一方、センタ３０から
の応答がないうちは（Ｓ５１０：ＮＯ）、この判断処理
を繰り返す。

【００８０】Ｓ５２０では、センタ３０の応答が不許可
の通知か否かを判断する。ここで不許可の通知であると
判断された場合（Ｓ５２０：ＹＥＳ）、センタ３０への
アクセスに失敗した旨をＳ５３０にてディスプレイなど
の表示装置に表示し、その後、Ｓ５００からの処理を繰
り返す。一方、不許可の通知でない場合（Ｓ５２０：Ｎ
Ｏ）、すなわち第１許可信号及び関数ｆが送信されてき
た場合には、Ｓ５４０へ移行する。

【００８１】Ｓ５４０では、車両１０に搭載された４台
のＥＣＵ１１〜１４のいずれかを選択するためのＥＣＵ
コードの入力を作業者に要求する。続くＳ５５０では、
ＥＣＵコードの入力があったか否かを判断する。ここで
ＥＣＵコードの入力があったと判断された場合（Ｓ５５
０：ＹＥＳ）、Ｓ５６０へ移行する。一方、ＥＣＵコー
ドの入力がないうちは（Ｓ５５０：ＮＯ）、Ｓ５４０か
らの処理を繰り返す。なお、ＥＣＵ１１のＥＣＵコード
が入力されたものとして以下の説明を続ける。

【００８２】Ｓ５６０では、書換要求及びＥＣＵコード
を送信する。この処理は、図２中のＢ４の処理に相当す
る。これによって、入力されたＥＣＵコードに対応する
ＥＣＵ１１が乱数ｒを発生し、その乱数ｒを送信してく
る（図３中のＳ３５０）。したがって、続くＳ５７０で
は、乱数ｒが送信されたか否かを判断する。ここで乱数
ｒが送信されたと判断された場合（Ｓ５７０：ＹＥ
Ｓ）、Ｓ５８０へ移行する。一方、乱数ｒが送信されな
いうちは（Ｓ５７０：ＮＯ）、この判断処理を繰り返
す。

【００８３】Ｓ５８０では、Ｓ５１０にてセンタ３０か
ら送信された関数ｆを用い、乱数ｒに対する関数値ｆ
（ｒ）を算出する。そして次のＳ５９０にて、関数値ｆ
（ｒ）をＥＣＵ１１へ送信する。図２中のＢ７及びＢ８
の処理に相当する。これに対して、ＥＣＵ１１では、図
３中のＳ３６０にて肯定判断され、関数値Ｆ（ｆ
（ｒ））が算出される（Ｓ３７０）。そして、Ｓ３８０
の判断に基づき、第２許可信号の送信又は書き換えを許
可しない旨の通知を行う（Ｓ３９０，Ｓ４００）。

【００８４】したがって、続く図６中のＳ６００では、
ＥＣＵ１１の応答があったか否かを判断する。ここでＥ
ＣＵ１１の応答があったと判断された場合（Ｓ６００：
ＹＥＳ）、Ｓ６１０へ移行する。一方、ＥＣＵ１１から
の応答がないうちは（Ｓ６００：ＮＯ）、この判断処理
を繰り返す。

【００８５】Ｓ６１０では、ＥＣＵ１１から第２許可信
号が送信されたか否かを判断する。ここで第２許可信号
が送信されたと判断された場合（Ｓ６１０：ＹＥＳ）、
Ｓ６２０にて第２許可信号及びその第２許可信号と共に
送信される車両ＶＩＮコードをセンタ３０へ送信し、そ
の後、Ｓ６４０へ移行する。この処理が図２中のＢ１１
の処理に相当する。一方、第２許可信号が送信されなか
った場合（Ｓ６１０：ＮＯ）、すなわち、ＥＣＵ１１か
ら書き換えを許可しない旨が通知された場合には、Ｓ６
３０にてセンタ３０に対し不許可となった旨を通知し、
その後、図５中のＳ５３０へ移行する。

【００８６】Ｓ６２０にてセンタ３０に対し第２許可信
号及び車両ＶＩＮコードを送信すると、上述したように
センタ３０は、書き換えの必要性を判断して、書き換え
の必要があれば変更データを送信し、一方、書き換えの
必要がなければ書き換え済みを示す情報を送信する。

【００８７】したがって、Ｓ６４０では、センタ３０の
応答があったか否かを判断する。ここでセンタ３０の応
答があったと判断された場合（Ｓ６４０：ＹＥＳ）、Ｓ
６５０へ移行する。一方、センタ３０の応答がないうち
は（Ｓ６４０：ＮＯ）、この判断処理を繰り返す。

【００８８】Ｓ６５０では、センタ３０から送信された
データが変更データであるか否かを判断する。ここで変
更データであった場合（Ｓ６５０：ＹＥＳ）、Ｓ６８０
へ移行する。一方、変更データでない場合（Ｓ６５０：
ＮＯ）、すなわち書き換え済みを示す情報がセンタ３０
から送信された場合には、関数ｆを抹消して書き換えの
必要がない旨を表示し（Ｓ６６０）、書き換え済みを示
す情報をＥＣＵ１１へ送信して（Ｓ６７０）、その後、
本書換装置側処理を終了する。

【００８９】Ｓ６８０では、センタ３０から送信された
変更データをＥＣＵ１１へ送信する。この処理は、図２
中のＢ１４の処理に相当する。これによって、ＥＣＵ１
１では制御情報の書き換えが行われ（図４中のＳ４３
０：ＹＥＳ，Ｓ４４０）、ＥＣＵ１１から正常終了の通
知又は再送信要求がなされる（Ｓ４７０，４８０）。

【００９０】そこで、次のＳ６９０では、ＥＣＵ１１か
ら正常終了の通知があったか否かを判断する。ここで正
常終了の通知があったと判断された場合（Ｓ６９０：Ｙ
ＥＳ）、関数ｆを抹消すると共にセンタ３０へ正常終了
を通知して（Ｓ７００）、その後、本書換装置側処理を
終了する。一方、正常終了の通知がなされない場合（Ｓ
６９０：ＮＯ）、すなわち変更データの再送信要求がな
された場合には、センタ３０へ異常終了を通知し（Ｓ７
１０）、本書換装置側処理を終了する。

【００９１】さらに続けて、図７及び図８のフローチャ
ートに基づき、センタ３０にて実行されるセンタ側処理
を説明する。なお、このセンタ側処理は、書換装置２０
とセンタ３０との間にデータ通信可能状態が確立されて
いる状態において、例えば０．２秒というような所定時
間間隔で実行されるものである。

【００９２】まず最初のステップＳ８００において、ア
クセス拒否タイマが「０」か否かを判断する。アクセス
拒否タイマは、後述するようにセンタ３０によって書換
装置２０が「正当でない」と所定回数連続して判断され
た場合に設定されるものである。ここでアクセス拒否タ
イマが「０」でないと判断された場合（Ｓ８００：Ｎ
Ｏ）、Ｓ８１０にてタイマをデクリメントし、さらに変
数Ｃ２に「０」を代入して、本センタ側処理を終了す
る。変数Ｃ２は、センタ３０にて書換装置２０が正当で
ないと連続して判断された回数を計数するものである。
一方、アクセス拒否タイマが「０」であると判断された
場合（Ｓ８００：ＹＥＳ）、Ｓ８２０へ移行する。

【００９３】Ｓ８２０では、変数Ｃ２が「２」以下であ
るか否かを判断する。ここでＣ２＞２である場合（Ｓ８
２０：ＮＯ）、Ｓ８３０にてアクセス拒否タイマをセッ
トし、その後、本センタ側処理を終了する。一方、Ｃ２
≦２である場合（Ｓ８２０：ＹＥＳ）、Ｓ８４０へ移行
する。

【００９４】Ｓ８４０では、通信開始要求があったか否
かを判断する。この処理は、図５中のＳ５００の処理に
対するものである。ここで通信開始要求があったと判断
された場合（Ｓ８４０：ＹＥＳ）、Ｓ８５０へ移行す
る。一方、通信開始要求がないうちは（Ｓ８４０：Ｎ
Ｏ）、この判断処理を繰り返す。

【００９５】Ｓ８５０では、書換装置２０から送信され
るＩＤ情報を受信し、発呼元の電話番号を取得する。続
くＳ８６０では、受信したＩＤ情報と取得した電話番号
との対応関係を、データベースに予め記憶された書換装
置２０のＩＤ情報と電話番号との対応関係と照合する。
これらＳ８５０及びＳ８６０の処理が、図２中のＢ２に
示した処理に相当する。

【００９６】そして、次のＳ８７０では、照合結果に基
づき、対応関係が一致したか否かを判断する。ここで一
致したと判断された場合（Ｓ８７０：ＹＥＳ）、Ｓ８９
０にて第１許可信号及び関数ｆを送信し、その後、Ｓ９
００へ移行する。この処理が、図２中のＢ３の処理に相
当する。一方、一致していないと判断された場合（Ｓ８
７０：ＮＯ）、書き換えを許可しない旨を書換装置２０
へ通知すると共に、変数Ｃ２をインクリメントし（Ｓ８
８０）、その後、Ｓ８００からの処理を繰り返す。

【００９７】なお、ここで説明したＳ８５０〜Ｓ８９０
までの処理が「正当性判断手段」としての処理に相当す
る。したがって、これらの処理を実行するセンタ３０の
ＣＰＵが「正当性判断手段」に相当する。第１許可信号
及び関数ｆを送信した場合、書換装置２０は、第２許可
信号及び車両ＶＩＮコードを送信してくるか（図６中の
Ｓ６２０）、あるいは書き換えの不許可を通知してくる
（Ｓ６３０）。

【００９８】そこで、Ｓ９００では、書換装置２０の応
答があったか否かを判断する。ここで書換装置２０の応
答があったと判断された場合（Ｓ９００：ＹＥＳ）、図
８中のＳ９１０へ移行する。一方、書換装置２０の応答
がないうちは（Ｓ９００：ＮＯ）、この判断処理を繰り
返す。

【００９９】Ｓ９１０では、その応答が不許可の通知か
否かを判断する。ここで不許可の通知であった場合（Ｓ
９１０：ＹＥＳ）、図７中のＳ８００へ移行する。一
方、不許可の通知でない場合（Ｓ９１０：ＮＯ）、すな
わち第２許可信号及び車両ＶＩＮコードが送信された場
合には、Ｓ９２０へ移行する。

【０１００】Ｓ９２０では、送信された車両ＶＩＮコー
ドに基づき車両の判別を行い、更新履歴のデータベース
を参照する。そして、次のＳ９３０では、参照結果に基
づき、制御情報を書き換える必要があるか否かを判断す
る。これらＳ９２０及びＳ９３０の処理が図２中のＢ１
２の処理に相当する。ここで書き換えの必要があると判
断された場合（Ｓ９３０：ＹＥＳ）、Ｓ９５０へ移行す
る。一方、書き換えの必要がないと判断された場合（Ｓ
９３０：ＮＯ）、Ｓ９４０にて書き換え済みを示す情報
を送信し、その後、本センタ側処理を終了する。

【０１０１】Ｓ９５０では、変更データを検索して読み
出し、読み出した変更データを書換装置２０へ送信す
る。この処理が、図２中のＢ１３の処理に相当する。そ
の後、書換装置２０からは、上述したように正常終了の
通知（図６中のＳ７００）あるいは異常終了の通知（Ｓ
７１０）がなされる。

【０１０２】したがって、Ｓ９６０では、書換装置２０
からの終了通知があったか否かを判断する。ここで終了
通知があったと判断された場合（Ｓ９６０：ＹＥＳ）、
Ｓ９７０へ移行する。一方、終了通知がないうちは（Ｓ
９６０：ＮＯ）、この判断処理を繰り返す。

【０１０３】Ｓ９７０では、終了通知が正常終了の通知
か否かを判断する。ここで正常終了の通知であると判断
された場合（Ｓ９７０：ＹＥＳ）、Ｓ９８０にて更新履
歴のデータベースを更新し、その後、本センタ側処理を
終了する。一方、正常終了の通知でないと判断された場
合（Ｓ９７０：ＮＯ）、すなわち異常終了の通知であっ
た場合には、Ｓ９５０からの処理を繰り返す。

【０１０４】次に、本実施例の制御情報書換システム１
の発揮する効果を説明する。なお、ここでの説明に対す
る理解を容易にするため、最初に従来の問題点を簡単に
説明する。従来は図９に示したように、書換装置２００
の正当性を、ＥＣＵ１０１〜１０４のみで判断してい
た。そして、この判断は、書換装置２００に予め記憶さ
れたアクセス情報としての関数ｆに基づく通信開始処理
（図１０中のｂ１〜ｂ７）によって行われる。そのた
め、書換装置２００又は書換装置２００内部の情報が盗
まれた場合、アクセス情報が盗まれるため、不正な制御
情報の書き換えを防止することができなかった。

【０１０５】これに対して、本実施例の制御情報書換シ
ステム１では、センタ３０にアクセス情報としての関数
ｆを記憶しておき、センタ３０が書換装置２０を正当な
ものとして判断してはじめて、センタ３０から書換装置
２０へ関数ｆが送信される（図２中のＢ２，Ｂ３）。し
たがって、書換装置２０又は書換装置２０内部の情報が
盗まれた場合であっても、書換装置２０にはＥＣＵ１１
〜１４へのアクセス情報が記憶されていないため、セン
タ３０からアクセス情報を得ることができなければ、Ｅ
ＣＵ１１〜１４の制御情報を書き換えることはできな
い。

【０１０６】また、センタ３０は、書換装置２０にユニ
ークに割り振られたＩＤ情報と電話回線を介してデータ
通信を行う際の書換装置２０側の電話番号とを対応させ
て記憶したデータベースを有している。そして、書換装
置２０からＩＤ情報を取得すると共に発呼元の電話番号
を取得する（図７中のＳ８５０）。このＩＤと電話番号
との対応関係がデータベースに記憶された対応関係と一
致している場合に（Ｓ８６０，Ｓ８７０：ＹＥＳ）、セ
ンタ３０は書換装置２０が正当なものであると判断し、
アクセス情報である関数ｆを送信する（Ｓ８９０）。例
えば正規の作業場所以外からセンタ３０との間に回線を
接続した場合、センタ３０の取得する電話番号は予め決
められた電話番号でなくなる。そのため、ＩＤ情報と対
応せず、センタ３０からアクセス情報を得ることはでき
ない。結果として、ＥＣＵ１１〜１４の制御情報を書き
換えることはできない。

【０１０７】さらに、ＩＤ情報と電話番号との対応関係
にて書換装置２０の正当性を判断するため、複数の書換
装置２０がある場合に、書換装置２０毎に、その正当性
を判断できる。以上のように、本実施例の制御情報書換
システム１によれば、書換装置２０又は書換装置２０内
部の情報が盗まれた場合であっても、ＥＣＵ１１〜１４
の制御情報が不正に書き換えられることを確実に防止で
きる。

【０１０８】そして、本実施例の制御情報書換システム
１では、センタ３０が最初に書換装置２０の正当性を判
断し、続いてＥＣＵ１１〜１４が書換装置２０の正当性
を判断する。これら２段階のチェックのいずれにおいて
も、書換装置２０が「正当でない」と連続して３回判断
された場合、１０分間のアクセス拒否を行うようにし
た。

【０１０９】すなわち、ＥＣＵ１１〜１４では、書換装
置２０を正当でないと判断すると（図４中のＳ３８０：
ＮＯ）変数Ｃ１をインクリメントし（Ｓ４１０）、変数
Ｃ１が「２」よりも大きくなると（図３中のＳ３３０：
ＮＯ）、すなわち３回連続して「正当でない」との判断
がなされると、アクセス拒否タイマを設定する（Ｓ３４
０）。これによって、タイマが「０」となるまで書換装
置２０のアクセスを拒否する（Ｓ３１０：ＮＯ）。

【０１１０】一方、センタ３０でも同様に、書換装置２
０を正当でないと判断すると（図７中のＳ８７０：Ｎ
Ｏ）、変数Ｃ２をインクリメントしていき（Ｓ８８
０）、変数Ｃ２が「２」よりも大きくなると（Ｓ８２
０：ＮＯ）、すなわち３回連続して「正当でない」との
判断がなされると、アクセス拒否タイマを設定する（Ｓ
８３０）。これによって、タイマが「０」となるまで書
換装置２０のアクセスを拒否する（Ｓ８００：ＮＯ）。

【０１１１】その結果、不正な情報を用いてセンタ３０
やＥＣＵ１１〜１４を書換装置２０からアクセスしよう
としても、連続して何度もアクセスすることができない
ため、本実施例では３回続けて不正なアクセスを行えば
１０分間アクセスができなくなるため、制御情報の書き
換え防止に有効である。

【０１１２】また、本実施例の制御情報書換システム１
では、センタ３０が制御情報の変更データを記憶してい
る。すなわち、従来のように書換装置２０に変更データ
を記憶しておかないため、書換装置２０又は書換装置２
０内部の情報が盗まれた場合であっても、変更データが
外部に漏れる可能性がない。

【０１１３】そして、センタ３０は、ＥＣＵ１１〜１４
からの第２許可信号が送信されてきたことを一つの条件
として（Ｓ９１０：ＮＯ）変更データを送信する（Ｓ９
５０）。すなわち、ＥＣＵ１１〜１４にて書換装置２０
が正当であると判断されたことを条件として変更データ
を送信する。したがって、変更データが外部に漏れる可
能性をさらに低減させている。

【０１１４】さらに、ＥＣＵ１１〜１４は、書換装置２
０を正当であると判断すると（図４中のＳ３８０：ＹＥ
Ｓ）、上述した第２許可信号に加え、車両１０を特定可
能な車両ＶＩＮコードを送信する（Ｓ３９０）。センタ
３０は、各車両１０のＥＣＵ１１〜１４に記憶された制
御情報更新履歴のデータベースを有しており、上述した
ＥＣＵ１１〜１４からの車両ＶＩＮコードに基づき、車
両１０を判別しこのデータベースを参照して（図８中の
Ｓ９２０）制御情報の書き換えの必要性を判断する（Ｓ
９３０）。そして、書き換えの必要がある場合に（Ｓ９
３０：ＹＥＳ）変更データを送信する（Ｓ９５０）。

【０１１５】従来は、過去にＥＣＵ１１〜１４の制御情
報が書き換えられているか否かを判断できない状況があ
った。そのため、制御情報のバージョンアップの履歴が
ない場合には、既に制御情報の書き換えが行われている
にもかかわらず、再度制御情報の書き換えを行うという
ような無駄な制御情報の書き換えが行われていた。この
ような場合、無駄な作業時間を要するだけでなく、例え
ば制御情報の記憶にＥＥＰＲＯＭを用いている場合、書
き換え可能回数が制限されるため、無駄な書き換えによ
って必要な書き換えができなくなるおそれもあった。

【０１１６】これに対して、本実施例では、上述したよ
うにセンタ３０が各車両１０の制御情報の更新履歴を管
理するため、無駄な制御情報の書き換えが行われない。
その結果、無駄な作業時間がなくなり、また、無駄な書
き換えによって必要な書き換えができなくなることもな
くなる。

【０１１７】さらにまた、本実施例の制御情報書換シス
テム１のセンタ３０では、ＥＣＵ１１〜１４から書換装
置２０を経由して書き換えの正常終了が通知されると
（図８中のＳ９７０：ＹＥＳ）、自動的に制御情報の更
新履歴のデータベースを更新する（Ｓ９８０）。したが
って、作業者がマニュアル操作でデータベースを更新す
る必要がなく便利である。

【０１１８】また、本実施例の制御情報書換システム１
の書換装置２０では、アクセス情報としての関数ｆが必
要なくなると（図６中のＳ６５０：ＮＯ，Ｓ６９０：Ｙ
ＥＳ）、速やかにそのアクセス情報である関数ｆを抹消
する（Ｓ６６０，Ｓ７００）。そのため、センタ３０か
ら書換装置２０へ送信されたアクセス情報としての関数
ｆが書換装置２０から盗まれる可能性を低減させること
ができる。

【０１１９】以上、本発明はこのような実施例に何等限
定されるものではなく、本発明の主旨を逸脱しない範囲
において種々なる形態で実施し得る。 （１）上記実施例においては、センタ３０が書換装置２
０から発呼され、その後、センタ３０と書換装置２０と
の間にデータ通信可能状態が確立されると、センタ３０
は、対応情報として発呼元の電話番号を取得し、書換装
置２０から送信される識別情報としてのＩＤ情報との対
応によって、書換装置２０の正当性を判断していた。

【０１２０】これに対して、センタ３０が書換装置２０
のＩＤ情報とパスワードとを対応させたデータベースを
有する構成とし、書換装置２０は、作業者によって入力
されるパスワードを、上述したＩＤ情報と共に送信する
構成としてもよい。この場合、パスワードが「対応情
報」に相当することになり、センタ３０は、書換装置２
０から送信されるＩＤ情報とパスワードとの対応によっ
て、書換装置２０の正当性を判断する。

【０１２１】また、上記実施例では、書換装置２０に予
めＩＤ情報が記憶されていたが、ＩＤ情報も、パスワー
ドと同様に利用者から入力されるようにしてもよい。こ
のようにすれば、書換装置２０又は書換装置２０内部の
情報が盗まれた場合であっても、パスワード、あるい
は、ＩＤ情報及びパスワードが分からないため、センタ
３０からアクセス情報を得ることはできず、上記実施例
と同様に制御情報の不正な書き換えを防止することがで
きる。

【０１２２】ただし、ＩＤ情報やパスワードが何らか別
のルートで盗まれる可能性もあるため、上記実施例のよ
うに書換装置２０の設置場所に関連する電話番号を対応
情報とすることがより好ましい。不正な書き換えは正規
の作業現場では行われないためである。

【０１２３】（２）また、書換装置２０がセンタ３０か
らアクセス情報を取得した後、センタ３０と書換装置２
０との間のデータ通信を一時的に終了することが考えら
れる。例えば、図２中のＢ１〜Ｂ４の通信処理が終了し
た後に一旦データ通信を終了し、Ｂ１１以降の処理を行
う際に、書換装置２０とセンタ３０との間にデータ通信
可能状態を再度確立することが考えられる。

【０１２４】ただし、書換装置２０に送信されたアクセ
ス情報が盗まれ、別の書換装置を用い、このアクセス情
報を使用してＥＣＵ１１〜１４がアクセスされる可能性
がある。したがって、一連の書き換え処理（図２に示す
Ｂ１〜Ｂ１８の処理）が終了するまで、センタ３０と書
換装置２０がデータ通信可能状態となっていることを書
き換えの条件とするとよい。

【０１２５】具体的には次のように構成することが考え
られる。それは、書換装置２０がタイマ割込処理などに
よって定期的にセンタ３０へ応答要求を送信し、センタ
３０が応答を行う構成とする。このとき、一連の書き換
え処理が完了する前にセンタ３０からの応答がなくなっ
た場合、書換装置２０がＥＣＵ１１〜１４の書き換えを
行わないようにする。このようにすれば、盗んだアクセ
ス情報を用いて別の書換装置からＥＣＵをアクセスする
ことができなくなる。

【図面の簡単な説明】

【図１】実施例の制御情報書換システムの構成を示すブ
ロック図である。

【図２】実施例における書き換え処理の概要を示す説明
図である。

【図３】ＥＣＵ側処理の前半部分を示すフローチャート
である。

【図４】ＥＣＵ側処理の後半部分を示すフローチャート
である。

【図５】書換装置側処理の前半部分を示すフローチャー
トである。

【図６】書換装置側処理の後半部分を示すフローチャー
トである。

【図７】センタ側処理の前半部分を示すフローチャート
である。

【図８】センタ側処理の後半部分を示すフローチャート
である。

【図９】従来の制御情報書換システムの構成を示すブロ
ック図である。

【図10】従来の書き換え処理の概要を示す説明図であ
る。

【符号の説明】

１…制御情報書換システム １１，１２，１３，１４…ＥＣＵ １５…ネットワーク回線 １６…車両ダイアグコネクタ ２０…書換装置 ３０…センタ ４０…電話回線網

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁷ 識別記号 ＦＩ テーマコート゛(参考） Ｈ０４Ｌ 29/08 Ｈ０４Ｌ 13/00 ３０７Ａ

Claims (73)

【特許請求の範囲】
1. 【請求項１】車両を制御するために車載され、電気的に
   書き換え可能な不揮発性メモリに前記車両制御のための
   制御情報を記憶した電子制御装置と、 前記制御情報を書き換えるための書換装置とを備え、 前記書換装置は、所定のアクセス情報を用いた通信開始
   処理を前記電子制御装置との間で実行し、 一方、前記電子制御装置は、前記通信開始処理によって
   前記書換装置の正当性を判断し、当該書換装置を正当な
   ものであると判断すると、前記書換装置から送信される
   変更データに基づき前記制御情報の一部又は全部を書き
   換える制御情報書換システムにおいて、 さらに、前記書換装置との間でデータ通信を行うセンタ
   を備え、 前記センタは、 前記所定のアクセス情報及び前記書換装置の判別情報を
   記憶した記憶手段と、 前記書換装置とのデータ通信において、当該書換装置か
   らの情報を取得し、当該取得した情報が前記記憶手段に
   記憶された判別情報と一致している場合は、前記記憶手
   段に記憶された前記アクセス情報を前記書換装置へ送信
   し、一方、一致していない場合は、前記アクセス情報を
   前記書換装置へ送信しない正当性判断手段とを有するこ
   とを特徴とする電子制御装置の制御情報書換システム。
2. 【請求項２】車両を制御するために車載され、電気的に
   書き換え可能な不揮発性メモリに前記車両制御のための
   制御情報を記憶した電子制御装置と、 前記制御情報を書き換えるための書換装置とを備え、 前記書換装置は、所定のアクセス情報を用いた通信開始
   処理を前記電子制御装置との間で実行し、 一方、前記電子制御装置は、前記通信開始処理によって
   前記書換装置の正当性を判断し、当該書換装置を正当な
   ものであると判断すると、前記書換装置から送信される
   変更データに基づき前記制御情報の一部又は全部を書き
   換える制御情報書換システムにおいて、 さらに、前記書換装置との間でデータ通信を行うセンタ
   を備え、 前記センタは、 前記所定のアクセス情報及び、前記書換装置の識別情報
   と当該識別情報に対応する対応情報とからなる判別情報
   を記憶した記憶手段と、 前記書換装置とのデータ通信において、当該書換装置か
   らの識別情報及び対応情報を取得し、当該取得した情報
   の対応関係が前記記憶手段に記憶された判別情報と一致
   している場合は、前記記憶手段に記憶された前記アクセ
   ス情報を前記書換装置へ送信し、一方、一致していない
   場合は、前記アクセス情報を前記書換装置へ送信しない
   正当性判断手段とを有することを特徴とする電子制御装
   置の制御情報書換システム。
3. 【請求項３】請求項１又は２に記載の制御情報書換シス
   テムにおいて、 前記書換装置は、前記センタから取得した前記アクセス
   情報に基づく正当性判断情報を前記電子制御装置に送信
   し、 一方、前記電子制御装置は、前記書換装置から送信され
   る正当性判断情報に基づき、前記書換装置の正当性を判
   断することを特徴とする電子制御装置の制御情報書換シ
   ステム。
4. 【請求項４】請求項３に記載の制御情報書換システムに
   おいて、 前記正当性判断情報は、前記電子制御装置から送信され
   る所定データを前記アクセス情報を基に変換した情報で
   あることを特徴とする電子制御装置の制御情報書換シス
   テム。
5. 【請求項５】請求項４に記載の制御情報書換システムに
   おいて、 前記書換装置は、前記電子制御装置に記憶された関数Ｆ
   に対応する関数ｆを前記アクセス情報として前記センタ
   から取得し、前記所定データとしての所定値ｒに対する
   関数値ｆ（ｒ）を、前記正当性判断情報として、前記電
   子制御装置に送信し、 一方、電子制御装置は、前記書換装置から送信される関
   数値ｆ（ｒ）に対する関数値Ｆ（ｆ（ｒ））が所定値ｒ
   に等しければ、前記書換装置を正当なものであると判断
   することを特徴とする電子制御装置の制御情報書換シス
   テム。
6. 【請求項６】請求項５に記載の制御情報書換システムに
   おいて、 前記所定値ｒは、前記電子制御装置にて生成される乱数
   であることを特徴とする電子制御装置の制御情報書換シ
   ステム。
7. 【請求項７】請求項１〜６のいずれかに記載の制御情報
   書換システムにおいて、 前記電子制御装置は、前記書換装置を正当なものでない
   と所定回数判断すると、前記書換装置からのアクセスを
   一定時間拒否することを特徴とする電子制御装置の制御
   情報書換システム。
8. 【請求項８】請求項１〜７のいずれかに記載の制御情報
   書換システムにおいて、 前記電子制御装置は、前記書換装置を正当なものである
   と判断すると、前記書換装置からの前記変更データの送
   信待ち状態になることを特徴とする電子制御装置の制御
   情報書換システム。
9. 【請求項９】請求項１〜８のいずれかに記載の制御情報
   書換システムにおいて、 前記判別情報の少なくとも一部は、前記センタとのデー
   タ通信可能状態が確立される毎に、利用者によって前記
   書換装置へ入力され、 前記書換装置は、前記利用者によって入力された情報を
   前記センタへ送信することを特徴とする電子制御装置の
   制御情報書換システム。
10. 【請求項１０】請求項１〜８のいずれかに記載の制御情
    報書換システムにおいて、 前記センタと前記書換装置との間に電話回線を介してデ
    ータ通信可能状態が確立されるようになっており、 前記センタは、前記データ通信可能状態が確立される
    と、前記書換装置側の電話番号を、前記判別情報又は前
    記判別情報の一部として、取得することを特徴とする電
    子制御装置の制御情報書換システム。
11. 【請求項１１】請求項１〜１０のいずれかに記載の制御
    情報書換システムにおいて、 前記センタは、前記正当性判断手段にて前記判別情報の
    不一致が所定回数判断されると、前記書換装置からのア
    クセスを一定時間拒否することを特徴とする電子制御装
    置の制御情報書換システム。
12. 【請求項１２】請求項１〜１１のいずれかに記載の制御
    情報書換システムにおいて、 前記センタは、さらに、前記制御情報の変更データを記
    憶する変更データ記憶手段を有していることを特徴とす
    る電子制御装置の制御情報書換システム。
13. 【請求項１３】請求項１２に記載の制御情報書換システ
    ムにおいて、 前記センタは、前記変更データ記憶手段に記憶された変
    更データを自動的に前記書換装置へ送信することを特徴
    とする電子制御装置の制御情報書換システム。
14. 【請求項１４】請求項１３に記載の制御情報書換システ
    ムにおいて、 前記センタは、前記電子制御装置にて前記書換装置が正
    当であると判断された場合に、前記変更データ記憶手段
    に記憶された変更データを前記書換装置へ送信すること
    を特徴とする電子制御装置の制御情報書換システム。
15. 【請求項１５】請求項１３又は１４に記載の制御情報書
    換システムにおいて、 前記センタは、前記変更データを特定するためのデータ
    特定情報が前記書換装置によって送信されると、当該デ
    ータ特定情報に基づき、前記変更データ記憶手段に記憶
    された変更データの中から該当する変更データを選択し
    て送信することを特徴とする電子制御装置の制御情報書
    換システム。
16. 【請求項１６】請求項１５に記載の制御情報書換システ
    ムにおいて、 前記データ特定情報は、前記電子制御装置によって前記
    書換装置へ送信されるものであることを特徴とする電子
    制御装置の制御情報書換システム。
17. 【請求項１７】請求項１６に記載の制御情報書換システ
    ムにおいて、 前記データ特定情報は、前記電子制御装置によって前記
    書換装置が正当であると判断された場合に送信されるこ
    とを特徴とする電子制御装置の制御情報書換システム。
18. 【請求項１８】請求項１５〜１７のいずれかに記載の制
    御情報書換システムにおいて、 前記データ特定情報には、車両を特定するための各車両
    に固有の車両情報又は前記電子制御装置を特定するため
    の前記電子制御装置に固有の装置情報の少なくともいず
    れか一方が含まれることを特徴とする電子制御装置の制
    御情報書換システム。
19. 【請求項１９】請求項１〜１８のいずれかに記載の制御
    情報書換システムにおいて、 前記センタは、さらに、前記車両に係る前記制御情報の
    更新履歴を記憶する更新履歴記憶手段を有していること
    を特徴とする電子制御装置の制御情報書換システム。
20. 【請求項２０】請求項１９に記載の制御情報書換システ
    ムにおいて、 前記センタは、前記車両に係る更新履歴を特定するため
    の履歴特定情報が前記書換装置によって送信されると、
    前記更新履歴記憶手段に記憶された更新履歴を参照し、
    前記履歴特定情報に基づいて当該車両における前記制御
    情報の書き換えの必要性を判断することを特徴とする電
    子制御装置の制御情報書換システム。
21. 【請求項２１】請求項２０に記載の制御情報書換システ
    ムにおいて、 前記変更データ記憶手段を備える構成を前提として、 前記センタは、前記制御情報の書き換えが必要であると
    判断すると、前記変更データ記憶手段に記憶された変更
    データを前記書換装置へ送信することを特徴とする電子
    制御装置の制御情報書換システム。
22. 【請求項２２】請求項２０又は２１に記載の制御情報書
    換システムにおいて、 前記変更データ記憶手段を備える構成を前提として、 前記センタは、前記制御情報の書き換えが必要でないと
    判断すると、書き換えが必要でない旨を示す情報を前記
    書換装置へ送信することを特徴とする電子制御装置の制
    御情報書換システム。
23. 【請求項２３】請求項２０〜２２のいずれかに記載の制
    御情報書換システムにおいて、 前記履歴特定情報は、前記電子制御装置によって前記書
    換装置へ送信されるものであることを特徴とする電子制
    御装置の制御情報書換システム。
24. 【請求項２４】請求項２３に記載の制御情報書換システ
    ムにおいて、 前記履歴特定情報は、前記電子制御装置によって前記書
    換装置が正当であると判断された場合に送信されること
    を特徴とする電子制御装置の制御情報書換システム。
25. 【請求項２５】請求項２０〜２４のいずれかに記載の制
    御情報書換システムにおいて、 前記履歴特定情報には、車両を特定するための各車両に
    固有の車両情報又は前記電子制御装置を特定するための
    前記電子制御装置に固有の装置情報の少なくともいずれ
    か一方が含まれることを特徴とする電子制御装置の制御
    情報書換システム。
26. 【請求項２６】請求項１９〜２５のいずれかに記載の制
    御情報書換システムにおいて、 前記センタは、前記電子制御装置にて前記制御情報の書
    き換えが完了すると、前記更新履歴記憶手段に記憶され
    た、当該電子制御装置が搭載された車両に対する前記更
    新履歴を更新することを特徴とする電子制御装置の制御
    情報書換システム。
27. 【請求項２７】請求項２６に記載の制御情報書換システ
    ムにおいて、 前記センタは、前記電子制御装置にて前記制御情報の書
    き換えが完了したか否かを、前記書換装置からの情報に
    基づいて判断することを特徴とする電子制御装置の制御
    情報書換システム。
28. 【請求項２８】請求項１〜２７のいずれかに記載の制御
    情報書換システムにおいて、 前記書換装置は、前記電子制御装置にて前記制御情報の
    書き換えが完了すると、前記所定のアクセス情報を抹消
    することを特徴とする電子制御装置の制御情報書換シス
    テム。
29. 【請求項２９】請求項１〜２８のいずれかに記載の制御
    情報書換システムにおいて、 前記書換装置は、前記センタとの間でデータ通信可能状
    態が確立された後、前記電子制御装置にて前記制御情報
    の書き換えが完了する前に前記センタとの間のデータ通
    信が不能となった場合、前記制御情報の書き換えを中止
    することを特徴とする電子制御装置の制御情報書換シス
    テム。
30. 【請求項３０】車両を制御するために車載され、電気的
    に書き換え可能な不揮発性メモリに前記車両制御のため
    の制御情報を記憶した電子制御装置と、前記制御情報を
    書き換えるための書換装置とを備え、前記書換装置は、
    所定のアクセス情報を用いた通信開始処理を前記電子制
    御装置との間で実行し、一方、前記電子制御装置は、前
    記通信開始処理によって前記書換装置の正当性を判断
    し、当該書換装置を正当なものであると判断すると、前
    記書換装置から送信される変更データに基づき前記制御
    情報の一部又は全部を書き換える制御情報書換システム
    に用いられ、 前記書換装置との間でデータ通信を行うセンタであっ
    て、 前記所定のアクセス情報及び前記書換装置の判別情報を
    記憶した記憶手段と、 前記書換装置とのデータ通信において、当該書換装置か
    らの情報を取得し、当該取得した情報が前記記憶手段に
    記憶された判別情報と一致している場合は、前記記憶手
    段に記憶された前記アクセス情報を前記書換装置へ送信
    し、一方、一致していない場合は、前記アクセス情報を
    前記書換装置へ送信しない正当性判断手段とを備えてい
    ることを特徴とするセンタ。
31. 【請求項３１】車両を制御するために車載され、電気的
    に書き換え可能な不揮発性メモリに前記車両制御のため
    の制御情報を記憶した電子制御装置と、前記制御情報を
    書き換えるための書換装置とを備え、前記書換装置は、
    所定のアクセス情報を用いた通信開始処理を前記電子制
    御装置との間で実行し、一方、前記電子制御装置は、前
    記通信開始処理によって前記書換装置の正当性を判断
    し、当該書換装置を正当なものであると判断すると、前
    記書換装置から送信される変更データに基づき前記制御
    情報の一部又は全部を書き換える制御情報書換システム
    に用いられ、 前記書換装置との間でデータ通信を行うセンタであっ
    て、 前記所定のアクセス情報及び、前記書換装置の識別情報
    と当該識別情報に対応する対応情報とからなる判別情報
    を記憶した記憶手段と、 前記書換装置とのデータ通信において、当該書換装置か
    らの識別情報及び対応情報を取得し、当該取得した情報
    の対応関係が前記記憶手段に記憶された判別情報と一致
    している場合は、前記記憶手段に記憶された前記アクセ
    ス情報を前記書換装置へ送信し、一方、一致していない
    場合は、前記アクセス情報を前記書換装置へ送信しない
    正当性判断手段とを備えていることを特徴とするセン
    タ。
32. 【請求項３２】請求項３０又は３１に記載のセンタにお
    いて、 前記書換装置との間に電話回線を介してデータ通信可能
    状態が確立されるようになっており、 前記データ通信可能状態が確立されると、前記書換装置
    側の電話番号を前記判別情報又は前記判別情報の一部と
    して取得することを特徴とするセンタ。
33. 【請求項３３】請求項３０〜３２のいずれかに記載のセ
    ンタにおいて、 前記正当性判断手段にて前記判別情報の不一致が所定回
    数判断されると、前記書換装置からのアクセスを一定時
    間拒否することを特徴とするセンタ。
34. 【請求項３４】請求項３０〜３３のいずれかに記載のセ
    ンタにおいて、 さらに、前記制御情報の変更データを記憶する変更デー
    タ記憶手段を備えていることを特徴とするセンタ。
35. 【請求項３５】請求項３４に記載のセンタにおいて、 前記変更データ記憶手段に記憶された変更データを自動
    的に前記書換装置へ送信することを特徴とするセンタ。
36. 【請求項３６】請求項３４又は３５に記載のセンタにお
    いて、 前記電子制御装置にて前記書換装置が正当であると判断
    された場合に、前記変更データ記憶手段に記憶された変
    更データを前記書換装置へ送信することを特徴とするセ
    ンタ。
37. 【請求項３７】請求項３４〜３６のいずれかに記載のセ
    ンタにおいて、 前記書換装置によって前記変更データを特定するための
    データ特定情報が送信されると、当該データ特定情報に
    基づき、前記変更データ記憶手段に記憶された変更デー
    タの中から該当する変更データを選択して送信すること
    を特徴とするセンタ。
38. 【請求項３８】請求項３７に記載のセンタにおいて、 前記データ特定情報は、前記電子制御装置によって前記
    書換装置へ送信されるものであることを特徴とするセン
    タ。
39. 【請求項３９】請求項３８に記載のセンタにおいて、 前記データ特定情報は、前記電子制御装置によって前記
    書換装置が正当であると判断された場合に送信されるこ
    とを特徴とするセンタ。
40. 【請求項４０】請求項３０〜３９のいずれかに記載のセ
    ンタにおいて、 さらに、前記車両に係る前記制御情報の更新履歴を記憶
    する更新履歴記憶手段を備えていることを特徴とするセ
    ンタ。
41. 【請求項４１】請求項４０に記載のセンタにおいて、 前記車両に係る更新履歴を特定するための履歴特定情報
    が前記書換装置によって送信されると、前記更新履歴記
    憶手段に記憶された更新履歴を参照し、前記履歴特定情
    報に基づいて当該車両における前記制御情報の書き換え
    の必要性を判断することを特徴とするセンタ。
42. 【請求項４２】請求項４１に記載のセンタにおいて、 前記変更データ記憶手段を備えていることを前提とし
    て、 前記制御情報の書き換えが必要であると判断すると、前
    記変更データ記憶手段に記憶された変更データを前記書
    換装置へ送信することを特徴とするセンタ。
43. 【請求項４３】請求項４１又は４２に記載のセンタにお
    いて、 前記変更データ記憶手段を備えていることを前提とし
    て、 前記制御情報の書き換えが必要でないと判断すると、書
    き換えが必要でない旨を示す情報を前記書換装置へ送信
    することを特徴とするセンタ。
44. 【請求項４４】請求項４１〜４３のいずれかに記載のセ
    ンタにおいて、 前記履歴特定情報は、前記電子制御装置によって前記書
    換装置へ送信されるものであることを特徴とするセン
    タ。
45. 【請求項４５】請求項４４に記載のセンタにおいて、 前記履歴特定情報は、前記電子制御装置によって前記書
    換装置が正当であると判断された場合に送信されること
    を特徴とするセンタ。
46. 【請求項４６】請求項４０〜４５のいずれかに記載のセ
    ンタにおいて、 前記電子制御装置にて前記制御情報の書き換えが完了す
    ると、前記更新履歴記憶手段に記憶された、当該電子制
    御装置が搭載された車両に対する前記更新履歴を更新す
    ることを特徴とするセンタ。
47. 【請求項４７】請求項４６に記載のセンタにおいて、 前記電子制御装置にて前記制御情報の書き換えが完了し
    たか否かを、前記書換装置からの情報に基づいて判断す
    ることを特徴とするセンタ。
48. 【請求項４８】車両を制御するために車載され、電気的
    に書き換え可能な不揮発性メモリに前記車両制御のため
    の制御情報を記憶した電子制御装置と、前記制御情報を
    書き換えるための書換装置とを備え、前記電子制御装置
    は、前記書換装置から送信される変更データに基づき前
    記制御情報の一部又は全部を書き換える制御情報書換シ
    ステムに用いられ、 前記書換装置との間でデータ通信を行うセンタであっ
    て、 前記書換装置は、本装置から送信される前記制御情報の
    変更データを前記電子制御装置へ送信するようになって
    おり、 前記制御情報の変更データを記憶する変更データ記憶手
    段を備え、 前記書換装置によって前記変更データを特定するための
    データ特定情報が送信されると、当該データ特定情報に
    基づき、前記変更データ記憶手段に記憶された変更デー
    タの中から該当する変更データを選択することを特徴と
    するセンタ。
49. 【請求項４９】制御情報を書き換えるための書換装置
    と、前記書換装置との間でデータ通信を行うセンタと共
    に、制御情報書換システムを構成し、車両を制御するた
    めに車載され、電気的に書き換え可能な不揮発性メモリ
    に前記車両制御のための制御情報を記憶した電子制御装
    置であって、 前記センタは、所定のアクセス情報及び前記書換装置の
    判別情報を記憶しており、前記書換装置とのデータ通信
    において、当該書換装置からの情報を取得し、当該取得
    した情報が前記記憶手段に記憶された判別情報と一致し
    ている場合は、前記記憶手段に記憶された前記アクセス
    情報を前記書換装置へ送信し、一方、一致していない場
    合は、前記アクセス情報を前記書換装置へ送信しないよ
    うになっており、 前記センタから送信される前記所定のアクセス情報を用
    いた前記書換装置との通信開始処理によって前記書換装
    置の正当性を判断し、当該書換装置を正当なものである
    と判断すると、前記書換装置から送信される変更データ
    に基づき前記制御情報の一部又は全部を書き換えること
    を特徴とする電子制御装置。
50. 【請求項５０】制御情報を書き換えるための書換装置
    と、前記書換装置との間でデータ通信を行うセンタと共
    に、制御情報書換システムを構成し、車両を制御するた
    めに車載され、電気的に書き換え可能な不揮発性メモリ
    に前記車両制御のための制御情報を記憶した電子制御装
    置であって、 前記センタは、所定のアクセス情報及び、前記書換装置
    の識別情報と当該識別情報に対応する対応情報とからな
    る判別情報を記憶しており、前記書換装置とのデータ通
    信において、当該書換装置の識別情報及び対応情報を取
    得し、当該取得した情報の対応関係が前記記憶手段に記
    憶された判別情報と一致している場合は、前記記憶手段
    に記憶された前記アクセス情報を前記書換装置へ送信
    し、一方、一致していない場合は、前記アクセス情報を
    前記書換装置へ送信しないようになっており、 前記センタから送信される前記所定のアクセス情報を用
    いた前記書換装置との通信開始処理によって前記書換装
    置の正当性を判断し、当該書換装置を正当なものである
    と判断すると、前記書換装置から送信される変更データ
    に基づき前記制御情報の一部又は全部を書き換えること
    を特徴とする電子制御装置。
51. 【請求項５１】請求項４９又は５０に記載の電子制御装
    置において、 前記書換装置は、前記センタから取得した前記アクセス
    情報に基づく正当性判断情報を本装置に送信するように
    なっており、 前記書換装置から送信される前記正当性判断情報に基づ
    き、前記書換装置の正当性を判断することを特徴とする
    電子制御装置。
52. 【請求項５２】請求項５１に記載の電子制御装置におい
    て、 前記正当性判断情報は、本装置が送信した所定データを
    前記書換装置が前記アクセス情報を基に変換したもので
    あることを特徴とする電子制御装置。
53. 【請求項５３】請求項５２に記載の電子制御装置におい
    て、 前記書換装置は、本装置に記憶された関数Ｆに対応する
    関数ｆを前記アクセス情報として前記センタから取得
    し、前記所定データとしての所定値ｒに対する関数値ｆ
    （ｒ）を、前記正当性判断情報として、本装置へ送信す
    るようになっており、 前記書換装置から送信される関数値ｆ（ｒ）に対する関
    数値Ｆ（ｆ（ｒ））が前記送信した所定値ｒに等しけれ
    ば、前記書換装置を正当なものであると判断することを
    特徴とする電子制御装置。
54. 【請求項５４】請求項５３に記載の電子制御装置におい
    て、 前記所定値ｒを、乱数として生成することを特徴とする
    電子制御装置。
55. 【請求項５５】請求項４９〜５４のいずれかに記載の電
    子制御装置において、 前記書換装置を正当なものでないと所定回数判断する
    と、前記書換装置からのアクセスを一定時間拒否するこ
    とを特徴とする電子制御装置。
56. 【請求項５６】請求項４９〜５５のいずれかに記載の電
    子制御装置において、 前記書換装置を正当なものであると判断すると、前記書
    換装置からの前記変更データの送信待ち状態になること
    を特徴とする電子制御装置。
57. 【請求項５７】請求項４９〜５６のいずれかに記載の電
    子制御装置において、 前記センタは、前記制御情報の変更データを記憶する変
    更データ記憶手段を備え、前記書換装置から送信される
    前記変更データを特定するためのデータ特定情報に基づ
    き、前記変更データ記憶手段に記憶された変更データを
    前記書換装置へ送信することを前提として、 前記データ特定情報を、前記書換装置へ送信することを
    特徴とする電子制御装置。
58. 【請求項５８】請求項５７に記載の電子制御装置におい
    て、 前記書換装置を正当なものであると判断した場合に、前
    記データ特定情報を送信することを特徴とする電子制御
    装置。
59. 【請求項５９】請求項４９〜５８のいずれかに記載の電
    子制御装置において、 前記センタは、前記車両に係る前記制御情報の更新履歴
    を記憶する更新履歴記憶手段を備え、当該更新履歴記憶
    手段に記憶された更新履歴を参照し、前記書換装置から
    送信される前記更新履歴を特定するための履歴特定情報
    に基づき、前記制御情報の書き換えの必要性を判断する
    ことを前提として、 前記履歴特定情報を、前記書換装置へ送信することを特
    徴とする電子制御装置。
60. 【請求項６０】請求項５９に記載の電子制御装置におい
    て、 前記書換装置を正当なものであると判断した場合に、前
    記履歴特定情報を送信することを特徴とする電子制御装
    置。
61. 【請求項６１】センタと、車両を制御するために車載さ
    れ、電気的に書き換え可能な不揮発性メモリに前記車両
    制御のための制御情報を記憶した電子制御装置と共に、
    制御情報書換システムを構成し、前記制御情報を書き換
    えるための書換装置であって、 前記センタは、所定のアクセス情報及び本装置の判別情
    報を記憶しており、本装置とのデータ通信において、本
    装置からの情報を取得し、当該取得した情報が前記記憶
    手段に記憶された判別情報と一致している場合は、前記
    記憶手段に記憶された前記アクセス情報を本装置へ送信
    し、一方、一致していない場合は、前記アクセス情報を
    本装置へ送信しないようになっており、 前記センタから前記アクセス情報が送信されると、当該
    アクセス情報を用いた前記電子制御装置との通信開始処
    理を実行し、前記電子制御装置によって本装置が正当で
    あると判断されると、前記制御情報の一部又は全部を書
    き換えるための変更データを前記電子制御装置へ送信す
    ることを特徴とする書換装置。
62. 【請求項６２】センタと、車両を制御するために車載さ
    れ、電気的に書き換え可能な不揮発性メモリに前記車両
    制御のための制御情報を記憶した電子制御装置と共に、
    制御情報書換システムを構成し、前記制御情報を書き換
    えるための書換装置であって、 前記センタは、所定のアクセス情報及び、本装置の識別
    情報と当該識別情報に対応する対応情報とからなる判別
    情報を記憶しており、本装置とのデータ通信において、
    本装置の識別情報及び対応情報を取得し、当該取得した
    情報の対応関係が前記記憶手段に記憶された判別情報と
    一致している場合は、前記記憶手段に記憶された前記ア
    クセス情報を本装置へ送信し、一方、一致していない場
    合は、前記アクセス情報を本装置へ送信しないようにな
    っており、 前記センタから前記アクセス情報が送信されると、当該
    アクセス情報を用いた前記電子制御装置との通信開始処
    理を実行し、前記電子制御装置によって本装置が正当で
    あると判断されると、前記制御情報の一部又は全部を書
    き換えるための変更データを前記電子制御装置へ送信す
    ることを特徴とする書換装置。
63. 【請求項６３】請求項６１又は６２に記載の書換装置に
    おいて、 前記電子制御装置は、本装置から送信される正当性判断
    情報に基づき、本装置の正当性を判断することを前提と
    して、 前記センタから取得した前記アクセス情報に基づく正当
    性判断情報を前記電子制御装置に送信することを特徴と
    する書換装置。
64. 【請求項６４】請求項６３に記載の書換装置において、 前記正当性判断情報は、前記電子制御装置から送信され
    る所定データを前記アクセス情報を基に変換した情報で
    あることを特徴とする書換装置。
65. 【請求項６５】請求項６４に記載の書換装置において、 前記電子制御装置は、前記所定データとして所定値ｒを
    送信し、その後、本装置から送信される関数値ｆ（ｒ）
    に対する関数値Ｆ（ｆ（ｒ））が前記所定値ｒに等しけ
    れば、本装置を正当なものであると判断することを前提
    として、 前記電子制御装置に記憶された関数Ｆに対応する関数ｆ
    を前記アクセス情報として前記センタから取得し、前記
    電子制御装置から送信される所定値ｒに対する関数値ｆ
    （ｒ）を、前記正当性判断情報として、前記電子制御装
    置へ送信することを特徴とする書換装置。
66. 【請求項６６】請求項６５に記載の書換装置において、 前記所定値ｒは、前記電子制御装置にて生成される乱数
    であることを特徴とする書換装置。
67. 【請求項６７】請求項６１〜６６のいずれかに記載の書
    換装置において、 前記判別情報の少なくとも一部は、前記センタとのデー
    タ通信可能状態が確立される毎に、利用者によって入力
    されるものであり、 前記利用者によって入力された情報を前記センタへ送信
    することを特徴とする書換装置。
68. 【請求項６８】請求項６１〜６７のいずれかに記載の書
    換装置において、 前記センタは、前記制御情報の変更データを記憶する変
    更データ記憶手段を備え、前記変更データ記憶手段に記
    憶された変更データを前記書換装置へ送信することを前
    提として、 前記変更データを特定するためのデータ特定情報を、前
    記センタへ送信することを特徴とする書換装置。
69. 【請求項６９】請求項６８に記載の書換装置において、 前記データ特定情報は、前記電子制御装置から送信され
    るものであることを特徴とする書換装置。
70. 【請求項７０】請求項６１〜６９のいずれかに記載の書
    換装置において、 前記センタは、前記車両に係る前記制御情報の更新履歴
    を記憶する更新履歴記憶手段を備え、当該更新履歴記憶
    手段に記憶された更新履歴を参照し、前記制御情報の書
    き換えの必要性を判断することを前提として、 前記車両に係る更新履歴を特定するための履歴特定情報
    を、前記センタへ送信することを特徴とする書換装置。
71. 【請求項７１】請求項７０に記載の書換装置において、 前記履歴特定情報は、前記電子制御装置から送信される
    ものであることを特徴とする書換装置。
72. 【請求項７２】請求項６１〜７１のいずれかに記載の書
    換装置において、 前記電子制御装置にて前記制御情報の書き換えが完了す
    ると、前記所定のアクセス情報を抹消することを特徴と
    する書換装置。
73. 【請求項７３】請求項６１〜７２のいずれかに記載の書
    換装置において、 前記センタとの間でデータ通信可能状態が確立された
    後、前記電子制御装置にて前記制御情報の書き換えが完
    了する前に前記センタとの間のデータ通信が不能となっ
    た場合、前記制御情報の書き換えを中止することを特徴
    とする書換装置。