JP2013170392A - 電子キー登録システム - Google Patents

Abstract

【課題】制御装置に登録した電子キーの全消去機能を、適切なタイミングで使用不可とすることができる電子キー登録システムを提供する。
【解決手段】電子キー登録システム１６は、照合ＥＣＵ４に登録した電子キー２を消去してキー登録前の状態に戻す全消去機能部２３が設けられる。禁止条件監視部２４は、初回登録が済んでから実施されるＩＤ照合の回数を、内部のカウンタ２５で計測する。全消去機能部２６は、ＩＤ照合の通信回数が、１以上かつ出荷前必要通信回数以下の間の閾値に到達したとき、全消去機能を禁止する。
【選択図】図１

Description

本発明は、電子キーを通信対象に登録する電子キー登録システムに関する。

従来から周知のように、多くの車両では、電子キーから無線送信される電子キーＩＤにてキー照合を行う電子キーシステムが搭載されている。この種の電子キーシステムでは、使用する電子キーを車両に登録する必要があり、この場合、電子キーのキーＩＤや暗号鍵を、車両において電子キーシステムの動作を管理する制御装置（ＥＣＵ（Electronic Control Unit）など）に予め登録しておくことが必要となる。この電子キー登録システムとしては、例えば特許文献１〜３などに具体例が開示されている。

特開平７−６１３２８号公報 特開２００３−１４８０１８号公報 特開２００４−１０７９５９号公報

ところで、この種の電子キー登録システムにおいては、制御装置に登録した電子キーの全てを一度に消去可能とする「全消去機能」を設けることが想定される。これは、電子キーの登録後、これを登録し直したい状況が生じ得るからである。しかし、全消去機能を使用して制御装置を初期状態に戻すことを自由に許可してしまうと、任意のキーを制御装置に登録することが可能となってしまうので、全消去機能を設けたとしても、これを適切なタイミングで使用できなくすることが望まれる。

本発明の目的は、制御装置に登録した電子キーの全消去機能を、適切なタイミングで使用不可とすることができる電子キー登録システムを提供することにある。

前記問題点を解決するために、本発明では、通信対象の制御装置に電子キーのキーＩＤ及び暗号鍵を関連付けて書き込むことにより、当該電子キーを前記通信対象に登録して、前記通信対象と前記電子キーとを暗号通信により認証可能とする電子キー登録システムにおいて、前記制御装置に登録された前記電子キーを当該制御装置から消去する全消去機能を備え、前記全消去機能を禁止する条件が揃ったか否かを監視する監視手段と、前記全消去機能を禁止する条件が揃ったとき、前記全消去機能を禁止する全消去機能禁止手段とを備えたことを要旨とする。

本発明の構成によれば、制御装置に登録した電子キーを全消去可能とするために、電子キー登録システムに全消去機能を設けたとしても、この全消去機能を、キー登録後の所定タイミングにおいて禁止に切り換えることが可能である。よって、全消去機能を使用可能のまま放置しておくのではなく、全消去機能を消去すべき条件が揃ったときに全消去機能を使用禁止にするので、キー登録の再登録などを考慮に入れて全消去機能を設けたとしても、この機能を最適なタイミングで使用不可とすることが可能となる。

本発明では、前記電子キーの登録は、前記電子キー毎に異なる値を持ち、認証に用いる暗号鍵を生成する際に使用する暗号鍵生成コードと、当該暗号鍵生成コードを暗号鍵生成ロジックに通して生成した暗号鍵とを、前記電子キーに保存し、前記通信対象毎に異なる固有の識別情報と前記暗号鍵生成ロジックとを、前記制御装置に保存し、前記電子キーから前記暗号鍵生成コードを取得し、前記制御装置の暗号鍵生成ロジックによって前記暗号鍵生成コードから暗号鍵を生成し、これを前記制御装置に保存するという登録であることを要旨とする。この構成によれば、電子キーの登録において暗号鍵自体を電子キーから制御装置に直接送る形式をとるのではなく、暗号鍵を暗号化することにより生成した暗号鍵生成コードを制御装置に送り、これを制御装置において復号して登録する方式としたので、暗号鍵の登録をセキュリティ性よく実施することが可能となる。

本発明では、前記電子キーの登録は、前記制御装置に１つ目のキーを登録する初回登録であることを要旨とする。この構成によれば、初回登録の１機能として設けられる全消去機能を、最適なタイミングで使用禁止に切り換えることが可能となる。

本発明では、前記電子キー及び前記通信対象は、製造ラインにおいて、出荷前に最低限行う前記暗号通信の回数として規定された出荷前必要通信回数以上で前記暗号通信を実施し、前記全消去機能禁止手段は、前記暗号通信の回数が、１以上前記出荷前必要通信回数以下の間の閾値に到達したとき、前記全消去機能を禁止することを要旨とする。この構成によれば、製造ラインにおいて、暗号通信の回数が１以上出荷前必要通信回数以下の間の閾値に到達したという好適なタイミングで、全消去機能を使用禁止にすることが可能となる。

本発明では、前記電子キー及び前記通信対象は、製造ラインにおいて、出荷前に最低限行う前記暗号通信の回数として規定された出荷前必要通信回数以上で前記暗号通信を実施し、前記全消去機能禁止手段は、前記暗号通信が初めて実施されてからの経過時間が、出荷にかかる時間として規定された閾値に到達したとき、前記全消去機能を禁止することを要旨とする。この構成によれば、製造ラインにおいて、暗号通信が初めて実施されてからの経過時間が、出荷にかかる時間として規定された閾値に到達したという好適なタイミングで、全消去機能を使用禁止にすることが可能となる。

本発明では、前記電子キーの登録には、前記制御装置に１つ目のキーを登録する初回登録と、当該制御装置に２つ目以降のキーを登録する追加登録とがあることを要旨とする。この構成によれば、制御装置に１つ目の電子キーを初回登録するのみならず、必要に応じて制御装置に２つ目以降の電子キーを追加登録することも可能となる。

本発明では、前記全消去機能は、前記制御装置に登録された前記電子キーを当該制御装置から消去して、当該制御装置の状態を、該制御装置に前記電子キーが１つも登録されていない初期状態に戻す機能であることを要旨とする。この構成によれば、全消去機能の処理内容を、制御装置を初期状態に戻す機能としたので、全消去機能を用いることにより、制御装置への電子キーの登録を始めからやり直すことが可能となる。

本発明によれば、制御装置に登録した電子キーの全消去機能を、適切なタイミングで使用不可とすることができる。

一実施形態の電子キー登録システムの構成図。 スマート照合のシーケンスを示すタイミングチャート。 電子キー登録システムの初回登録の概要を示す説明図。 全消去禁止機能の概要を示す説明図。 別例の電子キー登録システムの追加登録の概要の構成図。

以下、本発明を具体化した電子キー登録システムの一実施形態を図１〜図４に従って説明する。
［電子キーシステム］
図１に示すように、車両１には、車両１からの通信を契機に電子キー２と双方向通信により電子キー２の正当性を認証する電子キーシステム３が設けられている。電子キー２は、自身に登録されたＩＤ（電子キーＩＤ）を、無線によって車両１に送信可能なキーのことを言う。双方向通信の電子キーシステム３には、例えばキー操作フリーシステムやイモビライザーシステム等がある。なお、車両１が通信対象に相当する。

車両１には、電子キー２とＩＤ照合を行う照合ＥＣＵ４と、車載電装品の電源を管理するボディＥＣＵ５と、エンジンを制御するエンジンＥＣＵ６とが設けられ、これらが車内のバス７を介して接続されている。照合ＥＣＵ４のメモリ４ａには、電子キーＩＤ、電子キー２とのチャレンジレスポンス認証時に使用する暗号鍵Ｋcr（鍵−１，鍵−２…）、車両１の固有の識別情報である車載器ＩＤ（ビークルＩＤ）などが登録されている。電子キーＩＤ及び暗号鍵Ｋcrの組は、車両１に電子キー２が複数登録された場合、これに応じて複数保存される。照合ＥＣＵ４には、ＬＦ（Low Frequency）帯の電波を送信可能なＬＦ送信機８と、ＵＨＦ（Ultra High Frequency）帯の電波を受信可能なＵＨＦ受信機９と、ＬＦ電波を受信可能なＬＦ受信機１０とが接続されている。なお、照合ＥＣＵ４が制御装置に相当する。

電子キー２には、電子キー２の通信動作を管理するキー制御部１１が設けられている。キー制御部１１のメモリ１１ａにも、照合ＥＣＵ４と同様に、電子キーＩＤ、車載器ＩＤ、暗号鍵Ｋcrなどが登録されている。キー制御部１１には、ＬＦ電波を受信可能なＬＦ受信部１２と、ＵＨＦ電波を送信可能なＵＨＦ送信部１３と、ＬＦ電波を送信可能なＬＦ送信部１４とが接続されている。

図２に示すように、車両駐車時（車両ドア施錠、エンジン停止）、車外のＬＦ送信機８は、車外に数ｍの範囲でＬＦのウェイク信号Ｓwkの車外通信エリアを断続的に形成して、車外スマート通信を実行する。電子キー２は、ウェイク信号Ｓwkを受信すると起動し、アック信号Ｓack1を車両１にＵＨＦ送信する。照合ＥＣＵ４は、アック信号Ｓack1をＵＨＦ受信機９で受信すると、車載器ＩＤ信号ＳviをＬＦ送信し、電子キー２に車載器ＩＤ照合を実行させる。電子キー２は、車載器ＩＤ照合が成立すれば、アック信号Ｓack2を車両１にＵＨＦ送信する。

続いて、照合ＥＣＵ４は、チャレンジレスポンス認証を実行すべく、チャレンジＳchを電子キー２にＬＦ送信する。チャレンジＳchには、送信の度にコードが毎回異なるチャレンジコードと、車両１の何番目の登録キーかを表すキー番号とが含まれている。電子キー２は、チャレンジＳchを受信すると、まずキー番号照合を行い、キー番号照合が成立すれば、チャレンジコードを自身の暗号鍵Ｋcrに通してレスポンスコードを生成する。電子キー２は、このレスポンスコードと自身の電子キーＩＤとを含むレスポンスＳrsを車両１にＵＨＦ送信する。照合ＥＣＵ４は、電子キー２からレスポンスＳrsを受信すると、自身も同様に演算したレスポンスコードと、電子キー２が演算したレスポンスコードとにより、レスポンス照合を行う。また、照合ＥＣＵ４は、電子キー２から取得した電子キーＩＤが正しいか否かを確認する電子キーＩＤ照合も行う。照合ＥＣＵ４は、両照合が成立したことを確認すると、スマート照合（車外スマート照合）を成立として処理し、ボディＥＣＵ５によるドアロック施解錠を許可又は実行する。

また、運転者が乗車したことが例えばカーテシスイッチ（図示略）により検出されると、車外のＬＦ送信機８に代えて、今度は車内のＬＦ送信機８が車内全体にウェイク信号Ｓwkの車内通信エリアを形成し、車内スマート通信を開始する。このとき、電子キー２が車内においてウェイク信号Ｓwkを受信すると、車内スマート照合が実行される。そして、車内スマート照合が成立すると、エンジンスイッチ１５による電源遷移操作及びエンジン始動操作が許可される。

なお、イモビライザーシステムは、車両１と電子キー２とがＬＦ電波による近距離無（通信距離：10cm程度）によって認証を実施する。イモビライザーシステムは、車両１から送信される電力電波を電子キー２の電源とするシステムであるので、電子キー２を電源レスで動作させることが可能である。近距離無線には、例えばＮＦＣ（Near Field Communication）等の規格が使用されている。

［電子キー登録システム］
図１及び図３に示すように、車両１には、電子キー登録システム１６によって電子キー２を登録することが可能である。この場合、照合ＥＣＵ４及びキー制御部１１の各々には、キー登録の動作を実施する登録機能部１７，１８が設けられている。本例の電子キー登録システム１６は、登録ツール１９を車両１に有線接続し、サービスマンが登録ツール１９を操作することにより、車両１への電子キー２の登録を実施する。本例のキー登録は、初めての電子キー２ａ、つまり直納用キー（マスターキー）を車両１に登録する初回登録である。

図１に示すように、登録ツール１９は、ネットワークによる通信を介して、電子キー２の登録を管理するセンター２０と無線通信が可能である。このネットワーク通信は、いわゆるインターネット通信であり、例えばIP（Internet Protocol）通信である。また、登録ツール１９は、ケーブル等の有線によって接続された車両１と有線通信する。電子キー２の登録時の車両１と電子キー２との通信には、近距離のＬＦ双方向通信が使用されている。

図３に示すように、初回登録は、車両１の製造工場等で実施される工場登録であって、キー登録が車両１と電子キー２ａとの２者間で完結するシード登録方式が採用されている。また、初回登録は、登録ツール１９から照合ＥＣＵ４に初期登録命令Ｒを出力することにより、照合ＥＣＵ４を登録モードに切り換え、１つ目の任意のキーを照合ＥＣＵ４に登録する作業である。

シード登録方式の場合、電子キー２ａには、メモリ１１ａに書き込まれたSEEDコードＳsdとしての「ＳＤ−１」を、鍵生成ロジックｆに通すことにより生成した暗号鍵「鍵−１」がメモリ１１ａに予め書き込み保存されている。また、照合ＥＣＵ４のメモリ４ａには、電子キー２に登録されたものと同様の鍵生成ロジックｆが書き込み保存されている。なお、SEEDコードＳsdが暗号鍵生成コードに相当する。

センター２０には、どの車両１（照合ＥＣＵ４）にどのような車載器ＩＤや電子キー２が登録されているのかを管理する車載器データベース２１が設けられている。センター２０には、どの電子キー２にどのような電子キーＩＤや暗号鍵が登録されているのかを管理する電子キーデータベース２２が設けられている。

シード登録方式は、初回登録する電子キー２ａの暗号鍵Ｋcr→「鍵−１」を、鍵そのものではなく、暗号鍵生成用のSEEDコード「ＳＤ−1」を電子キー２から車両１に送り渡すことにより、暗号鍵「鍵−１」の登録を行う方式である。シード登録方式の場合、照合ＥＣＵ４は、電子キー２から電子キーＩＤ「ＩＤ−１」を取得してをメモリ４ａに登録するとともに、電子キー２からSEEDコード「ＳＤ−1」を取得し、これを車両１において鍵生成ロジックｆに通すことにより暗号鍵「鍵−１」を生成して車両１に登録する。電子キー２に登録されたSEEDコード「ＳＤ−1」は、車両１に送信された後、メモリ１１ａから削除される。また、電子キー２には、初回登録の過程の中で車両１から通知される車載器ＩＤ「ＩＤ−Ａ」がメモリ１１ａに書き込まれる。さらに、電子キー２の初回登録が完了すると、初期登録フラグが「受入」→「拒否」に切り換わり、初回登録が実施不可となる。

車両１への電子キー２ａの初回登録が完了した後、センター２０で管理されている車載器データベース２１及び電子キーデータベース２２を更新する必要がある。初回登録の場合、登録ツール１９はセンター２０とリアルタイム接続されていないので、初回登録完了の後、あるタイミングで登録ツール１９をセンター２０に接続して、車載器データベース２１及び電子キーデータベース２２を更新する。

［全消去機能］
図１に示すように、電子キー登録システム１６には、照合ＥＣＵ４に登録された電子キー２を消去して、照合ＥＣＵ４を元の初期状態に戻す全消去機能が設けられている。全消去機能は、照合ＥＣＵ４への電子キー２の初回登録の後、登録ツール１９から照合ＥＣＵ４に初期登録命令Ｒを出力することにより、照合ＥＣＵ４に登録済みの電子キー２を消去して、照合ＥＣＵ４の動作状態を、任意のキーを登録することができる状態、つまり初期状態に戻す機能である。

この場合、照合ＥＣＵ４には、照合ＥＣＵ４において全消去機能を管理する全消去機能部２３が設けられている。全消去機能部２３は、照合ＥＣＵ４の初回登録が済んだ状態において、登録ツール１９から初期登録命令Ｒを入力すると、メモリ４ａに登録された電子キーＩＤ及び暗号鍵Ｋcrを消去するとともに、初期登録フラグを「拒否」→「受入」に戻し、照合ＥＣＵ４を元の初期状態に戻す。これにより、照合ＥＣＵ４は、電子キー２の初回登録が再実施可能である。

［全消去禁止機能］
図１に示すように、照合ＥＣＵ４には、全消去機能をあるタイミングにおいて禁止する全消去禁止機能が設けられている。これは、照合ＥＣＵ４に全消去機能が設けられていると、この全消去機能によって照合ＥＣＵ４を元の初期状態に自由に戻すことが可能となるので、別のキーを照合ＥＣＵ４に新たに登録されてしまう可能性に繋がり、セキュリティ性が低いからである。但し、初回登録後、直ぐに全消去機能を禁止してしまうと、その後、電子キー２を全消去したい状況に対応できなくなるので、全消去機能を禁止するにしても最適なタイミングがある。

ところで、図４に示すように、工場の製造ラインを流れる過程において、車両１は各工程でエンジンのオンオフ操作、つまり各工程において車両１及び電子キー２の間でＩＤ照合が繰り返し実施される。即ち、製造ラインでは、車両１の組み立ての際、ＩＤ照合の通信が、出荷前必要通信回数のＮｓ回、実施される。よって、ＩＤ照合の通信回数Ｎｘが１以上かつ出荷前必要通信回数Ｎｓの間の閾値Ｎｋに到達した際、全消去機能を禁止するようにすれば、全消去機能を最適なタイミングで禁止できると言えるはずである。

図１に示すように、照合ＥＣＵ４には、全消去機能を禁止する条件が揃ったか否かを監視する禁止条件監視部２４が設けられている。本例の禁止条件監視部２４は、初回登録が済んでから実施されるＩＤ照合の回数を、内部のカウンタ２５で計測し、ＩＤ照合の通信回数Ｎｘが、１以上かつ出荷前必要通信回数Ｎｓ以下の間の閾値Ｎｋに到達したとき、全消去機能を禁止すべきと判断する。なお、禁止条件監視部２４が監視手段に相当する。

照合ＥＣＵ４には、禁止条件監視部２４が全消去機能を禁止すべきと判断した際、車両１の全消去機能を禁止する全消去機能禁止部２６が設けられている。全消去機能禁止部２６は、ＩＤ照合の通信回数Ｎｘが、１以上かつ出荷前必要通信回数Ｎｓ以下の間の閾値Ｎｋに到達した際、全消去機能部２３を動作不可（無効）とすることにより、全消去機能の使用を禁止する。なお、全消去機能禁止部２６が全消去機能禁止手段に相当する。

次に、本例の全消去禁止機能の動作を、図４を用いて説明する。
図４に示すように、製造工場において、車両１には、登録ツール１９を使用した初回登録の作業によって、１つ目の電子キー２、つまりマスターキーが登録される。なお、初回登録後、電子キー２を登録し直したいときには、照合ＥＣＵ４の全消去機能によって、照合ＥＣＵ４に登録された電子キー２、電子キーＩＤ及び暗号鍵Ｋcrを消去する。このときは、登録ツール１９を車両１に接続し、登録ツール１９から照合ＥＣＵ４に初期登録命令Ｒを送ることで、全消去機能により照合ＥＣＵ４から電子キー２の情報を消去する。これにより、電子キー２の再登録が可能である。

電子キー２を車両１に初回登録した後、車両１を製造ラインに流して、車両１を組み立てていくとする。このとき、第１工程、第２工程…の各工程で、エンジンのオンオフ操作が課される。つまり、それぞれの工程で、車両１と電子キー２との間でＩＤ照合が実施される。禁止条件監視部２４は、ＩＤ照合の通信回数Ｎｘを、自身のカウンタ２５によって計測していく。

そして、製造ラインにおいて、ｎ工程に到達した際、ＩＤ照合の通信回数Ｎｘが閾値Ｎｋに到達したとする。このとき、禁止条件監視部２４は、全消去機能の禁止要求を全消去機能部２３に出力する。全消去機能禁止部２６は、禁止条件監視部２４から全消去機能の禁止要求を入力すると、自身の動作を不可とし、全消去機能を禁止する。これにより、車両１の全消去機能が使用できなくなり、車両１を工場から出荷する前に全消去機能が禁止された状態が確保される。

本実施形態の構成によれば、以下に記載の効果を得ることができる。
（１）電子キー登録システム１６に設けた全消去機能を、キー登録後、あるタイミングにおいて使用禁止に切り換える。よって、全消去機能を使用可能のまま放置しておくのではなく、全消去機能を消去すべき条件が揃ったとき、これを使用禁止にするので、キー登録の再登録（やり直し）などを考慮に入れて全消去機能を設けたとしても、この機能を最適なタイミングで使用不可とすることができる。

（２）電子キー２の初回登録の登録方式をSEEDコード方式とし、この方式において全消去機能の禁止機能を設けた。よって、キー登録の秘匿性が高い本例のキー登録において、全消去機能を用いた利便性のよいキー再登録と、全消去機能を最適タイミングで禁止するというセキュリティ性確保とを、両立することができる。

（３）キー登録を初回登録としたので、初回登録の１機能として設けると便利な全消去機能を、最適なタイミングで使用禁止に切り換えることができる。
（４）全消去機能の禁止判定は、製造ラインにおいて、車両１と電子キー２との間で実施されるＩＤ照合の通信回数Ｎｘが、１以上出荷前必要回数Ｎｓ以下の間の値に設定された閾値Ｎｋに到達したか否かを確認することにより行う。よって、全消去機能を最適なタイミングで使用禁止に切り換えることができる。また、全消去機能を車両１の出荷前、確実に使用禁止に切り換えておくこともできる。

（５）全消去機能の処理内容を、照合ＥＣＵ４を初期状態（任意のキーを登録できる状態）に戻す機能とした。よって、本例の全消去機能を使用すれば、照合ＥＣＵ４へのキー登録を初めからやり直すことができる。

なお、実施形態はこれまでに述べた構成に限らず、以下の態様に変更してもよい。
・電子キー登録システム１６は、図５に示す追加登録により、追加用の電子キー２ｂを車両１に登録可能としてもよい。追加登録は、ディーラ等で実施される登録作業であって、登録ツール１９をセンター２０に接続して、キー登録に必要な各種データをセンター２０から登録ツール１９で取得することにより、車両１への電子キー２ｂの登録を行う方式である。

この場合、照合ＥＣＵ４のメモリ４ａには、電子キー２ｂの追加登録において使用する車載器センター鍵Ｋvcが登録されている。車載器センター鍵Ｋvcは、車両１とセンター２０との間で対応付けられたキー登録用の暗号鍵であって、照合ＥＣＵ４（車両１）のそれぞれに割り振られる。車載器センター鍵Ｋvcは、例えばAES（(Advanced Encryption Standard）暗号に準拠した暗号鍵である。

車載器データベース２１には、どの車両１（照合ＥＣＵ４）にどのような車載器センター鍵Ｋvcが登録されているのかも書き込み登録されている。また、電子キーデータベース２２には、どの電子キー２ｂにどのようなSEEDコードＳsdが登録されているのかも書き込み登録されている。電子キーデータベース２２のSEEDコードＳsdは、センター２０において暗号鍵Ｋcrを、対応する車載器センター鍵Ｋvcに通すことにより作成されるものである。

オンライン登録の場合、照合ＥＣＵ４は、登録ツール１９から電子キー２ｂの追加登録命令を入力すると、電子キー２ｂから電子キーＩＤ「ＩＤ−２」を取得し、これをメモリ４ａに書き込んで保存する。また、照合ＥＣＵ４は、登録ツール１９を介してセンター２０にSEED作成要求を出力し、登録対象となっている電子キー２ｂのSEEDコードＳsdを作成させる。このとき、センター２０は、車載器データベース２１を参照して、使用すべき車載器センター鍵Ｋvc→「鍵−Ａ」を割り出し、いま登録対象となっている電子キー２ｂの暗号鍵「鍵−２」を「鍵−Ａ」に通すことにより、SEEDコード「Ａ２」を作成する。センター２０は、作成したSEEDコード「Ａ２」を、登録ツール１９を介して照合ＥＣＵ４に出力する。照合ＥＣＵ４は、センター２０から取得したSEEDコード「Ａ２」を、自身の車載器センター鍵「鍵−Ａ」に通して復号することにより暗号鍵「鍵−２」を生成し、これをメモリ４ａに書き込んで保存する。また、電子キー２には、追加登録の過程の中で車両１から通知される車載器ＩＤ「ＩＤ−Ａ」がメモリ１１ａに書き込まれる。

センター２０は、登録ツール１９からSEED作成要求を取得した際、追加登録されようとしている電子キー２ｂの電子キーＩＤが分かるので、追加登録される電子キー２ｂの電子キーＩＤ「ＩＤ−２」を車載器データベース２１に反映する。また、センター２０は、登録ツール１９へのSEEDコード「Ａ２」の送付後、追加登録される電子キー２ｂの暗号鍵「鍵−２」を車載器データベース２１に反映する。

この場合、電子キー登録システム１６に初回登録及び追加登録の２モードを設けることになる。よって、照合ＥＣＵ４に１つ目の電子キー２を初回登録するのみならず、必要に応じて照合ＥＣＵ４に２つ目以降の電子キー２を自由に追加登録することもできる。

・全消去禁止機能は、ＩＤ照合の通信が初めて実施されてからの経過時間が、出荷にかかる時間として規定された閾値に到達したとき、全消去機能を禁止する形式でもよい。この場合も、全消去機能を最適なタイミングで使用禁止に切り換えることができる。

・追加登録は、リアルタイム接続されたセンター２０との情報のやり取りによりキー登録を行うオンラインに限定されない。例えば、ネットワーク通信できない場所もあるので、このような場所では、車両１と電子キー２との間で登録が完結するオフラインとしてもよい。

・全消去機能は、照合ＥＣＵ４に保存されたキー情報を全て消去する機能に限定されず、複数登録されたうちの１キーや、暗号鍵Ｋcrのみなど、一部分を消去する機能でもよい。

・閾値Ｎｋは、１以上かつ出荷前必要通信回数Ｎｓの間の値に限定されず、Ｎｓでもよいし、Ｎｓよりも大きい値としてもよい。
・全消去機能を禁止する条件は、ＩＤ照合の通信回数ＮｘやＩＤ照合が初めて実施されてからの経過時間を監視する形式に限定されない。例えば、製造完了のトリガを受け付けたときや製造ラインから取り外されたときなど、適宜変更可能である。

・暗号鍵生成ロジックは、種々の演算式や関数が採用可能である。
・暗号鍵生成コードは、SEEDコードＳsdに限定されず、暗号鍵Ｋcrを暗号化したデータであれば、何でもよい。

・キー登録は、電子キーＩＤ及び暗号鍵Ｋcrの両方を登録する作業に限定されず、これらの一方のみ登録する形式でもよい。
・ＩＤ照合で使用する暗号通信は、チャレンジレスポンス認証に限定されず、他の暗号認証を採用可能である。

・車両１と登録ツール１９との通信は、有線に限らず、無線としてもよい。
・車両１や電子キー２は、センター２０との通信を、全て登録ツール１９を介して行うことに限定されない。例えば、車両１や電子キー２にネットワーク通信機能を設けて、これらがセンター２０と直に通信可能としてもよい。

・電子キー登録システム１６の登録方式は、実施形態に述べた方式（SEEDコードＳsdを使用した方式）に限定されず、電子キー２を照合ＥＣＵ４（車両１）に登録できれば、他の内容に適宜変更可能である。

・電子キー登録システム１６は、登録ツール１９を使用せず、例えば車両１と電子キー２とセンター２０とから構築されてもよい。
・電子キー登録システム１６は、初回登録及び追加登録の両方を有することに限定されず、一方のみを持つシステムとしてもよい。

・電子キー登録システム１６は、車両１に採用されることに限定されず、他の機器や装置に適用可能である。
・電子キー２に暗号鍵Ｋcrを予め保存しておくことに限定されない。例えば、電子キー２とセンター２０との間で対応付けられた電子キーセンター鍵を両者に登録しておき、暗号鍵Ｋcrを電子キーセンター鍵で暗号化して送付する形式をとってもよい。

１…通信対象としての車両、２（２ａ，２ｂ）…電子キー、４…制御装置としての照合ＥＣＵ、１６…電子キー登録システム、２４…監視手段としての禁止条件監視部、２６…全消去機能禁止手段としての全消去機能禁止部、Ｋcr…暗号鍵、Ｓsd…暗号鍵生成コードとしてのSEEDコード、ｆ…暗号鍵生成ロジック、Ｎｘ…暗号通信の回数、Ｎｋ…閾値、Ｎｓ…出荷前必要通信回数。

Claims (7)

1. 通信対象の制御装置に電子キーのキーＩＤ及び暗号鍵を関連付けて書き込むことにより、当該電子キーを前記通信対象に登録して、前記通信対象と前記電子キーとを暗号通信により認証可能とする電子キー登録システムにおいて、
   前記制御装置に登録された前記電子キーを当該制御装置から消去する全消去機能を備え、
   前記全消去機能を禁止する条件が揃ったか否かを監視する監視手段と、
   前記全消去機能を禁止する条件が揃ったとき、前記全消去機能を禁止する全消去機能禁止手段とを備えた
   ことを特徴とする電子キー登録システム。
2. 前記電子キーの登録は、
   前記電子キー毎に異なる値を持ち、認証に用いる暗号鍵を生成する際に使用する暗号鍵生成コードと、当該暗号鍵生成コードを暗号鍵生成ロジックに通して生成した暗号鍵とを、前記電子キーに保存し、
   前記通信対象毎に異なる固有の識別情報と前記暗号鍵生成ロジックとを、前記制御装置に保存し、
   前記電子キーから前記暗号鍵生成コードを取得し、前記制御装置の暗号鍵生成ロジックによって前記暗号鍵生成コードから暗号鍵を生成し、これを前記制御装置に保存する
   という登録であることを特徴とする請求項１に記載の電子キー登録システム。
3. 前記電子キーの登録は、前記制御装置に１つ目のキーを登録する初回登録である
   ことを特徴とする請求項１又は２に記載の電子キー登録システム。
4. 前記電子キー及び前記通信対象は、製造ラインにおいて、出荷前に最低限行う前記暗号通信の回数として規定された出荷前必要通信回数以上で前記暗号通信を実施し、
   前記全消去機能禁止手段は、前記暗号通信の回数が、１以上前記出荷前必要通信回数以下の間の閾値に到達したとき、前記全消去機能を禁止する
   ことを特徴とする請求項１〜３のうちいずれか一項に記載の電子キー登録システム。
5. 前記電子キー及び前記通信対象は、製造ラインにおいて、出荷前に最低限行う前記暗号通信の回数として規定された出荷前必要通信回数以上で前記暗号通信を実施し、
   前記全消去機能禁止手段は、前記暗号通信が初めて実施されてからの経過時間が、出荷にかかる時間として規定された閾値に到達したとき、前記全消去機能を禁止する
   ことを特徴とする請求項１〜３のうちいずれか一項に記載の電子キー登録システム。
6. 前記電子キーの登録には、前記制御装置に１つ目のキーを登録する初回登録と、当該制御装置に２つ目以降のキーを登録する追加登録とがある
   ことを特徴とする請求項１〜５のうちいずれか一項に記載の電子キー登録システム。
7. 前記全消去機能は、前記制御装置に登録された前記電子キーを当該制御装置から消去して、当該制御装置の状態を、該制御装置に前記電子キーが１つも登録されていない初期状態に戻す機能である
   ことを特徴とする請求項１〜６のうちいずれか一項に記載の電子キー登録システム。