JP2016203719A - メモリ管理装置、認証センタ、および認証システム - Google Patents

Abstract

【課題】正規な書換えであれば書換え場所に関わらず書換えを許可する一方、書換えツールによる不正な書換えを極力防止する技術を提供する。
【解決手段】車載の電子制御装置が備える書換え可能な不揮発性メモリに対する書換えを管理するメモリ管理装置の認証情報取得手段（Ｓ５００〜Ｓ５０６）は、書換えツールが不揮発性メモリに対する書換えを要求するときの書換え場所と書換え日時とを少なくとも含む認証情報を取得する。問い合わせ手段（Ｓ５１０）は、認証情報を認証センタに送信し、認証センタに登録されている、書換えツールが不揮発性メモリに対する書換えを要求する予定場所と予定日時とを少なくとも含む登録情報と認証情報とが一致するか否かを認証センタに問い合わせる。書換え判定手段（Ｓ５１２〜Ｓ５１６）は、認証センタから受信する問い合わせ結果に基づいて、不揮発性メモリに対する書換えツールの書換えを許可するか禁止するかを決定する。
【選択図】図６

Description

本発明は、車載の電子制御装置が備える書換え可能な不揮発性メモリに対する書換えを管理する技術に関する。

車載の電子制御装置には、制御プログラム、制御データ等のデータを、フラッシュメモリ等の書換え可能な不揮発性メモリに記憶しているものがある。不揮発性メモリに記憶されているデータは、制御プログラムのバージョンアップアップ、制御データの更新により書換えられることがある。不揮発性メモリの書換えは、例えば書換えツールにより実行される。

特許文献１に開示されている技術によると、不揮発性メモリに対する書換えツールの不正な書換えを防止するために、書換えツールが不揮発性メモリに対する書換えを実行しようとするときに、センタと電子制御装置とが書換えツールに対する認証処理を実行する。

例えば、センタは、書換えツールが電話回線で送信してきた書換えツールのＩＤと書換えツールの電話番号との対応関係に基づいて認証処理を実行する。盗まれた書換えツールが正規の作業場所以外からセンタとの間に回線を接続すると、センタが書換えツールから取得する電話番号は正規の作業場所における電話番号とは異なる。これにより、センタは、ＩＤと電話番号とが対応しないために不正な書換えが要求されたと判定する。

特開２００１−２２５７０６号公報

特許文献１に記載の技術のように、正規の作業場所で書換えツールがセンタとの間に回線を接続しているか否かを電話番号で判定すると、正規の作業場所以外では書換えツールを使用して書換えを実行できないという不便さが生じる。

一方、正規の作業場所において正規の書換えツールを使用すれば、作業場所で働いている人物か第３者かに関わらず、不正な書換えをしようとする人物がいつでも書換えを実行できる。

本発明は上記問題を解決するためになされたものであり、正規な書換えであれば書換え場所に関わらず書換えを許可する一方、書換えツールによる不正な書換えを極力防止する技術を提供することを目的とする。

本発明のメモリ管理装置は、車両に搭載される電子制御装置が備える書換え可能な不揮発性メモリに対する書換えを管理するメモリ管理装置であって、認証情報取得手段と、問い合わせ手段と、書換え判定手段と、を備えている。

認証情報取得手段は、書換えツールが不揮発性メモリに対する書換えを実際に要求するときの書換え場所と書換え日時とを少なくとも含む認証情報を取得する。問い合わせ手段は、認証情報取得手段が取得する認証情報を認証センタに送信し、予め認証センタに登録されている、書換えツールが不揮発性メモリに対する書換えを要求する予定場所と予定日時とを少なくとも含む登録情報と認証情報とが一致するか否かを認証センタに問い合わせる。

書換え判定手段は、問い合わせ手段が認証センタから受信する問い合わせ結果に基づいて、不揮発性メモリに対する書換えツールの書換えを許可するか禁止するかを決定する。
また、本発明の認証センタは、登録手段と、受付手段と、情報判定手段と、結果通知手段と、を備えている。

登録手段は、車両に搭載される電子制御装置が備える書換え可能な不揮発性メモリに対する書換えを書換えツールが実際に要求する前に、書換えの予定場所と予定日時とを少なくとも含む登録情報を予め取得して登録する。受付手段は、不揮発性メモリに対して書換えツールが実際に書換えを要求するときの書換え場所と書換え日時とを少なくとも含む認証情報を車両から受信し、登録情報と認証情報とが一致するか否かの問い合わせを車両から受ける。

情報判定手段は、受付手段が車両から問い合わせを受けると、登録手段が登録する登録情報と受付手段が受信する認証情報とが一致するか否かを判定する。結果通知手段は、情報判定手段の判定結果に基づいて車両に問い合わせ結果を送信する。

これら本発明のメモリ管理装置および認証センタの構成によれば、書換えツールから不正な書換えを要求して実行しようとしても、予め認証センタに登録されている、書換えツールが不揮発性メモリに対する書換えを要求する予定場所と予定日時とを少なくとも含む登録情報と、書換えツールが不揮発性メモリに対する書換えを実際に要求するときの書換え場所と書換え日時とを少なくとも含む認証情報とを一致させることは困難である。

例えば、書換えツールを盗み出しても、認証センタに登録されている予定場所と書換えを要求する書換え場所とは一致しない。また、予定場所と一致する書換え場所で書換えを実行しようとしても、予定日時と書換え日時とを一致させることは、予定日時を知っていない限り困難である。したがって、書換えツールによる不正な書換えを極力防止できる。

一方、予定場所と予定日時とを少なくとも含む登録情報と、書換え場所と書換え日時とを少なくとも含む認証情報とが一致する正規の書換え要求であれば許可されるので、任意の場所で書換えを実行できる。

尚、特許請求の範囲に記載した括弧内の符号は、一つの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、本発明の技術的範囲を限定するものではない。

認証処理を実行するための全体構成を示すブロック図。 認証システムを示すブロック図。 認証処理の全体を示すシーケンス図。 登録処理を示すシーケンス図。 書換え処理を示すフローチャート。 問い合わせ処理を示すフローチャート。 整合性チェック処理を示すフローチャート。

以下、本発明が適用された実施形態を図に基づいて説明する。
［１．構成］
図１に示すように、本実施形態による認証処理は、車両１０と書換えツール１００と販売店２００と認証センタ２１０とにより実行される。

図２に示す認証システム２は、エンジンＥＣＵ（電子制御装置）２０と、メモリ管理ＥＣＵ３０と、ＧＰＳセンサ４０と、通信装置５０と、書換えツール１００と、認証センタ２１０とを備えている。エンジンＥＣＵ２０とメモリ管理ＥＣＵ３０とＧＰＳセンサ４０とは、車内ＬＡＮ６０により互いに接続されている。書換えツール１００は、コネクタ等により車内ＬＡＮ６０に接続される。図２では、エンジンＥＣＵ２０およびメモリ管理ＥＣＵ３０以外のその他の車載ＥＣＵの記載を省略している。

エンジンＥＣＵ２０は、ＣＰＵ２２とＲＡＭ２４とＲＯＭ２６とフラッシュメモリ２８等を備えるマイクロコンピュータを搭載している。ＲＯＭ２６には、エンジン制御を実行するための変更不要な制御プログラムと制御データ等が記憶されている。さらに、ＲＯＭ２６には、エンジンＥＣＵ２０を一意に特定するシリアル番号等の装置ＩＤが暗号化されて記憶されている。

書換え可能な不揮発性メモリであるフラッシュメモリ２８には、書換える可能性のあるエンジン制御を実行する制御プログラムおよび制御データ等が記憶されている。
メモリ管理ＥＣＵ３０は、ＣＰＵ３２とＲＡＭ３４とＲＯＭ３６等を備えるマイクロコンピュータを搭載している。メモリ管理ＥＣＵ３０は、エンジンＥＣＵ２０等の車載のＥＣＵに対する書換えツール１００による書換えを管理する。メモリ管理ＥＣＵ３０は、ＧＰＳセンサ４０から、車両１０の位置と現在の日時とを取得する。また、メモリ管理ＥＣＵ３０は、通信装置５０を介して認証センタ２１０と通信する。

書換えツール１００は、ＣＰＵ１０２とＲＡＭ１０４とＲＯＭ１０６等を備えるマイクロコンピュータを搭載している。ＲＯＭ１０６には、書換え処理を実行するプログラムと、暗号化されたツールＩＤ等が記憶されている。書換えツール１００は、データを書換える必要のあるフラッシュメモリを搭載している車両の場所まで移動させることができる。

認証センタ２１０は、処理装置２１２と通信装置２１４とＤＢ装置２２０等を備えている。処理装置２１２は、エンジンＥＣＵ２０等の車載ＥＣＵに対する書換えツール１００による書換えを管理するために、通信装置２１４を用いて車両１０および後述する登録用端末と通信を行う。ＤＢ装置２２０には、書換えツール１００による書換えの可否を判定するための各種ＤＢが記憶されている。

［２．処理］
［２−１．認証処理］
本実施形態による認証処理の全体を図３のシーケンス図に基づいて説明する。図３のシーケンス図および後述する図４〜図７のフローチャートにおいて、「Ｓ」はステップを表わしている。

Ｓ４００において、車両の販売店２００に設置されている図示しない登録用端末は、エンジンＥＣＵ２０のフラッシュメモリ２８に対する書換えを書換えツール１００が実際に要求する前に、登録情報を暗号化して認証センタ２１０に予め送信する。登録情報には、以下に示す（１）〜（４）の情報が含まれる。
（１）書換えツール１００が書換えを実行する予定場所
（２）書換えツール１００が書換えを実行する予定日時
（３）書換えツール１００が書換えを実行するエンジンＥＣＵ２０の装置ＩＤ
（４）書換えツール１００のツールＩＤ
登録情報のうち書換えの予定場所には、書換えツール１００による正規な書換えが実行されるときの場所が登録される。例えば、販売店を含む正規な店舗、または車両１０の所有者の家の場所が、所定の範囲で登録される。

登録情報のうち書換えの予定日時には、書換えツール１００による正規な書換えが実行されるときの期間が登録される。例えば、書換えの予定場所が販売店を含む正規な店舗の場合には、店舗の営業日における営業時間内の所定の時間帯が登録される。また、書換えの予定場所が車両１０の所有者の家である場合には、深夜を除く所定の時間帯が登録される。

販売店２００に設置されている登録用端末は、登録情報を認証センタ２１０に登録するための専用端末である。専用の登録用端末であっても、登録情報を認証センタ２１０に登録するための専用のアカウントにユーザＩＤおよびパスワード等を入力してログインすることが望ましい。

認証センタ２１０は、登録用端末から送信された登録情報が正規の登録情報であるか否かをチェックする（Ｓ４０２）。正規の登録情報であれば、認証センタ２１０は、登録用端末から送信された登録情報を記憶して登録を完了するとともに、登録結果として、例えば「登録成功」を暗号化して登録用端末に送信する（Ｓ４０４）。

正規の登録情報でなければ、認証センタ２１０は、登録情報を登録することを拒否するとともに、登録結果として、例えば「登録拒否」を暗号化して登録用端末に送信する（Ｓ４０４）。登録情報のチェック内容の詳細は、図４の登録処理で説明する。

Ｓ４０４で認証センタ２１０から受信するチェック結果が「登録成功」であれば、販売店２００において、書換え対象であるエンジンＥＣＵ２０の種別と、フラッシュメモリ２８を書換える書換えデータとを書換えツール１００に入力する（Ｓ４０６）。

書換えツール１００に入力する書換え対象のＥＣＵの種別は、車両１０内の複数の車載ＥＣＵからエンジンＥＣＵ２０を特定できればよいので、ＥＣＵのシリアル番号のような装置ＩＤである必要はない。ＥＣＵの種別として、例えば「エンジンＥＣＵ」という名称が入力される。

書換えを実行する予定場所において予定日時になると、書換え作業者は、車両１０に書換えツール１００を接続して起動する。書換えツール１００は、暗号化してＲＯＭ１０６に記憶されているツールＩＤを復号化し（Ｓ４０８）、書換え対象であるＥＣＵの種別と自身のツールＩＤと書換えデータとを公開鍵または共通鍵を用いて暗号化し、暗号化したデータとともに書換え要求を車内ＬＡＮ６０に送信する（Ｓ４１０）。

尚、書換えツール１００のＲＯＭ１０６にツールＩＤを記憶するときの暗号化と、書換えツール１００から車内ＬＡＮ６０にデータを送信するときの暗号化とは異なる方式である。

メモリ管理ＥＣＵ３０は、書換えツール１００から受信した暗号化されたデータを復号化する。そして、書換え対象を示すＥＣＵの種別から、書換え対象が「エンジンＥＣＵ」であることを知る。

メモリ管理ＥＣＵ３０は、書換えツール１００から書換え要求を受信すると、ＧＰＳセンサ４０から、車両１０の位置と現在の日時とを取得する（Ｓ４１２、Ｓ４１４）。メモリ管理ＥＣＵ３０は、書換え対象が「エンジンＥＣＵ」であることに基づき、エンジンＥＣＵ２０のＲＯＭ２６に記憶されている暗号化された装置ＩＤを取得して復号化する（Ｓ４１６）。

メモリ管理ＥＣＵ３０は、ＧＰＳセンサ４０から取得した車両１０の位置と現在の日時、ならびにエンジンＥＣＵ２０から取得した装置ＩＤと書換えツール１００から取得したツールＩＤを公開鍵または共通鍵を用いて暗号化し、通信装置５０を使用して認証情報として認証センタ２１０に送信する（Ｓ４１８）。

認証センタ２１０は、予め販売店２００の登録用端末から登録された登録情報と、車両１０から受信した認証情報とが一致するか否かの整合性をチェックし（Ｓ４２０）、チェック結果を暗号化して車両１０に送信する（Ｓ４２２）。

認証センタ２１０から受信するチェック結果が登録情報と認証情報とが一致するので「書換え許可」であれば、メモリ管理ＥＣＵ３０は、書換えツール１００から受信した書換えデータでフラッシュメモリ２８のデータを書換えることをエンジンＥＣＵ２０に許可する（Ｓ４２４）。この場合、エンジンＥＣＵ２０は、書換えツール１００から受信した書換えデータでフラッシュメモリ２８のデータを書換える。

認証センタ２１０から受信するチェック結果が登録情報と認証情報との不一致のために「書換え禁止」であれば、メモリ管理ＥＣＵ３０は、書換えツール１００から受信した書換えデータでフラッシュメモリ２８のデータを書換えることをエンジンＥＣＵ２０に禁止する（Ｓ４２６）。この場合、エンジンＥＣＵ２０は、書換えツール１００から受信した書換えデータでフラッシュメモリ２８のデータを書換えない。

エンジンＥＣＵ２０は、認証センタ２１０に許可されて書換えを成功したか認証センタ２１０に禁止されて書換えを失敗したかのいずれかを、書換え結果として書換えツール１００に送信する（Ｓ４２８）。書換えツール１００は、エンジンＥＣＵ２０から受信した書換え結果を、例えばディスプレイまたは音声等により書換え作業者に報知する（Ｓ４３０）。

［２−２．登録処理］
図４に基づいて、認証センタ２１０が販売店２００の登録用端末から登録要求を受け付けるときに実行する登録処理について説明する。

認証センタ２１０の処理装置２１２は、販売店２００の登録用端末が登録情報を登録するためにアカウントにログインしたときのパスワード等のログイン情報を取得する（Ｓ４４０）。処理装置２１２は、認証センタ２１０が有するＤＢ装置２２０に記憶されているアカウント管理ＤＢ２２２を検索し、登録用端末から取得したログイン情報が登録されているか否か、登録されていても、過去に不正な書換えの登録を行った登録用端末のアカウントであるか否かをチェックする（Ｓ４４２）。

尚、ＤＢ装置２２０には、アカウント管理ＤＢ２２２だけでなく、後述する書換え場所管理ＤＢ２２４、書換え日時管理ＤＢ２２６、ツールＩＤ管理ＤＢ２２８、装置ＩＤ管理ＤＢ２３０、および登録管理ＤＢ２３２が設置されている。

ログイン情報が登録されていないか、あるいは登録されていても過去に不正な書換えの登録を行った登録用端末のアカウントであれば、信用できないと判断し（Ｓ４４４：Ｎｏ）、Ｓ４７２に処理を移行する。

登録済みであり、かつ過去に不正な書換えの登録を行っていないアカウントであれば、信用できると判断し（Ｓ４４４：Ｙｅｓ）、認証センタ２１０は、以下の処理において、登録用端末から登録情報を項目毎に受信して取得する。認証センタ２１０が登録用端末から取得する登録情報は暗号化されているので、認証センタ２１０で復号化する。

認証センタ２１０の処理装置２１２は、登録用端末から書換えの予定場所を取得し（Ｓ４４６）、書換え場所管理ＤＢ２２４を検索し、書換えの予定場所が妥当であるか否かをチェックする（Ｓ４４８）。

書換え場所管理ＤＢ２２４には、例えば、妥当ではない書換えの予定場所として、以前に不正な書換えが行われた場所、過去に車両の盗難が発生した場所等が記憶されている。また、書換え場所管理ＤＢ２２４には、例えば、妥当な書換えの予定場所として、販売店２００を含む正規の店舗の場所、ならびに車両１０の所有者の家の場所等が登録されている。書換えの予定場所が妥当ではない場合（Ｓ４５０：Ｎｏ）、Ｓ４７２に処理を移行する。

書換えの予定場所が妥当であれば（Ｓ４５０：Ｙｅｓ）、処理装置２１２は、登録用端末から書換えの予定日時を取得する（Ｓ４５２）。処理装置２１２は、書換え日時管理ＤＢ２２６を検索し、書換えの予定日時が妥当であるか否かをチェックする（Ｓ４５４）。

書換え日時管理ＤＢ２２６には、例えば、妥当ではない書換えの予定日時として、書換えの予定場所が店舗の場合には店舗の休店日および営業時間外等が記憶されており、書換えの予定場所が車両１０の所有者の家の場合には深夜の時間帯等が記憶されている。書換えの予定日時が妥当ではない場合（Ｓ４５６：Ｎｏ）、Ｓ４７２に処理を移行する。

書換えの予定日時が妥当であれば（Ｓ４５６：Ｙｅｓ）、処理装置２１２は、登録用端末からツールＩＤを取得する（Ｓ４５８）。処理装置２１２は、ツールＩＤ管理ＤＢ２２８を検索し、ツールＩＤが妥当であるか否かをチェックする（Ｓ４６０）。

ツールＩＤ管理ＤＢ２２８には、例えば、妥当ではないツールＩＤとして、盗難された登録用端末のツールＩＤ等が記憶されている。ツールＩＤが妥当ではない場合（Ｓ４６２：Ｎｏ）、Ｓ４７２に処理を移行する。

ツールＩＤが妥当であれば（Ｓ４６２：Ｙｅｓ）、処理装置２１２は、登録用端末から書換え対象となるＥＣＵの装置ＩＤを取得する（Ｓ４６４）。処理装置２１２は、装置ＩＤ管理ＤＢ２３０を検索し、装置ＩＤが書換え対象のＥＣＵの装置ＩＤとして妥当であるか否かをチェックする（Ｓ４６６）。

装置ＩＤ管理ＤＢ２３０には、例えば、妥当ではない装置ＩＤとして、まだ市場に出荷されていない未出荷のＥＣＵの装置ＩＤ、あるいは他車で既に使用されているＥＣＵの装置ＩＤ等が記憶されている。装置ＩＤが妥当ではない場合（Ｓ４６８：Ｎｏ）、Ｓ４７２に処理を移行する。

装置ＩＤが妥当であれば（Ｓ４６８：Ｙｅｓ）、処理装置２１２は、これまで登録用端末から取得した書換えの予定場所、書換えの予定日時、ツールＩＤ、および装置ＩＤを正規の登録情報として登録管理ＤＢ２３２に登録して登録を完了、登録結果として「登録成功」を登録用端末に送信する（Ｓ４７０）。

Ｓ４７２において、処理装置２１２は、これまで登録用端末から取得した登録情報を登録管理ＤＢ２３２に登録せず、登録結果として「登録拒否」を登録用端末に送信する。書換えの予定場所、書換えの予定日時、ツールＩＤ、または装置ＩＤが妥当ではないとしてＳ４７２に処理が移行した場合、処理装置２１２は、今回ログインしたアカウントを、不正な書換えを登録しようとした信用できないアカウントとしてアカウント管理ＤＢ２２２に登録してもよい。

［２−３．書換え処理］
図５に基づいて、書換えツール１００が実行する書換え処理について説明する。書換えツール１００には、自身のツールＩＤと書換え対象であるＥＣＵの種別と書換えデータとが記憶されている。

車両１０に接続されて起動されると、書換えツール１０は、暗号化して記憶されているツールＩＤをＲＯＭ１０６から取得して復号化する（Ｓ４８０、Ｓ４８２）。
そして、書換え対象であるＥＣＵの種別と復号化した自身のツールＩＤと書換えデータとを公開鍵または共通鍵を用いて暗号化し、暗号化したデータとともに書換え要求を車両１０に送信する（Ｓ４８４）。

車両１０から受信する書換え結果が正常終了であれば（Ｓ４８６：Ｙｅｓ）、書換えツール１００は、「書換え成功」をディスプレイ、音声等で書換え作業者に報知する（Ｓ４８８）。車両１０から受信する書換え結果が「書換え拒否」であれば（Ｓ４８６：Ｎｏ）、書換えツール１００は、書換え失敗をディスプレイ、音声等で書換え作業者に報知する（Ｓ４９０）。尚、書換えツール１００は、書換え結果を通信により販売店２００に送信してもよい。

［２−４．問い合わせ処理］
図６に基づいて、メモリ管理ＥＣＵ３０が実行する問い合わせ処理について説明する。
メモリ管理ＥＣＵ３０は、書換えツール１００から書換え要求とともに、書換え対象であるエンジンＥＣＵ２０の種別と書換えツール１００のツールＩＤと書換えデータとを暗号化したデータを受信すると（Ｓ５００）、車両１０の位置と現在の日時とをＧＰＳセンサ４０から取得する（Ｓ５０２、Ｓ５０４）。

メモリ管理ＥＣＵ３０がＧＰＳセンサ４０から取得する車両１０の位置と現在の日時とは、書換えツール１００が書換えを要求するときの書換え場所と書換え日時とに相当する。

メモリ管理ＥＣＵ３０は、書換えツール１００から受信した暗号化されたデータを復号化し、書換え対象を示すＥＣＵの種別から、書換え対象が「エンジンＥＣＵ」であることを知る。メモリ管理ＥＣＵ３０は、書換え対象であるエンジンＥＣＵ２０のＲＯＭ２６から暗号化された装置ＩＤを取得して復号化する（Ｓ５０６、Ｓ５０８）。

メモリ管理ＥＣＵ３０は、エンジンＥＣＵ２０の装置ＩＤと、書換えツール１００のツールＩＤと、ＧＰＳセンサ４０から取得した車両１０の位置および現在の日時とを公開鍵または共通鍵を用いて暗号化し、認証情報として通信装置５０を使用して認証センタ２１０に送信し、送信した認証情報と予め認証センタ２１０に登録されている登録情報との整合性を問い合わせる（Ｓ５１０）。

認証センタ２１０から受信する問い合わせ結果が登録情報と認証情報とが一致しているので「書換え許可」であれば（Ｓ５１２：Ｙｅｓ）、メモリ管理ＥＣＵ３０は、エンジンＥＣＵ２０に書換えツール１００から送信された書換えデータによるフラッシュメモリ２８のデータの書換えを許可し（Ｓ５１４）、Ｓ５１８に処理を移行する。この場合、書換えツール１００による書換え要求は成功である。

フラッシュメモリ２８のデータの書換えを許可されると、エンジンＥＣＵ２０は書換えツール１００から受信した書換えデータでフラッシュメモリ２８のデータを書換える。この場合、書換えツール１００から受信した暗号化された書換えデータの復号化は、メモリ管理ＥＣＵ３０が実行してもよいし、書換え対象であるエンジンＥＣＵ２０が実行してもよい。

認証センタ２１０から受信する問い合わせ結果が登録情報と認証情報とが不一致であるために「書換え禁止」であれば（Ｓ５１２：Ｎｏ）、メモリ管理ＥＣＵ３０は、不正な書換えが行われようとしていると判断する。この場合、書換えツール１００による書換え要求は失敗である。メモリ管理ＥＣＵ３０は、エンジンＥＣＵ２０にフラッシュメモリ２８の書換えを禁止するとともに、エンジンの始動禁止等の車両走行の機能制限を指示し（Ｓ５１６）、Ｓ５１８に処理を移行する。

Ｓ５１８において、メモリ管理ＥＣＵ３０は、認証センタ２１０から書換えを許可されてエンジンＥＣＵ２０がフラッシュメモリ２８に対する書換えを実行すると「書換え成功」を書換えツール１００に送信する。一方、メモリ管理ＥＣＵ３０は、認証センタ２１０から書換えを禁止されると、「書換え失敗」を書換えツール１００に送信する。

［２−５．整合性チェック処理］
図７に基づいて、認証センタ２１０が車両１０から整合性チェックの問い合わせを受信するときに実行する整合性チェック処理について説明する。

認証センタ２１０の処理装置２１２は、車両１０から整合性チェックの問い合わせと、認証情報とを受信すると（Ｓ５２０）、登録管理ＤＢ２３２に予め登録されている登録情報と受信した認証情報とが一致するか否かの整合性チェックを実行する（Ｓ５２２）。

登録情報と認証情報とが一致すれば（Ｓ５２４：Ｙｅｓ）、処理装置２１２は、通信装置２１４を使用して、チェック結果として「書換え許可」を車両１０に送信して通知する（Ｓ５２６）。登録情報と認証情報とが不一致であれば（Ｓ５２４：Ｎｏ）、処理装置２１２は、通信装置２１４を使用して、チェック結果として「書換え禁止」を車両１０に送信して通知する（Ｓ５２８）。

［３．効果］
以上説明した上記実施形態では、以下の効果を得ることができる。
（１）書換えツール１００から車載のＥＣＵに対し不正な書換えを実行しようとしても、作業者は登録情報が分からないので、登録情報と認証情報とを一致させることは困難である。

さらに、登録情報が書換えを実行する予定場所と予定日時とを含んでいるので、例えば、正規の書換えツール１００を盗み出しても、認証センタ２１０に登録されている予定場所と書換えを要求する書換え場所とは一致しない。また、予定場所と一致する書換え場所で書換えを実行しようとしても、予定日時と書換え日時とを一致させることは、予定日時を知っていない限り困難である。

また、認証センタ２１０に登録されている登録情報を不正な書換えの作業者が予め知り得たとしても、書換え場所において書換え日時には、正規な書換えをする作業者が現れる。したがって、予定場所と実際の書換え場所、ならびに予定日時と実際の書換え日時を一致させて不正な書換えを発覚させずに実行することは困難である。

このように、書換えを実行する前に書換えの予定場所と予定日時とを少なくとも含む登録情報を予め認証センタ２１０に登録しておき、実際に書換えを実行するときに書換え場所と書換え日時とを少なくとも含む認証情報と登録情報との整合性をチェックするという２段階のメモリ管理を行うので、車載のＥＣＵに搭載された書換え可能な不揮発メモリに対する不正な書換えを極力防止できる。

（２）登録情報と認証情報とに書換え場所が含まれるので、販売店２００等の固定の場所に限らず、正規の店舗、あるいは車両１０の所有者の家等の正規な場所を登録情報として予め登録すれば、正規な任意の登録場所で書換えを実行することができる。

（３）専用の登録用端末または専用のアカウントでログインして登録情報を認証センタ２１０に登録するので、不正な登録情報の登録を低減できる。
（４）不正な書換えが要求されると車両走行の機能を制限するので、その車両を正常に走行させることができなくなる。例えば、車両が盗まれている場合には、盗難車両を移動させることが困難になる。

（５）エンジンＥＣＵ２０の装置ＩＤをＲＯＭ２６に暗号化して記憶するので、ＲＯＭ２６のデータを不正に読み取られても、装置ＩＤが記憶されている位置を識別することは困難である。これにより、装置ＩＤを書換えたＲＯＭを複製することを防止できる。

（６）書換えツール１００のツールＩＤをＲＯＭ１０６に暗号化して記憶するので、ＲＯＭ１０６のデータを不正に読み取られても、ツールＩＤが記憶されている位置を識別することは困難である。これにより、ツールＩＤを書換えたＲＯＭを複製することを防止できる。

［４．他の実施形態］
（１）上記実施形態では、登録情報と認証情報とが一致するか否かの車両１０からの問い合わせに対し、認証センタ２１０は、登録情報と認証情報とが一致する場合には「書換え許可」を、不一致の場合には「書換え禁止」を問い合わせ結果として車両１０に送信した。

これに対し、登録情報と認証情報とが一致するか否かの車両１０からの問い合わせに対し、認証センタ２１０は、「一致」または「不一致」だけを問い合わせ結果として車両１０に送信してもよい。この場合、車両１０に搭載されたメモリ管理装置３０は、問い合わせ結果が「一致」の場合にはフラッシュメモリ２８に対する書換えを許可し、問い合わせ結果が「不一致」の場合にはフラッシュメモリ２８に対する書換えを禁止することを決定する。

（２）車載のＥＣＵが備える書換え可能な不揮発性メモリに対する書換えを管理するのであれば、書換え対象はエンジンＥＣＵ２０に限らず他のＥＣＵであってもよい。
（３）上記実施形態では、エンジンＥＣＵ２０のフラッシュメモリ２８に対する書換えをエンジンＥＣＵ２０とは別のメモリ管理ＥＣＵ３０が管理した。これに対し、書換え対象となる車載ＥＣＵ自身が、自身の書換え可能な不揮発性メモリに対する書換えを管理してもよい。

（４）認証センタ２１０が登録情報の登録を許可しない場合、不正な書換えを登録しようとしていると判断し、認証センタ２１０が販売店２００、車両１０の所有者、または警察等に通報してもよい。

（５）書換えを実行するときの現在の日時は、ＧＰＳセンサ４０ではなく、通信装置５０を介してインターネットの日時サーバから取得してもよいし、車載の時計から取得してもよい。

（６）上記実施形態の図４における登録情報のチェックは、登録用端末から受信する登録情報の項目毎に実行するのではなく、すべての登録情報を受信してからまとめて実行してもよい。

（７）上記実施形態では、メモリ管理ＥＣＵ３０とは別の通信装置５０が認証センタ２１０と通信した。これに対し、認証センタ２１０と通信する通信装置をメモリ管理ＥＣＵ３０に設置してもよい。

（８）エンジンを始動するときに、車載のＥＣＵ同士でそれぞれの正当性を認証キーに基づいて認証するシステムに本発明を適用してもよい。ＥＣＵを交換するときには、交換したＥＣＵに対して書換えツール１００が認証キーの書換えを行う。この場合、上記実施形態では、認証キーを書換えるための登録情報を予め認証センタ２１０に登録する。その結果、不正なＥＣＵの交換を行っても認証キーの書換えが許可されないので、エンジンを始動させることを防止できる。

（９）上記実施形態における一つの構成要素が有する機能を複数の構成要素として分散させたり、複数の構成要素が有する機能を一つの構成要素に統合させたりしてもよい。また、上記実施形態の構成の少なくとも一部を、同様の機能を有する公知の構成に置き換えてもよい。また、上記実施形態の構成の一部を、課題を解決できる限りにおいて省略してもよい。尚、特許請求の範囲に記載した文言のみによって特定される技術思想に含まれるあらゆる態様が本発明の実施形態である。

（１０）上述したメモリ管理ＥＣＵ３０、認証センタ２１０の他、当該メモリ管理ＥＣＵ３０と認証センタ２１０とを構成要素とする認証システム２、当該メモリ管理ＥＣＵ３０としてコンピュータを機能させるためのメモリ管理プログラム、このメモリ管理プログラムを記録した記録媒体、メモリ管理方法など、種々の形態で本発明を実現することもできる。

２：認証システム、２０：エンジンＥＣＵ（電子制御装置、制御手段）、２６：ＲＯＭ（装置ＩＤ記憶部）、２８：フラッシュメモリ（書換え可能な不揮発性メモリ）、３０：メモリ管理ＥＣＵ（メモリ管理装置、認証情報取得手段、問い合わせ手段、書換え判定手段）、４０：ＧＰＳセンサ（位置検出手段）、５０：通信装置、１００：書換えツール（書換え要求手段）、１０６：ＲＯＭ（ツールＩＤ記憶部）、２１０：認証センタ（登録手段、受付手段、情報判定手段、結果通知手段、妥当性判定手段と、登録拒否手段）

Claims (12)

1. 車両（１０）に搭載される電子制御装置（２０）が備える書換え可能な不揮発性メモリ（２８）に対する書換えを管理するメモリ管理装置（３０）であって、
   書換えツール（１００）が前記不揮発性メモリに対する書換えを実際に要求するときの書換え場所と書換え日時とを少なくとも含む認証情報を取得する認証情報取得手段（Ｓ５００〜Ｓ５０６）と、
   前記認証情報取得手段が取得する前記認証情報を認証センタ（２１０）に送信し、予め前記認証センタに登録されている、前記書換えツールが前記不揮発性メモリに対する書換えを要求する予定場所と予定日時とを少なくとも含む登録情報と前記認証情報とが一致するか否かを前記認証センタに問い合わせる問い合わせ手段（Ｓ５１０）と、
   前記問い合わせ手段が前記認証センタから受信する問い合わせ結果に基づいて、前記不揮発性メモリに対する前記書換えツールの書換えを許可するか禁止するかを決定する書換え判定手段（Ｓ５１２〜Ｓ５１６）と、
   を備えることを特徴とするメモリ管理装置。
2. 請求項１に記載のメモリ管理装置であって、
   前記認証情報取得手段（Ｓ５００）は、前記書換えツールから前記認証情報として前記書換えツールのツールＩＤをさらに取得し、
   前記問い合わせ手段は、前記認証情報取得手段が取得する前記ツールＩＤを含む前記認証情報を前記認証センタに送信し、前記不揮発性メモリに対する書換えを要求する予定の書換えツールとして予め前記認証センタに登録されている書換えツールのツールＩＤを含む前記登録情報と前記認証情報とが一致するか否かを問い合わせる、
   ことを特徴とするメモリ管理装置。
3. 請求項１または２に記載のメモリ管理装置であって、
   前記認証情報取得手段（Ｓ５０６）は、前記書換えツールが書換え対象とする前記電子制御装置の装置ＩＤをさらに取得し、
   前記問い合わせ手段は、前記認証情報取得手段が取得する前記装置ＩＤを含む前記認証情報を前記認証センタに送信し、書換え対象の前記電子制御装置の装置ＩＤとして予め前記認証センタに登録されている前記装置ＩＤを含む前記登録情報と前記認証情報とが一致するか否かを問い合わせる、
   ことを特徴とするメモリ管理装置。
4. 請求項３に記載のメモリ管理装置であって、
   前記書換えツールが書換え対象とする前記電子制御装置の前記装置ＩＤは暗号化して前記電子制御装置の装置ＩＤ記憶部（２６）に記憶されており、
   前記認証情報取得手段は、前記書換えツールが書換え対象とする前記電子制御装置から暗号化された前記装置ＩＤを取得する、
   ことを特徴とするメモリ管理装置。
5. 請求項１から４のいずれか一項に記載のメモリ管理装置であって、
   前記問い合わせ手段が前記認証センタから受信する前記問い合わせ結果が、前記認証情報と前記登録情報との不一致、あるいは不一致であるために前記不揮発性メモリに対する前記書換えツールによる書換えの禁止である場合、前記書換え判定手段（Ｓ５１６）は、前記車両の走行を制御する制御手段（２０）に走行の制限を指示する、
   ことを特徴とするメモリ管理装置。
6. 請求項１から５のいずれか一項に記載のメモリ管理装置であって、
   前記認証情報取得手段（Ｓ５０２）は、測位衛星の測位信号に基づいて前記車両の位置を検出する位置検出手段（４０）から前記書換え場所を取得する、
   ことを特徴とするメモリ管理装置。
7. 請求項１から６のいずれか一項に記載のメモリ管理装置であって、
   前記書換えツールが書換え対象とする前記電子制御装置が前記メモリ管理装置を兼ねている、
   ことを特徴とするメモリ管理装置。
8. 車両（１０）に搭載される電子制御装置（２０）が備える書換え可能な不揮発性メモリ（２８）に対する書換えを書換えツール（１００）が実際に要求する前に、前記書換えの予定場所と予定日時とを含む登録情報を予め取得して登録する登録手段（Ｓ４４６〜Ｓ４７０）と、
   前記不揮発性メモリに対して前記書換えツールが実際に書換えを要求するときの書換え場所と書換え日時とを少なくとも含む認証情報を前記車両から受信し、前記登録情報と前記認証情報とが一致するか否かの問い合わせを前記車両から受ける受付手段（Ｓ５２０）と、
   前記受付手段が前記車両から前記問い合わせを受けると、前記登録手段が登録する前記登録情報と前記受付手段が受信する前記認証情報とが一致するか否かを判定する情報判定手段（Ｓ５２２、Ｓ５２４）と、
   前記情報判定手段の判定結果に基づいて前記車両に問い合わせ結果を送信する結果通知手段（Ｓ５２６、Ｓ５２８）と、
   を備えることを特徴とする認証センタ（２１０）。
9. 請求項８に記載の認証センタであって、
   前記登録手段は、前記登録情報を送信する専用端末または前記登録情報の登録専用のアカウントを有する端末から前記登録情報を取得する、
   ことを特徴とする認証センタ。
10. 請求項８または９に記載の認証センタであって、
    前記登録手段（Ｓ４６４）は、前記登録情報の一部として書換え対象である前記電子制御装置の装置ＩＤを取得し、
    前記登録手段が取得する前記装置ＩＤが書換え対象となる電子制御装置の装置ＩＤとして妥当であるか否かを判定する妥当性判定手段と、
    前記妥当性判定手段が妥当ではないと判定すると、該当する前記装置ＩＤを含む前記登録情報の登録を拒否する登録拒否手段（Ｓ４６６、Ｓ４６８、Ｓ４７２）と、を備える、
    ことを特徴とする認証センタ。
11. 請求項１から７のいずれか一項に記載のメモリ管理装置（３０）と、
    請求項８から１０のいずれか一項に記載の認証センタ（２１０）と、
    前記不揮発性メモリに対する書換えを要求する前記書換えツール（１００）と、
    を備えることを特徴とする認証システム（２）。
12. 請求項１１に記載の認証システムであって、
    前記書換えツールは、
    前記不揮発性メモリに対する書換えを要求する書換え要求手段（Ｓ４８４）と、
    暗号化されたツールＩＤを記憶しているツールＩＤ記憶部（１０６）と、
    を備え、
    前記書換え要求手段は、前記不揮発性メモリに対する書換えを要求するときに、請求項２、あるいは請求項２を引用する請求項３から７のいずれか一項に記載のメモリ管理装置が前記認証センタに送信する前記認証情報の一部として、前記ツールＩＤ記憶部に記憶されている暗号化された前記ツールＩＤを前記車両に送信する、
    ことを特徴とする認証システム。

Images