JP5855957B2 - 携帯機登録システム - Google Patents

Description

この発明は、携帯機を通信対象の制御装置に登録する携帯機登録システムに関する。

従来、車両のユーザにより所持される携帯機と車両との間で暗号化通信を行い、認証が成立することに基づいて、ドアの施解錠やエンジンの始動停止等を行う携帯機システムが知られている。そして、このような携帯機システムでは、セキュリティ性を維持するために、携帯機と車両との間の通信を保護する必要がある。このため、携帯機システムでは、携帯機と車両との間で暗号通信が行われている（例えば、特許文献１参照）。暗号通信では、通信内容が暗号化されるので、秘匿性に優れる。

上記暗号通信の暗号方式としては、共通鍵暗号方式が採用される。共通鍵暗号方式では、暗号化と復号に同一の暗号鍵を使用する。このため、携帯機と車両との両方に同一の暗号鍵を持たせておく必要がある。携帯機及び車両への暗号鍵の登録は、携帯機を車両の制御装置に登録する過程で行われる。制御装置は、携帯機から無線送信された識別情報と自身に記憶された識別情報との照合によって携帯機との認証を行う。

特開２００９−３０２８４８号公報

ところで、携帯機を制御装置に登録する携帯機登録システムにおいては、制御装置と携帯機との間で紐付けがなければ、どの携帯機を持ってきても制御装置に登録が可能となり、ユーザ以外の携帯機が制御装置に登録されるおそれがある。そこで、本願発明者は、登録される車両のビークルＩＤ（車両に固有の識別情報）を制御装置及び携帯機に予め記憶させた状態で出荷することを考えた。しかしながら、出荷された携帯機から、車両に固有の識別情報を読み込み、正規に出荷された携帯機と同じものが不正に複製されるおそれがある。この場合、制御装置は、複製された携帯機を、自身に対応する携帯機であると判定してしまう。

そこで、本願発明者は、携帯機が複製されるのを防ぐ暗号鍵の登録方法を検討している。例えば、携帯機には暗号鍵を生成するのに必要なコードを、制御装置にはコードから暗号鍵を生成するのに必要なロジックを予め記憶させておく。そして、暗号鍵の登録時には、携帯機からコードを送信させ、そのコードを受信した制御装置が当該コードからロジックを使用して暗号鍵を生成し、これを登録する。携帯機は、コードの送信後、当該コードを消去する。このように、制御装置は、コードからしか暗号鍵を登録することができない。すなわち、コードが消去された携帯機は、制御装置に登録されない。従って、コードが消去された携帯機が複製されても、その携帯機を使用して、車両を不正に利用することは難しい。

一方で、コードが消去された携帯機は、その時点で制御装置に登録することができなくなる。そのため、コードが消去された携帯機を、何らかの理由により他の制御装置に登録し直したい場合に、それが出荷前であったとしても、その携帯機を他の制御装置に登録することができない。

この発明は、こうした実情に鑑みてなされたものであり、その目的は、セキュリティ性が高く出荷前における再登録が許容された携帯機登録システムを提供することにある。

上記課題を解決するために、請求項１に記載の発明は、通信対象との間で同じ暗号鍵を持ち合い、前記通信対象の制御装置との間で前記暗号鍵を使用して暗号化通信が行なわれる携帯機を前記制御装置に登録する携帯機登録システムにおいて、前記制御装置には、前記通信対象に固有の識別情報及び外部から取り込まれる鍵生成コードから暗号鍵を生成する鍵生成ロジックが記憶され、前記携帯機には、前記暗号鍵を生成する際に使用する前記携帯機に固有の暗号鍵生成コードと、前記鍵生成ロジックを使用して生成される前記暗号鍵とが記憶され、前記制御装置は、前記携帯機の登録処理として、前記携帯機との無線通信を通じて前記識別情報を登録される前記携帯機に書き込むとともに、前記携帯機に記憶された前記暗号鍵生成コードを取り込んで、当該鍵生成コードから自身に記憶された前記鍵生成ロジックを使用して前記暗号鍵を生成し、生成した当該暗号鍵を記憶するものであって、前記携帯機は、前記制御装置との間で行われる暗号化通信の回数又は暗号化通信が開始されてからの時間をカウントするカウンタを備え、前記携帯機は、前記識別情報の登録後から出荷前までに予め規定される出荷前最大通信回数以下で前記通信対象との間で前記暗号化通信を行い、前記カウンタの値が、前記出荷前最大通信回数以上に設定される削除回数に達したとき、又は、前記識別情報の登録完了から出荷されるまでにかかる可能性がある出荷前最長時間以上に設定される削除時間に達したとき、前記暗号鍵生成コードを削除することを要旨とする。

通常、多くの製品は、出荷前に、正常に作動するか否かを検査する。そして、検査に合格したもののみ出荷する。携帯機と通信対象の制御装置とにおいては、実際に暗号化通信を行い、当該暗号化通信が好適に行われるか否かを判断する。携帯機と制御装置との間における登録が行われてから出荷されるまでの間に、イレギュラー等による増加を含んでも検査のために行う暗号化通信の回数（出荷前最大通信回数）は、予め決まっている。また、同様にイレギュラー等による増加を含んでも検査のための暗号化通信を開始してから出荷するまでの時間（出荷前最長時間）も予め決まっている。同構成によれば、携帯機は、カウンタを通じて、暗号化通信の回数、又は通信が開始されてからの時間をカウントする。そして、そのカウントした回数が出荷前最大通信回数以上に設定される削除回数に達したとき、又は、出荷前最長時間以上に設定される削除時間に達したときに暗号鍵生成コードを削除する。すなわち、出荷前において、携帯機の暗号鍵生成コードは削除されない。これにより、出荷される前に、その携帯機を他の制御装置に登録し直すことができる。また、出荷後においては、暗号鍵生成コードが削除されるので、暗号鍵生成ロジックが漏洩した場合であれ、携帯機に記憶されている情報から不正に携帯機を複製することは困難となる。

請求項２に記載の発明は、請求項１に記載の携帯機登録システムにおいて、前記削除回数は、前記出荷前最大通信回数であることを要旨とする。
同構成によれば、削除回数と出荷前最大通信回数とが同じであるため、出荷時の携帯機は、鍵生成コードが削除された状態である可能性が高い。このため、出荷後に暗号鍵生成ロジックが漏洩した場合であれ、携帯機に記憶されている情報から不正に携帯機を複製することは困難となる。

請求項３に記載の発明は、請求項１に記載の携帯機登録システムにおいて、前記削除時間は、前記出荷前最長時間であることを要旨とする。
同構成によれば、削除時間と出荷前最長時間とが同じであるため、出荷時の携帯機は、鍵生成コードが削除された状態である可能性が高い。このため、暗号鍵生成ロジックが漏洩した場合であれ、携帯機に記憶されている情報から不正に携帯機を複製することは困難となる。

請求項４に記載の発明は、請求項１〜３のうちいずれか一項に記載の携帯機登録システムにおいて、出荷前に前記制御装置に記憶された前記識別情報と、前記暗号鍵又は追加登録用の暗号鍵又は前記暗号鍵生成コードとを対応付けた状態で保存するデータベースを備え、補給するために製造される携帯機及び制御装置は、前記データベースに保存された前記識別情報と、前記暗号鍵又は前記追加登録用の暗号鍵又は前記暗号鍵生成コードから生成された前記暗号鍵とが記憶された状態で製造されることを要旨とする。

同構成によれば、補給用の携帯機及び制御装置は、製造された時点において、識別情報と暗号鍵とを記憶している。このため、携帯機と制御装置との間で特別な登録作業を要することなく両者間での暗号化通信を行うことができる。

請求項５に記載の発明は、請求項１〜４のうちいずれか一項に記載の携帯機登録システムにおいて、前記制御装置は、前記鍵生成ロジックを使用後に削除することを要旨とする。

同構成によれば、携帯機を登録した後に鍵生成ロジックが削除されるので、制御装置に別の携帯機が登録されることを防ぐことができる。

本発明によれば、セキュリティ性が高く出荷前における再登録が許容された携帯機登録システムを提供することができる。

電子キー登録システムの概略構成を示すブロック図。 電子キー登録システムの製造を示す図。 電子キー登録システムの登録を示す図。 電子キー登録システムの登録作業を示すシーケンスチャート。 電子キー登録システムの追加キーの製造を示す図。 電子キー登録システムの交換ＥＣＵの製造を示す図。 電子キー登録システムの確認作業を示すシーケンスチャート。

以下、本発明にかかる電子キー登録システムを車両に具体化した一実施形態について図１〜図７を参照して説明する。
図１に示されるように、車両１には、例えば近距離無線通信（通信距離が約数ｃｍの無線通信）によって電子キー２とＩＤ照合を実行するイモビライザシステム３が設けられている。電子キー２には、ＩＤタグ、いわゆるトランスポンダ４が設けられている。イモビライザシステム３は、車両１のコイルアンテナ５から送信される駆動電波によりトランスポンダ４が起動した際、このトランスポンダ４から送信されるＩＤコード信号を基にＩＤ照合を行うシステムである。なお、車両１が通信対象に相当する。また、イモビライザシステム３が電子キーシステムとして機能する。

車両１には、イモビライザシステム３のコントロールユニットとしてイモビライザＥＣＵ６が設けられている。イモビライザＥＣＵ６には、エンジン１１の動作を制御するエンジンＥＣＵ１２が車内ＬＡＮ１３を介して接続されている。イモビライザＥＣＵ６のメモリ６７には、車両１と組をなす電子キー２のＩＤコードが登録されている。イモビライザＥＣＵ６には、ＬＦ（Ｌｏｗ Ｆｒｅｑｕｅｎｃｙ）帯、及びＨＦ（Ｈｉｇｈ Ｆｒｅｑｕｅｎｃｙ）帯の電波を送受信するコイルアンテナ５が接続されている。コイルアンテナ５は、磁界成分により電波を送信する磁界アンテナが採用されており、キーシリンダに設けられている。なお、イモビライザＥＣＵ６が制御装置に相当する。

電子キー２のトランスポンダ４には、通信動作を制御する制御部４１が設けられている。この制御部４１のメモリ４２には、電子キー２に固有のＩＤコード（トランスポンダコード）が登録されている。トランスポンダ４には、ＬＦ帯、及びＨＦ帯の電波を送受信する送受信アンテナ２１が設けられている。

イモビライザＥＣＵ６は、電子キー２がキーシリンダに挿入されたことを検出すると、コイルアンテナ５から駆動電波を断続的に送信する。乗車したユーザがエンジン１１を始動する際には、電子キー２をキーシリンダに挿入して、回動操作を行う。このとき、トランスポンダ４は、コイルアンテナ５から送信される駆動電波を送受信アンテナ２１で受信すると、駆動電波を電源として起動する。トランスポンダ４は、起動状態に切り換わると、自身に登録されたＩＤコードを含むＩＤコード信号を送受信アンテナ２１から送信する。イモビライザＥＣＵ６は、トランスポンダ４から送信されたＩＤコード信号をコイルアンテナ５で受信すると、ＩＤコード信号に含まれるＩＤコードによりＩＤ照合（イモビライザ照合）を実行する。イモビライザＥＣＵ６は、ＩＤ照合の結果をメモリ６７へ記憶する。

キーシリンダ内には、電子キー２の回動位置を検出するイグニッションスイッチ（ＩＧＳＷ）１４が設けられている。イグニッションスイッチ１４がエンジンスタート位置まで操作されると、エンジンＥＣＵ１２は、イモビライザＥＣＵ６にＩＤ照合が成立しているか否かを確認する。エンジンＥＣＵ１２は、イモビライザＥＣＵ６からＩＤ照合の結果を取得し、その結果が照合成立を示すものであるとき、エンジン１１への点火制御及び燃料噴射制御を開始し、エンジン１１を始動させる。

イモビライザＥＣＵ６は、電子キー２のＩＤコードを確認するコード照合の他に、チャレンジレスポンス認証も実行する。チャレンジレスポンス認証は、車両１が例えば乱数コードとしてチャレンジコードを電子キー２に送信してレスポンスを演算させ、車両１が自ら演算するレスポンスコードと、電子キー２から受信したレスポンスコードとが一致するか否かによる認証である。本例のイモビライザＥＣＵ６とトランスポンダ４との認証には、共通の暗号鍵を用いる共通鍵暗号方式が採用されている。電子キー２及びイモビライザＥＣＵ６は、それぞれに登録された暗号鍵を使用してチャレンジコードからレスポンスコードを演算する。

トランスポンダ４のメモリ４２には、車両１に固有の識別情報であるビークルＩＤ（ＶＩＤ）と、暗号鍵Ｋを生成する際に使用するＳＥＥＤコード（ＳＣ）と、認証に用いる暗号鍵Ｋとが記憶されている。

イモビライザＥＣＵ６のメモリ６７には、車両１に固有の識別情報であるビークルＩＤ（ＶＩＤ）と、認証に用いる暗号鍵Ｋと、暗号鍵Ｋを生成する際に使用する鍵生成ロジックｆとが記憶されている。

また、イモビライザシステム３には、電子キー２をイモビライザＥＣＵ６に登録する電子キー登録システム７が含まれる。電子キー登録システム７は、電子キー２と、イモビライザＥＣＵ６との間で無線通信を行い、互いに固有の情報を登録するシステムである。電子キー登録システム７は、１つのビークルＩＤに対して複数の暗号鍵が関連付けられて保存されたデータベース９を備える。データベース９は、電子キー２及びイモビライザＥＣＵ６を製造する部品工場に設けられている。図２に示されるように、データベース９には、車両１に固有のビークルＩＤ（ＶＩＤ−Ａ）に対応する暗号鍵（Ｋ−２）が保存されている。イモビライザＥＣＵ６、及び電子キー２は、製造される際、データベース９に保存されているデータがそれぞれのメモリ４２，６７に記憶される。

図１に示されるように、電子キー登録システム７は、イモビライザＥＣＵ６に電子キー２を登録するための登録ツール８を備える。登録ツール８は、車両１に接続して使用される。登録ツール８は、イモビライザＥＣＵ６の動作モードを通常モードと登録モードとの間で切り替える。登録モードとされたイモビライザＥＣＵ６は、電子キー２との間で無線通信を行い、自身に固有の情報（ビークルＩＤ（ＶＩＤ−Ａ））を電子キー２に登録させるとともに、電子キー２に固有の情報（暗号鍵（Ｋ−２））を登録する。登録ツール８には、登録ツール８を制御する制御部８１と、ユーザによる登録操作を検出する操作部８２と、登録動作を表示する表示部８３とが設けられている。登録ツール８は、ユーザに操作されて登録モードに設定されると、イモビライザＥＣＵ６の動作モードを登録モードに変更する旨示す登録信号を車両１に出力する。また、登録ツール８は、イモビライザＥＣＵ６からデータベース更新信号を受信すると、図示しないネットワークを介してデータベース９の情報を更新する。

イモビライザＥＣＵ６には、動作モードを切り替えるモード切替部６１が設けられている。モード切替部６１は、登録ツール８から登録信号が入力されると、動作モードを通常モードから登録モードに切り替える。モード切替部６１は、登録モードに切り替えた後、イモビライザＥＣＵ６と登録ツール８との接続が解除された場合に、動作モードを通常モードに切り替える。通常モードのイモビライザＥＣＵ６は、電子キー２との間で、通常の認証、すなわちＩＤ照合を行う。

イモビライザＥＣＵ６には、登録する電子キー２にビークルＩＤを送信するビークルＩＤ送信部６２が設けられている。イモビライザＥＣＵ６の動作モードが登録モードに切り替えられると、ビークルＩＤ送信部６２は、メモリ６７に記憶されたビークルＩＤを含ませたビークルＩＤ信号をコイルアンテナ５から電子キー２に送信する。

また、イモビライザＥＣＵ６には、電子キー２に記憶されている暗号鍵Ｋを生成するためにＳＥＥＤコードを読み込むＳＥＥＤ読込部６４が設けられている。イモビライザＥＣＵ６は、ＳＥＥＤコードを要求するＳＥＥＤ要求信号をコイルアンテナ５から送信する。電子キー２は、ＳＥＥＤ要求信号を受信すると、ＳＥＥＤコードを含むＳＥＥＤ信号を生成し、この生成した信号を送信する。ＳＥＥＤ読込部６４は、コイルアンテナ５を介して受信されるＳＥＥＤ信号からＳＥＥＤコードを取り出す。

また、イモビライザＥＣＵ６には、暗号鍵Ｋを生成する暗号鍵生成部６５が設けられている。暗号鍵生成部６５は、ＳＥＥＤ読込部６４が取得したＳＥＥＤコードからメモリ６７に記憶されている鍵生成ロジックｆを使用して暗号鍵Ｋを生成する。

電子キー２の制御部４１には、ＩＤ照合のためのＩＤコード信号の送信回数をカウントするカウンタ４３が設けられている。イモビライザＥＣＵ６と電子キー２との間では、登録した暗号鍵を使用してのＩＤ照合が正常に行えるか否かを確認する動作確認が行なわれる。ここでは、２０回の動作確認が行なわれるものとする。制御部４１は、カウンタ４３がカウントした回数が削除回数、ここでは、動作確認回数である２０回に達したことを確認すると、メモリ４２に記憶されているＳＥＥＤコードを削除する。

次に、イモビライザＥＣＵ６への電子キー２の登録作業について図２〜図７を参照して説明する。
車両１は、多種多様な部品で構成される。このため、各部品は、部品工場で製造された後、組付工場に集められ、そこで車両１に組付けられる。すなわち、イモビライザＥＣＵ６、及び電子キー２は、それぞれ、部品工場で製造された後、組付工場へと集められ、組付ラインにて車両に組付けられる。そして、イモビライザＥＣＵ６に対する電子キー２の登録作業が行われる。

まず、登録作業前の部品工場における製造作業について説明する。図２に示されるように、初期登録用に製造されたイモビライザＥＣＵ６のメモリ６７には、鍵生成ロジックｆと、が記憶される。さらに、メモリ６７には、搭載される車両１のビークルＩＤ（ＶＩＤ−Ａ）と、追加登録される電子キー２の暗号鍵（Ｋ−２）とがデータベース９から保存される。一方、初期登録用に製造された電子キー２のメモリ４２には、ＳＥＥＤコード（ＳＣ−１）が記憶される。また、このメモリ４２には、ＳＥＥＤコード（ＳＣ−１）から鍵生成ロジックｆを使用して生成された暗号鍵（Ｋ−１）が記憶される。

次に、組付工場における電子キー２の登録作業について説明する。図３に示されるように、本例の電子キー登録システム７では、イモビライザＥＣＵ６がビークルＩＤ（ＶＩＤ−Ａ）を含むビークルＩＤ信号を送信する。電子キー２は、イモビライザＥＣＵ６からのＩＤコード信号を受信すると、この信号に含まれるＩＤコードを登録する。また、電子キー２はＳＥＥＤコード（ＳＣ−１）を含むＳＥＥＤコード信号を送信する。イモビライザＥＣＵ６は、ＳＥＥＤコード信号に含まれるＳＥＥＤコードを一時的にメモリ６７記憶するとともに、当該ＳＥＥＤコードから鍵生成ロジックｆを使用して暗号鍵（Ｋ−１）を生成し、これをメモリ６７に記憶する。なお、ＳＥＥＤコードは、後述するデータベース９の更新後に削除する。

ここで、図４に示されるシーケンスチャートに従って電子キー２の登録処理手順について詳細に説明する。図４に示されるように、登録ツール８は、ユーザによって操作されて登録モードに設定されると、登録信号をイモビライザＥＣＵ６に出力する（ステップＳ１）。イモビライザＥＣＵ６は、登録信号を受信すると、動作モードを登録モードに切り替える（ステップＳ２）。

そして、イモビライザＥＣＵ６は、メモリ６７に記憶されたビークルＩＤ（ＶＩＤ−Ａ）を含ませたビークルＩＤ信号をコイルアンテナ５から電子キー２に送信する（ステップＳ３）。

電子キー２は、ビークルＩＤ信号を受信すると、ビークルＩＤ信号に含まれるビークルＩＤ（ＶＩＤ−Ａ）をメモリ４２に記憶する（ステップＳ４）。そして、電子キー２は、ビークルＩＤの書き込みをロックする（ステップＳ５）。すなわち、電子キー２は、メモリ４２のビークルＩＤの上書きを禁止する。これにより、電子キー２は、メモリ４２のビークルＩＤの書き替えを防止する。

イモビライザＥＣＵ６は、ステップＳ３のビークルＩＤの送信に続いて、ＳＥＥＤコードの送信を要求するＳＥＥＤ要求信号をコイルアンテナ５から送信する（ステップＳ６）。

電子キー２は、ＳＥＥＤ要求信号を受信すると、これに対する応答としてメモリ４２に記憶されたＳＥＥＤコード（ＳＣ−１）を含むＳＥＥＤ信号を送信する（ステップＳ７）。

イモビライザＥＣＵ６は、ＳＥＥＤ信号を受信すると、当該信号に含まれるＳＥＥＤコード（ＳＣ−１）から鍵生成ロジックｆを使用して暗号鍵（Ｋ−１）を生成する（ステップＳ８）。すなわち、イモビライザＥＣＵ６は、電子キー２から暗号鍵（Ｋ−１）を直接取得するのではなく、ＳＥＥＤコード（ＳＣ−１）を取得することで暗号鍵（Ｋ−１）を生成する。なお、ＳＥＥＤコード（ＳＣ−１）は、一時的にメモリ６７に記憶される。

続いて、イモビライザＥＣＵ６は、生成した暗号鍵（Ｋ−１）をメモリ６７に記憶する（ステップＳ９）。イモビライザＥＣＵ６は、登録された暗号鍵（Ｋ−１）を使用することで、電子キー２とのＩＤ照合が可能となる。

続いて、イモビライザＥＣＵ６は、データベース９の情報を更新させるべく、データベース更新信号を登録ツール８に出力する（ステップＳ１０）。データベース更新信号には、自身のビークルＩＤ（ＶＩＤ−Ｋ）と対応付けられた暗号鍵（Ｋ−１）を生成するために使用したＳＥＥＤコード（ＳＣ−１）が含まれる。データベース更新信号を受信した登録ツール８は、図示しないネットワークを介してビークルＩＤ（ＶＩＤ−Ｋ）と対応付けた状態でＳＥＥＤコード（ＳＣ−１）をデータベース９へ送信し、当該データベース９に記憶させる（データベース９の更新）（ステップＳ１１）。これにより、図３に示されるように、データベース９には、ビークルＩＤ（ＶＩＤ−Ａ）に対応する暗号鍵（Ｋ−１）に関する情報としてＳＥＥＤコード（ＳＣ−１）が保存される。これにより、イモビライザＥＣＵ６のメモリ６７に記憶されたビークルＩＤ（ＶＩＤ−Ａ）及び暗号鍵（Ｋ−１）と、電子キー２のメモリ４２に記憶されたビークルＩＤ（ＶＩＤ−Ａ）及び暗号鍵（Ｋ−１）とが一致するので、両者は、ＩＤ照合が可能となる。なお、イモビライザＥＣＵ６は、データベース９の更新後、ＳＥＥＤコードをメモリ６７から削除する。

次に、車両出荷後のイモビライザＥＣＵ６へ追加登録される電子キー２の製造作業について説明する。図５に示されるように、部品工場において、追加登録用の電子キー２のメモリ４２には、発注に従って、搭載される車両１のビークルＩＤ（ＶＩＤ−Ａ）と、このビークルＩＤ（Ｖ−ＩＤ）に対応する追加登録用の暗号鍵（Ｋ−２）とが記憶される。これら記憶されるビークルＩＤ（Ｖ−ＩＤ）及び暗号鍵（Ｋ−２）は、データベース９に保存されているものである。すなわち、追加登録される電子キー２は、イモビライザＥＣＵ６に対応した状態で製造される。このため、特別な登録作業を要することなく、イモビライザＥＣＵ６とＩＤ照合することが可能である。なお、追加登録される電子キー２は、ＳＥＥＤコードがメモリ４２に記憶されていない状態で製造される。すなわち、追加登録用の電子キー２は、メモリ４２にＳＥＥＤコードが記憶されていない状態で出荷される。

次に、交換用のイモビライザＥＣＵ６の製造作業について説明する。図６に示されるように、部品工場において、交換用のイモビライザＥＣＵ６のメモリ６７には、発注に従って、搭載される車両１のビークルＩＤ（ＶＩＤ−Ａ））と、このビークルＩＤ（Ｖ−ＩＤ）に対応する暗号鍵（Ｋ−２）とが記憶される。これら記憶されるビークルＩＤ（Ｖ−ＩＤ）及び暗号鍵（Ｋ−２）は、データベース９に保存されているものである。すなわち、交換用のイモビライザＥＣＵ６は、交換前のイモビライザＥＣＵ６に対応した状態で製造されるため、特別な登録作業を要することなく、電子キー２とＩＤ照合することが可能である。

次に、登録作業後に行なわれる確認作業について説明する。
イモビライザＥＣＵ６への電子キー２の登録作業後にも、組付ラインでは種々の部品や装置を車両１に組付ける等、出荷前までに複数の作業工程がある。組付ける部品や装置の中には、例えばワイパー装置等、組付けた後に好適に動作するか否かを確認する必要があるものがある。このような部品や装置を組付けた場合、イモビライザＥＣＵ６と電子キー２との間でＩＤ照合を行い、エンジン１１を駆動させ、好適に動作するか否かの確認作業（動作確認）を行う。ここで、好適に動作する場合には次の作業工程に進み、好適に動作しない場合には組付けし直す等して、再度、動作確認を行う。このため、組付けた部品や装置が好適に動作しない場合の動作確認の回数は、組付けた部品や装置が全て好適に動作する通常の動作確認の回数（例えば１５）よりも多くなる。一つの組付作業後における動作確認の回数には、制限が設けられている。このため、一つの車両１において出荷前に行われる動作確認の最大回数（ここでは２０）は決まっている。動作確認には、イモビライザＥＣＵ６と電子キー２との間でＩＤ照合を行う必要があることから、このＩＤ照合の回数と、動作確認の回数とは一致することになる。ここでは、その動作確認の回数が、最も多い２０（出荷前最大通信回数）である場合について、図７のシーケンスチャートを参照して説明する。

図７に示されるように、確認作業を必要とする一作業工程が終了すると、ＩＧＳＷ１４がオン操作され、イモビライザＥＣＵ６は、コイルアンテナ５から駆動電波を送信する（ステップＳ２１）。駆動電波を受信した電子キー２のトランスポンダ４は、その電波から起動電力を得るとともに、当該起動電力を消費してＩＤコード信号を送信する（ステップＳ２２）。その後、電子キー２のカウンタ４３は、その値を１だけインクリメント（増加）させる（ステップＳ２３）。

イモビライザＥＣＵ６は、ＩＤコード信号の受信後、当該ＩＤコード信号に含まれるＩＤコードが正しければ、エンジン１１を始動させる（ステップＳ２４）。エンジン１１が始動すると、組付けた部品や装置が好適に動作するか否かを確認する。そして、組付けた部品や装置が好適に動作するか否かに関わらず、ＩＧＳＷ１４がオフ操作され、イモビライザＥＣＵ６は、エンジン１１を停止させる（ステップＳ２５）。

この一連の確認作業が完了すると、組付けた部品や装置が好適に動作しない場合には、その部品を組付けし直す等して、再度、確認作業を行う。組付けた部品や装置が好適に動作する場合には、車両１は、次の部品を組付ける作業工程に進む。そして、確認作業を必要とする作業工程後、また一連の確認作業を行う。本例では、この確認作業が２０回行われる。すなわち、２０回目の確認作業では、カウンタ４３が、２０をカウントすることになる（ステップＳ２３−２０）。電子キー２の制御部４１は、カウンタ４３が２０回カウントすると、メモリ４２に記憶されているＳＥＥＤコードを削除する（ステップＳ２６）。すなわち、メモリ４２に記憶されているＳＥＥＤコードは、動作確認が行われることによって削除される。これにより、ＳＥＥＤコードが記憶されている電子キー２が出荷されることはない。

以上、説明した実施形態によれば、以下の効果を奏することができる。
（１）電子キー２にイモビライザＥＣＵ６とＩＤ照合するときのＩＤコード信号の送信回数をカウントするカウンタ４３を設けた。そして、電子キー２は、カウンタ４３がカウントするＩＤコード信号の送信回数が削除回数に（ここでは、出荷前最大通信回数である２０回）達したときに、メモリ４２に記憶されているＳＥＥＤコードを削除するようにした。

イモビライザＥＣＵ６への電子キー２の登録作業後、出荷前までに複数ある作業工程において、確認作業を必要とする一作業工程を経る毎にイモビライザＥＣＵ６と電子キー２との間でＩＤ照合を行い、エンジン１１を駆動させて、組付けたものが好適に動作するか否かの確認作業（動作確認）を行う。このため、少なくとも確認作業を必要とする作業工程の数（ここでは１５）だけ確認作業、すなわちイモビライザＥＣＵ６と電子キー２との間で１５回のＩＤ照合が行われる。また、一つの組付作業後における動作確認の回数には、制限が設けられている。このため、一つの車両１において出荷前に行われる動作確認の最大回数、すなわち出荷前最大通信回数（ここでは２０）は決まっている。ここでは、カウンタ４３が出荷前最大通信回数である２０をカウントすると、電子キー２は、ＳＥＥＤコードを削除する。言い換えれば、最終の確認作業前にＳＥＥＤコードは削除されない。このため、最終の確認作業前までに電子キー２とイモビライザＥＣＵ６との間でＩＤ照合が好適に実行できない場合には、その電子キー２を他のイモビライザＥＣＵに登録することができる。

（２）出荷された電子キー２は、最終的にＳＥＥＤコードを削除する。電子キー２とイモビライザＥＣＵ６とのＩＤ照合には、両者に共有される暗号鍵が必要であるが、この暗号鍵は、ＳＥＥＤコードから鍵生成ロジックｆを使用して生成されるものである。このため、出荷されたイモビライザＥＣＵ６に対応する電子キー２の第３者による複製が困難となる。

（３）電子キー２は、最終的に自身でＳＥＥＤコードを削除する。このため、ＳＥＥＤコードを削除するための削除ツールを必要としない。
（４）イモビライザＥＣＵ６に登録された暗号鍵は、ビークルＩＤコードに対応付けられた状態でデータベース９に保存される。そして、追加登録用の電子キー２、及び交換用のイモビライザＥＣＵ６のメモリには、このデータベース９に保存されたビークルＩＤコードと、それに対応する暗号鍵とが記憶される。このため、イモビライザＥＣＵ６と電子キー２との間で特別な登録作業を要することなくＩＤ照合することができる。

（５）追加登録用の電子キー２は、そのメモリにＳＥＥＤコードが記憶されていない状態で製造される。すなわち、出荷時においても、電子キー２はＳＥＥＤコードをもたない。このため、出荷されたイモビライザＥＣＵ６に対応する電子キー２の第３者による複製が困難となる。

なお、上記実施形態は、これを適宜変更した以下の形態にて実施することができる。
・上記実施形態では、電子キー２は、カウンタ４３がＩＤコード信号の送信を２０回カウントしたときに、メモリ４２に記憶されているＳＥＥＤコードを削除するようにしたが、この削除回数は、任意に変更可能である。なお、削除回数は、イモビライザＥＣＵ６との間でＩＤ照合が好適に実行できない電子キー２を他のイモビライザＥＣＵに登録する観点から、動作確認の数（出荷前最大通信回数）以上に設定する。このように構成しても、電子キー２は、カウンタ４３が削除回数だけカウントすれば、ＳＥＥＤコードを削除するので、その後における電子キー２の複製は困難となる。

・上記実施形態において、イモビライザＥＣＵ６は、登録作業後に鍵生成ロジックｆ自体を削除してもよい。このようにすれば、イモビライザＥＣＵ６に別の電子キーが登録されることを防ぐことができる。また、鍵生成ロジックｆ自体が外部に漏れることを防ぐことができる。なお、鍵生成ロジックｆを削除せずとも、登録作業後に使用を禁止すれば、イモビライザＥＣＵ６に別の電子キーが登録されることを防ぐことができる。

・上記実施形態では、カウンタ４３は、ＩＤコード信号の送信回数をカウントしたが、ＩＤコード信号の送信が開始されてからの時間をカウントしてもよい。動作確認のために電子キー２が最初のＩＤコード信号が送信されてからそのＩＤコード信号を受信するイモビライザＥＣＵ６が組付けられた車両が出荷されるまでには、あらかじめ決まった時間（出荷前最長時間）がかかる。これを利用して、電子キー２は、カウントした時間が出荷前最長時間以上に設定される削除時間に達したときにＳＥＥＤコードを削除する。このようにした場合でも、ＳＥＥＤコードが外部に漏れることを防ぐことができる。

・上記実施形態では、登録作業後にイモビライザＥＣＵ６に登録した暗号鍵（Ｋ−１）に関する情報としてＳＥＥＤコード（ＳＣ−１）をデータベース９に保存したが、暗号鍵（Ｋ−１）自体をデータベース９に保存してもよい。このようにすれば、データベース９から交換用のイモビライザＥＣＵ６に暗号鍵Ｋを記憶させる際に、鍵生成ロジックｆによる演算を省略することができる。

・上記実施形態では、キーシリンダに電子キー２を挿入するタイプのイモビライザシステム３に本発明を適用したが、車両１から送信される電波によって作られる通信エリアに電子キーが進入することで、自動的に通信が行なわれるタイプの電子キーシステムに適用してもよい。

・上記実施形態では、車両１から駆動電波を受信して起動した電子キー２が無線信号を送信するイモビライザシステム３に本発明を適用したが、電子キー２に設けられたスイッチを操作することにより、車両１に向けて無線信号を送信する、いわゆるワイヤレスシステムに適用してもよい。

・上記実施形態では、車両１の電子キーシステムに本発明を採用したが、住宅等の建物の電子キーシステムに本発明を採用してもよい。

１…車両、２…電子キー、３…イモビライザシステム、４…トランスポンダ、５…コイルアンテナ、６…イモビライザＥＣＵ、７…電子キー登録システム、８…登録ツール、９…データベース、１１…エンジン、１２…エンジンＥＣＵ、１３…車内ＬＡＮ、１４…イグニッションスイッチ（ＩＧＳＷ）、２１…送受信アンテナ、４１…制御部、４２…メモリ、４３…カウンタ、６１…モード切替部、６２…ビークルＩＤ送信部、６４…ＳＥＥＤ読込部、６５…暗号鍵生成部、６７…メモリ、８１…制御部、８２…操作部、８３…表示部。

Claims (5)

1. 通信対象との間で同じ暗号鍵を持ち合い、前記通信対象の制御装置との間で前記暗号鍵を使用して暗号化通信が行なわれる携帯機を前記制御装置に登録する携帯機登録システムにおいて、
   前記制御装置には、前記通信対象に固有の識別情報及び外部から取り込まれる鍵生成コードから暗号鍵を生成する鍵生成ロジックが記憶され、
   前記携帯機には、前記暗号鍵を生成する際に使用する前記携帯機に固有の暗号鍵生成コードと、前記鍵生成ロジックを使用して生成される前記暗号鍵とが記憶され、
   前記制御装置は、前記携帯機の登録処理として、前記携帯機との無線通信を通じて前記識別情報を登録される前記携帯機に書き込むとともに、前記携帯機に記憶された前記暗号鍵生成コードを取り込んで、当該鍵生成コードから自身に記憶された前記鍵生成ロジックを使用して前記暗号鍵を生成し、生成した当該暗号鍵を記憶するものであって、
   前記携帯機は、前記制御装置との間で行われる暗号化通信の回数又は暗号化通信が開始されてからの時間をカウントするカウンタを備え、
   前記携帯機は、前記識別情報の登録後から出荷前までに予め規定される出荷前最大通信回数以下で前記通信対象との間で前記暗号化通信を行い、前記カウンタの値が、前記出荷前最大通信回数以上に設定される削除回数に達したとき、又は、前記識別情報の登録完了から出荷されるまでにかかる可能性がある出荷前最長時間以上に設定される削除時間に達したとき、前記暗号鍵生成コードを削除する携帯機登録システム。
2. 請求項１に記載の携帯機登録システムにおいて、
   前記削除回数は、前記出荷前最大通信回数である携帯機登録システム。
3. 請求項１に記載の携帯機登録システムにおいて、
   前記削除時間は、前記出荷前最長時間である携帯機登録システム。
4. 請求項１〜３のうちいずれか一項に記載の携帯機登録システムにおいて、
   出荷前に前記制御装置に記憶された前記識別情報と、前記暗号鍵又は追加登録用の暗号鍵又は前記暗号鍵生成コードとを対応付けた状態で保存するデータベースを備え、補給するために製造される携帯機及び制御装置は、前記データベースに保存された前記識別情報と、前記暗号鍵又は前記追加登録用の暗号鍵又は前記暗号鍵生成コードから生成された前記暗号鍵とが記憶された状態で製造される携帯機登録システム。
5. 請求項１〜４のうちいずれか一項に記載の携帯機登録システムにおいて、
   前記制御装置は、前記鍵生成ロジックを使用後に削除する携帯機登録システム。