(57)【要約】【課題】電子制御装置の盗難や各電子制御装置相互間の通信の盗聴等による認証データの特定を回避することで、電子制御装置の不正交換が発生した場合でも不正を検知することができる電子制御装置を提供する。【解決手段】通信手段１２、２２、３２を介して送受信される認証データに基づいてデータの信用性を認証する認証手段と、前記通信手段１２、２２、３２による通信の終了時に前記認証データを更新する認証データ更新手段１１ｄ、２１ｄ、３１ｄを備えていることを特徴とする【選択図】図１
2008084120.tif 000002
【特許請求の範囲】
【請求項１】
通信手段を介して送受信される認証データに基づいてデータの信用性を認証する認証手段と、前記通信手段による通信の終了時に前記認証データを更新する認証データ更新手段を備えていることを特徴とする電子制御装置。
【請求項２】
前記通信の終了時とは、前記通信手段への電源の供給を遮断する要求があった時であることを特徴とする請求項１記載の電子制御装置。
【請求項３】
前記認証データ更新処理手段は、更新前の認証データの更新時とは異なる変動データを変数とする所定の認証データ生成関数に基づいて前記認証データを新たな認証データに更新する請求項１または２記載の電子制御装置。
【請求項４】
前記認証データ更新処理手段は、更新前の認証データの更新時とは異なる変動データを変数として新たな認証データを生成する複数の認証データ生成関数と、更新前の認証データの更新時とは異なる変動データを変数として前記複数の認証データ生成関数の何れかを選択する選択関数を備え、前記選択関数に基づいて選択された認証データ生成関数に基づいて前記認証データを新たな認証データに更新する請求項１から３の何れかに記載の電子制御装置。
【請求項５】
前記認証データが前記通信手段により送受信されるデータの属性または通信優先順位を示すＩＤデータである請求項１から４の何れかに記載の電子制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、システムの起動時に起動しシステムの停止時に終了する通信手段と、前記通信手段を介して送受信される認証データに基づいてデータの信用性を認証する認証制御手段を備えている電子制御装置に関する。
【背景技術】
【０００２】
車両盗難の防止対策の１つとして、特定の認証データの照合が一致した場合にのみエンジンの始動を可能にするイモビライザー（盗難防止機能）電子制御装置が使われている。しかしながら、このようなイモビライザー電子制御装置自体が取り替えられると、盗難防止機能が失われてしまう。
【０００３】
その他に、速度制限機能が付与された電子燃料噴射（ＥＦＩ）電子制御装置や車両の加速性能を高める等の目的で、ＥＦＩ電子制御装置がユーザに付け替えられることにより、エミッションの早期劣化、環境汚染などを引き起こす問題も生じている。
【０００４】
上記した車両の盗難及び車両の各種機能を制御する電子制御装置の不正交換を防止するために、前記電子制御装置に認証データを記憶させておき、該認証データの照合を行うことにより前記電子制御装置の不正交換を監視する方法が提案されている。例えば、下記の特許文献１には、イモビライザー電子制御装置などの被監視電子制御装置と監視電子制御装置との間でコード照合を行い、照合が成立しなければ、前記被監視電子制御装置が不正交換され或いは取り外された可能性があると判断し、バス障害を発生させることにより通常動作を不能にする車両の盗難防止装置が開示されている。
【０００５】
また、下記の特許文献２には、車両のコンポーネントのメモリに記憶された認証データを車載制御機器のメモリに記憶された認証データと照合し、それら認証データが一致することを条件に車両のコンポーネントの基本機能動作を許可する車両のコンポーネントの盗難監視システムが開示されている。
【０００６】
さらに、下記の特許文献３には、車両の各電子制御装置にそれぞれユニークな識別データを持たせておき、当該識別データを用いて各電子制御装置が正当な組合せであるか否かをチェックする盗難防止機能付の車両用電子制御装置が開示されている。
【特許文献１】特開２００３−２１２０９３号公報
【特許文献２】特開２００３−１９６７５５号公報
【特許文献３】特開２００４−４２７４１号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、特許文献１に開示されている盗難防止装置の場合、又は特許文献２に開示されている盗難監視システムの場合、照合に使われている認証データが固定ＩＤとして監視電子制御装置に記憶されており、被監視装置と監視電子制御装置との関係もそれぞれ固定されているため、盗難又は不正交換を図る者に認証データが特定されて不正交換電子制御装置に埋め込まれた場合、又は監視電子制御装置自身が取り外された場合、その盗難や不正交換防止機能が失われてしまうといった課題があった。
【０００８】
また、特許文献３に開示されている車両用電子制御装置の場合、各電子制御装置の組合せの正当性をチェックするため、一つの電子制御装置が不正交換電子制御装置に交換されただけでは、不正交換防止機能が失われてしまうことはないが、各電子制御装置相互間における通信が盗聴されたような場合は、各電子制御装置の組合せが明らかにされてしまうために不正交換防止機能が失われてしまうという課題があった。
【０００９】
本発明の目的は、上述の従来欠点に鑑み、電子制御装置の盗難や各電子制御装置相互間の通信の盗聴等による認証データの特定を回避することで、電子制御装置の不正交換が発生した場合でも不正を検知することができる電子制御装置を提供する点にある。
【課題を解決するための手段】
【００１０】
上述の目的を達成するため、本発明による電子制御装置の特徴構成は、通信手段を介して送受信される認証データに基づいてデータの信用性を認証する認証手段と、前記通信手段による通信の終了時に前記認証データを更新する認証データ更新手段を備えていることを特徴とする点にある。
【００１１】
上述の構成によれば、前記認証データ更新処理手段により、前記通信手段による通信の終了時に認証データが更新される。仮に、前回の通信時において盗聴された認証データに基づいて、不正な電子制御装置が搭載されたような場合であっても、前記認証制御手段により不正な認証データと識別されるようになる。
【発明の効果】
【００１２】
以上説明した通り、本発明によれば、電子制御装置の盗難や各電子制御装置相互間の通信の盗聴等による認証データの特定を回避することで、電子制御装置の不正交換が発生した場合でも不正を検知することができる電子制御装置を提供することができるようになった。
【発明を実施するための最良の形態】
【００１３】
以下、本発明に係る電子制御装置（以下ＥＣＵと記す）を図面に基づいて説明する。
【００１４】
図１は、本発明の第１の実施の形態に係る車両用ＥＣＵを含んで構成されたシステムの要部を概略的に示したブロック図である。図中１０は車両のエンジンの燃料噴射、点火時期などを制御するエンジンＥＣＵを示しており、２０は車両のハンドルを制御するハンドルＥＣＵを示しており、３０は車両のワイパーを制御するワイパーＥＣＵを示している。
【００１５】
また、図中４０はバッテリ、４１はイグニッションスイッチ、４３はエンジンＥＣＵ１０への電力供給の有無を切り替える電源リレーを夫々示している。
【００１６】
イグニッションスイッチ４１がオフからオンに切り替えられると、エンジンＥＣＵ１０、ハンドルＥＣＵ２０、ワイパーＥＣＵ３０の夫々に電力が供給され、電力が供給されたエンジンＥＣＵ１０は電源リレー４３オン作動させる。
【００１７】
一方、イグニッションスイッチ４１がオンからオフに切り替えられると、エンジンＥＣＵ１０は、イグニッションスイッチ４１がオフした旨のオフデータを各ＥＣＵに送信することで、各ＥＣＵに対して電源供給停止前に行なうべき所定の処理を実行するよう促す。そして、エンジンＥＣＵ１０は、全てのＥＣＵから所定の処理が完了した旨の返信を受信するか、或いは予め設定された所定時間の経過によりエンジンＥＣＵ１０を含めた全てのＥＣＵにおいて所定の処理が完了したと判断して、電源リレー４３の状態をオンからオフに切り替える。電源リレー４３がオフ状態に切り替わることによって、エンジンＥＣＵ１０、ハンドルＥＣＵ２０、及びワイパーＥＣＵ３０への電力供給が停止される。
【００１８】
以下、各ＥＣＵについて説明する。
【００１９】
エンジンＥＣＵ１０は、マイクロコンピュータ（以下、マイコンと記す）１１と、通信手段１２とを含んで構成されている。マイコン１１は、エンジンの燃料噴射、点火時期などを制御するメイン制御部１１ａと、各ＥＣＵを識別するための認証データに基づく認証情報の作成、交換及び照合を行う認証手段としての認証制御手段１１ｂ（以下、他の認証制御手段も同じ）と、認証情報などを記憶する記憶装置であるメモリ１１ｃと、認証データの更新を行なう認証データ更新処理手段１１ｄとを含んで構成されている。なお、メモリ１１ｃは、書き込み可能なＥＥＰＲＯＭと書き込み不可能なＲＯＭ等により構成されている。
【００２０】
各マイコン１１、２１、３１、ナビゲーション装置７１の夫々は、ＣＡＮバスで構成される通信手段１２、２２、３２等を介して相互に接続され、ナビゲーション装置７１には車両サービスセンター７２とのデータ送受信を行なう無線通信装置のアンテナ６２が接続されている。従って、各マイコン１１、２１、３１は、ナビゲーション装置７１を介して外部の車両サービスセンター７２と通信可能に構成されている。
【００２１】
本実施形態においては、車両のイグニッションスイッチ４１がオンされて各ＥＣＵ等に電力が供給された後に車両システムが起動する。その後に、通信手段１２が起動しこの通信手段１２により各ＥＣＵ１０、２０、３０における各マイコン１１、２１、３１等の相互間の通信動作を開始する。また、車両のイグニッションスイッチ４１がオフされたときは、そのオフ後に前記通信の終了処理を行い、電源リレー４３がオフされると車両システムが停止するように構成されている。
【００２２】
メイン制御部１１ａは、センサー５１、通信手段１２、メモリ１１ｃ及び認証制御手段１１ｂとそれぞれ接続され、センサー５１から入力される様々な入力信号に基づいて、エンジンの燃料噴射、点火時期などの制御信号をそれぞれの駆動回路（図示せず）へ出力するようになっている。
【００２３】
認証制御手段１１ｂは、通信手段１２、メモリ１１ｃ、メイン制御部１１ａ、始動センサー５５及びキーセンサー５６（スイッチ１４を介して）とそれぞれ接続されており、通信手段１２を介して他のＥＣＵ等と送受信される認証データに基づいてデータの信用性を認証した上で認証情報を作成してメモリ１１ｃのＥＥＰＲＯＭに記憶させたり、通信手段１２を介して外部と認証情報を交換したり、始動センサー５５及びキーセンサー５６からの入力信号により決定された認証タイミングで認証を行う。
【００２４】
認証に失敗した場合、認証制御手段１１ｂは、メイン制御部１１ａに制御を一時停止する信号を与え、防犯措置を実施させる制御信号（フューエルカット信号）を出力し、更に、通信手段１２を介して、ナビゲーション装置７１及び車両サービスサンター７２に認証失敗の情報を送信する。また、スイッチ１４は外部から操作可能なスイッチであり、専用ツールを用いてスイッチ１４をオフにしておけば、エンジンＥＣＵ１０の認証機能を解除することができるようになっている。
【００２５】
認証データ更新処理手段１１ｄは、認証制御手段１１ｂと接続されており、通信手段１２による通信の終了時に、認証データを更新するように構成されている。なお、認証データについては後述する。
【００２６】
なお、通信の終了時とは、車両のイグニッションスイッチ４１がオフされて通信手段１２、２２、３２への電源の供給を遮断する要求を出した時である。この場合、電源の供給を遮断する要求があった時に通信手段１２、２２、３２の電源が遮断されて、メイン制御部１１ａ、２１ａ、３１ａやメモリ１１ｃ、２１ｃ、３１ｃ等による認証データを更新する処理をするように構成される。或いは、電源の供給を遮断する要求があった時に、メイン制御部１１ａ、２１ａ、３１ａやメモリ１１ｃ、２１ｃ、３１ｃ等による認証データを更新し、通信手段１２、２２、３２の電源が遮断される処理をするように構成される。更に、通信の終了時として、通信が所定時間無い時としてもよい。この場合、通信が無い状態が所定時間経過した後にメイン制御部１１ａ、２１ａ、３１ａやメモリ１１ｃ、２１ｃ、３１ｃ等による認証データを更新する処理をするように構成される。
【００２７】
また、通信の終了時とは、任意または各セッション終了時であって、任意のセッション終了時または各セッションの終了時に、メイン制御部１１ａ、２１ａ、３１ａやメモリ１１ｃ、２１ｃ、３１ｃ等による認証データを更新する処理をするように構成されていてもよい。ここで、前記セッション終了時とは、例えば車両の停車時があり、前記車両の停車時とは、信号待ち等で車速が零となった時や車速が所定速度以下（例えば時速５ｋｍ以下）となった時がある。
【００２８】
ハンドルＥＣＵ２０は、マイコン２１と、通信手段２２とを含んで構成されている。マイコン２１は、ハンドリングを制御するメイン制御部２１ａと、各ＥＣＵを識別するための認証データに基づく認証情報の作成、交換及び照合を行う認証制御手段２１ｂと、認証情報などを記憶する記憶装置であるメモリ２１ｃと、認証データの更新を行なう認証データ更新処理手段２１ｄとを含んで構成されている。なお、メモリ２１ｃは、書き込み可能なＥＥＰＲＯＭと書き込み不可能なＲＯＭより構成されている。
【００２９】
メイン制御部２１ａは、センサー５２、通信手段２２、メモリ２１ｃ及び認証制御手段２１ｂとそれぞれ接続され、センサー５２から入力される様々な入力信号に基づいて、ハンドリング制御を行い、制御信号をハンドルの駆動回路へ出力する。
【００３０】
認証制御手段２１ｂは、通信手段２２、メモリ２１ｃ、メイン制御部２１ａ、始動センサー５５及びキーセンサー５６（スイッチ２４を介して）とそれぞれ接続されており、通信手段１２を介して他のＥＣＵ等と送受信される認証データに基づいてデータの信用性を認証した上で認証情報を作成してメモリ２１ｃのＥＥＰＲＯＭに記憶させたり、通信手段２２を介して外部と認証情報を交換したり、始動センサー５５及びキーセンサー５６からの入力信号により決定された認証タイミングで認証を行う。
【００３１】
認証に失敗した場合、認証制御手段２１ｂは、メイン制御部２１ａに制御を一時停止する信号を与え、防犯措置を実施させる制御信号（ハンドルロック信号）を出力し、更に、通信手段２２を介して、ナビゲーション装置７１及び車両サービスサンター７２へ認証失敗の情報を送信する。また、スイッチ２４は外部から操作可能なスイッチであり、専用ツールを用いてスイッチ２４をオフにしておけば、ハンドルＥＣＵ２０の認証機能を解除することができるようになっている。
【００３２】
認証データ更新処理手段２１ｄは、認証制御手段２１ｂと接続されており、通信手段１２による通信の終了時に、認証データを更新するように構成されている。なお、認証データについては後述する。
【００３３】
ワイパーＥＣＵ３０は、マイコン３１と、通信手段３２とを含んで構成されている。マイコン３１は、ワイパーの動作を制御するメイン制御部３１ａと、各ＥＣＵを識別するための認証データに基づく認証情報の作成、交換及び照合を行う認証制御手段３１ｂと、認証情報などを記憶する記憶装置であるメモリ３１ｃと、認証データの更新を行なう認証データ更新処理手段３１ｄとを含んで構成されている。なお、メモリ３１ｃは、書き込み可能なＥＥＰＲＯＭと書き込み不可能なＲＯＭより構成されている。
【００３４】
メイン制御部３１ａは、センサー５３、通信手段３２、メモリ３１ｃ及び認証制御手段３１ｂとそれぞれ接続され、センサー５３からの入力信号に基づいて制御を行い、制御信号をワイパーの駆動回路へ出力するように構成されている。
【００３５】
認証制御手段３１ｂは、通信手段３２、メモリ３１ｃ、メイン制御部３１ａ、始動センサー５５及びキーセンサー５６（スイッチ３４を介して）とそれぞれ接続されており、通信手段３２を介して他のＥＣＵ等と送受信される認証データに基づいてデータの信用性を認証した上で認証情報を作成してメモリ３１ｃのＥＥＰＲＯＭに記憶させたり、通信手段３２を介して外部と認証情報を交換したり、始動センサー５５及びキーセンサー５６からの入力信号により決定された認証タイミングで認証を行う。
【００３６】
認証に失敗した場合、認証制御手段３１ｂは、メイン制御部３１ａに制御を一時停止する信号を与え、防犯措置を実施させる制御信号（ワイパー動作信号）を出力し、更に、通信手段３２を介して、ナビゲーション装置７１及び車両サービスサンター７２へ認証失敗の情報を送信する。また、スイッチ３４は外部から操作可能なスイッチであり、専用ツールを用いてスイッチ３４をオフにしておけば、認証機能を解除することができるようになっている。
【００３７】
認証データ更新処理手段３１ｄは、認証制御手段３１ｂと接続されており、通信手段１２による通信の終了時に、認証データを更新するように構成されている。なお、認証データについては後述する。
【００３８】
エンジンＥＣＵ１０、ハンドルＥＣＵ２０及びワイパーＥＣＵ３０は相互認証するようになっており、エンジンＥＣＵ１０はハンドルＥＣＵ２０とワイパーＥＣＵ３０の中から監視先を選択し、ハンドルＥＣＵ２０はエンジンＥＣＵ１０とワイパーＥＣＵ３０の中から監視先を選択し、ワイパーＥＣＵ３０はエンジンＥＣＵ１０とハンドルＥＣＵ２０の中から監視先を選択するようになっている。更に、各ＥＣＵの監視先が重複しないように、各ＥＣＵにおける監視先の選択順序は予め設定されている。
【００３９】
イグニッションスイッチ４１がオフされ、エンジンＥＣＵ１０からイグニッションスイッチ４１がオフした旨のオフデータを受信すると、各ＥＣＵは認証データ更新処理手段１１ｄ、２１ｄ、３１ｄに所定の処理、つまり認証データの更新処理を実行させる。更新した認証データをメモリに記憶するとともに、設定された選択順序に基づいて選択した監視先から該監視先の認証データをＣＡＮバスを介して取得してメモリに記憶した後に通信を終了する。
【００４０】
エンジンＥＣＵ１０は、全てのＥＣＵにおいて更新処理が完了したことを認識すると、電源リレー４３をオフに切り替えてシステムを停止させる。
【００４１】
そして、次回の認証条件が成立した時（例えば、イグニッションスイッチがオンされたことが検出された時）に、認証が行われるように構成されている。
【００４２】
認証データは各ＥＣＵを識別するためのものであり、ここでは、Ａ、Ｂ、Ｃを乱数方式又はシーケンス方式で組み合わせた可変コード（例えば、ＡＢＣ）と各ＥＣＵに付けられた固定番号（例えば、数字番号）から構成される認証データ（例えば、「ＡＢＣ１０」）が採用される。
【００４３】
例えば、図２ａに示したように、第１回目の認証において、エンジンＥＣＵ１０はハンドルＥＣＵ２０を監視先に選択し、自己の認証データ（ＡＢＣ１０）とハンドルＥＣＵ２０の認証データ（ＢＣＡ２０）を記憶している。ハンドルＥＣＵ２０は、ワイパーＥＣＵ３０を監視先に選択し、自己の認証データ（ＢＣＡ２０）とワイパーＥＣＵ３０の認証データ（ＡＢＣ３０）を記憶している。ワイパーＥＣＵ３０は、エンジンＥＣＵ１０を監視先に選択し、自己の認証データ（ＡＢＣ３０）とエンジンＥＣＵ１０の認証データ（ＡＢＣ１０）を記憶している。
【００４４】
第２回目の認証においては、図２ｂに示したように、エンジンＥＣＵ１０はワイパーＥＣＵ３０を監視先に変更し、更新した自己の認証データ（ＢＣＡ１０）とワイパーＥＣＵ３０の認証データ（ＡＣＢ３０）を記憶している。ハンドルＥＣＵ２０は、エンジンＥＣＵ１０を監視先に変更し、更新した自己の認証データ（ＢＡＣ２０）とエンジンＥＣＵ１０の認証データ（ＢＣＡ１０）を記憶している。ワイパーＥＣＵ３０は、ハンドルＥＣＵ２０を監視先に変更し、更新した自己の認証データ（ＡＣＢ３０）とハンドルＥＣＵ２０の認証データ（ＢＡＣ２０）を記憶している。
【００４５】
次に、図３から図５に示すフローチャートに基づいて、エンジンＥＣＵ１０、ハンドルＥＣＵ２０及びワイパーＥＣＵ３０がそれぞれ行う認証処理動作を説明する。
【００４６】
まず、図３に基づいて、エンジンＥＣＵ１０、ハンドルＥＣＵ２０及びワイパーＥＣＵ３０がそれぞれ行う認証情報の作成処理について説明する。
【００４７】
上記各ＥＣＵは前回の認証が正常に完了した後、認証情報の作成処理を開始する。まず、ステップＳ１において、自己の認証データを更新し、それぞれ各自のＥＥＰＲＯＭに記憶させ、その後ステップＳ２に進む。ステップＳ２では、予め設定された選択順序（例えば、図２ａに示した順序）に従って監視先を選択し、その後ステップＳ３に進む。ステップＳ３では、選択した監視先に認証データの送信要求を送信し、その後ステップＳ４に進む。
【００４８】
ステップＳ４では、自己を監視先に選択した監視者から自己の認証データの送信要求を受信したか否かを判断し、前記送信要求を受信していないと判断した場合、ステップＳ６に飛び、他方、前記送信要求を受信したと判断した場合、ステップＳ５に進む。ステップＳ５では、自己の認証データを監視者に送信し、その後ステップＳ７に飛ぶ。
【００４９】
一方、ステップＳ６では、所定時間Ｔ１（例えば１秒）が経過したか否かを判断し、１秒が経過していないと判断した場合、ステップＳ４に戻り、他方、１秒が経過したと判断した場合はステップＳ７に進む。ステップＳ７では、監視先の認証データを受信したか否かを判断し、監視先の認証データを受信していないと判断した場合、ステップＳ９に飛び、他方、監視先の認証データを受信したと判断した場合、ステップＳ８に進む。
【００５０】
ステップＳ８では、監視者のアドレス及び監視先の認証データをそれぞれ各自のＥＥＰＲＯＭに記憶させ、処理動作を終了させる。一方、ステップＳ９では、所定時間Ｔ２（例えば５秒）が経過したか否かを判断し、５秒が経過していないと判断した場合、ステップＳ７に戻り、他方、５秒が経過したと判断した場合はステップＳ１０に進む。ステップＳ１０では、監視先と通信障害が発生したとの情報をナビゲーション装置７１に送信し、その後処理動作を終了させる。
【００５１】
次に、図４に基づいて、エンジンＥＣＵ１０、ハンドルＥＣＵ２０及びワイパーＥＣＵ３０においてそれぞれ行われる認証処理について説明する。
【００５２】
上記各ＥＣＵはキーセンサー５６からキー挿入信号を受け取ると、ステップ２２に進む（ステップ２１）。ステップＳ２２では、自己の認証データを監視者に送信し、その後ステップＳ２３に進む。
【００５３】
ステップＳ２３では、監視先の認証データを受信したか否かを判断し、監視先の認証データを受信していないと判断した場合、ステップＳ２５に飛び、他方、監視先の認証データを受信したと判断した場合、ステップＳ２４に進む。ステップＳ２４では、受信した監視先の認証データをそれぞれ各自のＥＥＰＲＯＭに記憶されている該監視先の認証データと照合し、その後ステップＳ２７に進む。
【００５４】
ステップＳ２７では、照合が一致したか否かを判断し、一致したと判断した場合、ステップＳ２９に飛び、他方、一致していないと判断した場合、ステップＳ２８に進む。ステップＳ２８では、認証に失敗したＥＣＵを記録する配列Ｆ２に該監視先の名前を記録し、その後処理Ｃに進む。
【００５５】
一方、ステップ２５では、所定時間Ｔ３（例えば１秒）が経過したか否かを判断し、１秒が経過していないと判断した場合、ステップＳ２３に戻り、他方、１秒が経過したと判断した場合、ステップＳ２６に進む。ステップＳ２６では、通信異常が発生したＥＣＵを記憶する配列Ｆ１に該監視先の名前を記録し、その後処理Ｃに進む。
【００５６】
一方、ステップＳ２９では、車両を制御するための通常制御を許可し（即ち、それぞれのメイン制御部の制御を開始させ）、その後ステップＳ３０に進む。ステップＳ３０では、所定時間Ｔ２（例えば５分）の経過を待って、処理Ａ（図３）に進む。
【００５７】
次に、図５に基づいて、エンジンＥＣＵ１０、ハンドルＥＣＵ２０及びワイパーＥＣＵ３０がそれぞれ行う防犯処理について説明する。
【００５８】
まず、ステップＳ３１では、防犯制御信号を出力（エンジンＥＣＵ１０の場合、フューエルカット信号を出力し、ハンドルＥＣＵ２０の場合、ハンドルロック信号を出力し、ワイパーＥＣＵ３０の場合、ワイパー動作信号を出力する）し、その後ステップＳ３２に進む。
【００５９】
ステップＳ３２では、配列Ｆ１に記録があったか否かを判断し、配列Ｆ１に記録がなかったと判断した場合、ステップＳ３５に飛び、他方、配列Ｆ１に記録があったと判断した場合、ステップＳ３３に進む。ステップＳ３３では、配列Ｆ１に記録されたＥＣＵの通信異常情報をナビゲーション装置７１に送信し、その後ステップＳ３４に進む。ステップＳ３４では、配列Ｆ１に記録されたＥＣＵの通信異常情報を車両サービスセンター７２に送信し、その後ステップＳ３５に進む。
【００６０】
ステップＳ３５では、配列Ｆ２に記録されたＥＣＵが認証に失敗したとの情報をナビゲーション装置７１に送信し、その後ステップＳ３６に進む。ステップＳ３６では、配列Ｆ２に記録されたＥＣＵが認証に失敗したとの情報を車両サービスセンター７２に送信し、その後ステップＳ３７に進む。
【００６１】
ステップＳ３７では、車両サービスセンター７２から防犯解除信号を受け取ったか否かを判断し、防犯解除信号を受け取ったと判断した場合、ステップＳ３９に進み、他方、防犯解除信号を受け取っていないと判断した場合、ステップＳ３８に進む。
【００６２】
ステップＳ３８では、所定時間Ｔ４（例えば５分間）が経過したか否かを判断し、５分間が経過していないと判断した場合、ステップＳ３７に戻り、他方、５分間が経過したと判断した場合、処理動作を終了させる。
【００６３】
一方、ステップＳ３９では、車両を制御するための通常制御を許可し、その後ステップＳ４０に進む。ステップＳ４０では、防犯制御信号の出力を停止させ、その後処理動作を終了させる。
【００６４】
一方、ナビゲーション装置７１では、エンジンＥＣＵ１０、ハンドルＥＣＵ２０及びワイパーＥＣＵ３０のいずれかから、通信異常情報又は認証失敗情報を受け取った場合、画面出力及び／又は音声出力の形式で通信異常が発生したＥＣＵ又は認証に失敗したＥＣＵの情報を出力する。
【００６５】
また、車両サービスセンター７２では、エンジンＥＣＵ１０、ハンドルＥＣＵ２０及びワイパーＥＣＵ３０のいずれかから、通信異常情報又は認証失敗情報を受け取った場合、例えば、車両所有者に連絡することにより状況を確認し、防犯解除が認められた場合、防犯解除信号を上記通信異常情報又は認証失敗情報を送信してきたＥＣＵに送る。
【００６６】
また、認証データ更新処理手段１１ｄ、２１ｄ、３１ｄは、認証データを初期化する初期化手段１１１ｄ、２１１ｄ、３１１ｄを備えて構成されている。
【００６７】
詳述すると、各ＥＣＵには、外部よりコマンド送信することでＥＣＵを診断する外部診断ツールを接続する端子が設けられており、接続された外部診断ツールから初期化手段１１１ｄ（または２１１ｄ、３１１ｄ）に認証データの初期化コマンドが送信されると、当該初期化コマンドを受け取った初期化手段１１１ｄ（または２１１ｄ、３１１ｄ）は、記憶されている認証データを各ＥＣＵ出荷時の初期値に変更する。
【００６８】
初期化手段１１１ｄ、２１１ｄ、３１１ｄを備えることによって以下の効果がある。即ち、ＥＣＵの不正な交換が発生していないにも係わらず、メモリへの書き込みエラーやメモリからの読み出しエラー等によって認証コードが正常状態と異なる値となったこと等に起因して、認証データに基づく認証が不可能となる不測の事態が発生した場合、または、認証コードのみが異なる不正なＥＣＵに交換がなされた車両を、元のＥＣＵに再交換することなく正常に動作させたい場合でも、初期化手段１１１ｄ、２１１ｄ、３１１ｄによって認証データを初期値に戻すことができるので、不測の事態からの脱却を早期、簡便に行なうことができる。
【００６９】
なお、上記第１の実施の形態では、通信回数を少なくするため、各ＥＣＵの監視先が重複しないように、各ＥＣＵにおける監視先の選択順序が予め設定されているが、別の実施の形態では、乱数方式により各ＥＣＵに監視先を選択させるようにしてもよい。
【００７０】
また、上記第１の実施の形態では、エンジンＥＣＵ１０、ハンドルＥＣＵ２０、ワイパーＥＣＵ３０に認証制御手段が装備され、各ＥＣＵにおける制御出力の停止、エンジンＥＣＵ１０によるフューエルカット、ハンドルＥＣＵ２０によるハンドルロック、ワイパーＥＣＵ３０によるワイパー動作を防犯措置としているが、別の実施の形態では、車両の他のＥＣＵに認証制御手段を装備し、ハザードランプ、テールランプ、フォグランプ、ルームランプの点灯又は点滅、ホーンの動作、スロットル開度制限又は車速制限などを防犯措置として採用してもよい。
【００７１】
また、上記第１の実施の形態では、各ＥＣＵに監視先を選択させるように設定されているが、別の実施の形態では、各ＥＣＵに監視者を選択させるように設定されていてもよい。
【００７２】
また、上記第１の実施の形態では、予め受信した監視先の認証データと認証時に受信した監視先の認証データとが一致したと判断した場合、認証に成功したと判定するように設定されているが、別の実施の形態では、予め受信した監視先の認証データに対して変換処理を行い、変換された認証データが認証時に受信した監視先の認証データと所定の関係になっていると判断した場合、認証に成功したと判定するように設定されていてもよい。また、その他の実施の形態では、予め受信した監視先の認証データと認証時に受信した監視先の認証データとが完全一致でなくても、ズレが所定の範囲内であると判断した場合、認証に成功したと判定するように設定されていてもよい。
【００７３】
図６は、本発明の第２の実施の形態に係る車両用ＥＣＵを含んで構成されたシステムの要部を概略的に示したブロック図である。上記した第１の実施の形態におけるシステムの構成（図１）と同様な構成部分に関しては、ここではその説明を省略する。
【００７４】
第１の実施の形態と異なって、ナビゲーション装置７１には始動センサー５５及びキーセンサー５６（スイッチ４４を介して）が接続されており、ナビゲーション装置７１のＥＣＵ（図示せず、以下ナビＥＣＵと記す）に認証制御手段が設けられている。スイッチ４４は外部から操作可能なスイッチであり、専用ツールを用いてスイッチ４４をオフしておけば、ナビゲーション装置７１の認証機能が解除されるようになっている。
【００７５】
尚、本実施形態では、キー挿入信号がオンすることにより第一の電源リレー４３ａがオンして、各ＥＣＵに電源が供給されてシステムが起動し、キー挿入信号がオフすることによりエンジンＥＣＵ１０により自己保持用の第二の電源リレー４３がオフしてシステムが停止するように構成されている。通信手段は、先の実施形態と同様に、システムの起動時に起動しシステムの停止時に終了するように構成されている。
【００７６】
図７は、本発明の第２の実施の形態に係る車両サービスセンター７２を示す図である。図７に示したように、車両サービスセンター７２は、登録された車両８０におけるＥＣＵの正規プログラムとＲＯＭＳＵＭを含んだ情報を記憶するための記憶手段７２１と、車両におけるＥＣＵの認証情報を作成するための認証管理手段７２２と、車両と通信するための通信手段７２３とを備えている。
【００７７】
認証管理手段７２２は、定期的に、車両８０におけるＥＣＵの認証情報（各ＥＣＵの認証データ、認証関係）を更新し、通信手段７２３を介して各ＥＣＵに送信する一方、車両８０から認証に失敗したＥＣＵの情報を受信した場合、認証に失敗したＥＣＵのＲＯＭＳＵＭを取得し、予め登録された該ＥＣＵのＲＯＭＳＵＭと照合し、両者が一致した場合には、防犯解除信号を各ＥＣＵに送信し、両者が一致しない場合には、予め登録された前記ＥＣＵの正規制御プログラムを前記ＥＣＵに送り、インストールさせるように構成されている。
【００７８】
上段の定期的とは、例えば、認証情報を週に１回更新させるということであり、この場合は、前回の更新から１週間経過した時点より、初めて当該車両８０のキー挿入信号がオンからオフに切り替えられたときに、認証情報を更新させる。
【００７９】
図８は、車両サービスセンター７２が各ＥＣＵに認証情報を送信する場合の例を示す図である。図８に示したように、車両サービスセンター７２は、エンジンＥＣＵ１０に対して作成された認証情報（認証データ：ＡＢＣ１０、監視者：ナビＥＣＵとＥＣＵ３０、監視先：ＥＣＵ２０、監視先の認証データ：ＢＣＡ２０）をエンジンＥＣＵ１０に送信し、ハンドルＥＣＵ２０に対して作成された認証情報（認証データ：ＢＣＡ２０、監視者：ＥＣＵ１０、監視先：ナビＥＣＵ、監視先の認証データ：ＡＢＣ７２）をハンドルＥＣＵ２０に送信し、ワイパーＥＣＵ３０に対して作成された認証情報（認証データ：ＡＢＣ３０、監視者：ナビＥＣＵ、監視先：ＥＣＵ１０、監視先の認証データ：ＡＢＣ１０）をワイパーＥＣＵ３０に送信し、ナビＥＣＵに対して作成された認証情報（認証データ：ＡＢＣ７２、監視者：ＥＣＵ２０、監視先：ＥＣＵ１０とＥＣＵ３０、監視先の認証データ：ＡＢＣ１０とＡＢＣ３０）をナビＥＣＵに送信する。
【００８０】
一方、エンジンＥＣＵ１０、ハンドルＥＣＵ２０、ワイパーＥＣＵ３０及びナビＥＣＵでは、車両サービスセンター７２から新しい認証情報を受信すると、該新しい認証情報をそれぞれ各自のＥＥＰＲＯＭに保存する。
【００８１】
次に、図９と図１０に示したフローチャートに基づいて、エンジンＥＣＵ１０、ハンドルＥＣＵ２０、ワイパーＥＣＵ３０及びナビＥＣＵが行う認証処理動作及び防犯処理動作について説明する。
【００８２】
図９に示したように、ステップＳ６１において、キー挿入信号を受け取ると、次にステップＳ６２に進む。ステップＳ６２では、各自のＥＥＰＲＯＭに記憶されている自己の認証データを指定された監視者に送信し、その後ステップＳ６３に進む。
【００８３】
ステップＳ６３では、指定された監視先の認証データを受信したか否かを判断し、指定された監視先の認証データを受信していないと判断した場合、ステップＳ６３に戻り、他方、指定された監視先の認証データを受信したと判断した場合、ステップＳ６４に進む。
【００８４】
ステップ６４では、受信した監視先の認証データを各自のＥＥＰＲＯＭに記憶されている当該監視先の認証データと照合し、その後ステップＳ６５に進む。ステップＳ６５では、照合結果を他のＥＣＵに送信し、その後ステップＳ６６に進む。
【００８５】
ステップＳ６６では、すべてのＥＣＵの照合結果を受信したか否かを判断し、すべてのＥＣＵの照合結果を受信したと判断した場合、処理Ｆに飛び、他方、すべてのＥＣＵの照合結果を受信してはいないと判断した場合、ステップＳ６７に進む。ステップＳ６７では、所定時間Ｔ２（例えば１秒）が経過したか否かを判断し、１秒が経過していないと判断した場合、ステップＳ６６に戻り、他方、１秒が経過したと判断した場合、処理Ｆに進む。
【００８６】
次に、図１０に基づいて処理Ｆについて説明する。
【００８７】
図１０に示したように、ステップＳ７１において、他のＥＣＵから受信した照合結果により各ＥＣＵに対する認証結果を判定する。同じ監視先に複数の監視者が存在する場合、所定数（例えば、半数）以上の監視者による照合結果が一致した場合にのみ、該監視先が認証に成功したと判定する。
【００８８】
ステップＳ７１に続いて、ステップＳ７２では、認証に失敗したＥＣＵが存在するか否かを判断し、認証に失敗したＥＣＵが存在しないと判断した場合、ステップＳ７３に進み、他方、認証に失敗したＥＣＵが存在すると判断した場合、ステップＳ７４に進む。
【００８９】
ステップＳ７４では、防犯制御信号を出力し（エンジンＥＣＵ１０の場合、フューエルカット信号を出力し、ハンドルＥＣＵ２０の場合、ハンドルロック信号を出力し、ワイパーＥＣＵ３０の場合、ワイパー動作信号を出力し、ナビＥＣＵの場合、認証失敗の情報を表示画面又は音声案内により出力する）し、その後ステップＳ７５に進む。
【００９０】
ステップＳ７５では、認証に失敗したＥＣＵが自己の監視先であるか否かを判断し、認証に失敗したＥＣＵが自己の監視先ではないと判断した場合、ステップＳ７７に飛び、他方、認証に失敗したＥＣＵが自己の監視先であると判断した場合、ステップＳ７６に進む。
【００９１】
ステップＳ７６では、車両サービスセンター７２に認証失敗の情報を送信し、その後ステップＳ７７に進む。ステップＳ７７では、車両サービスセンター７２からＲＯＭＳＵＭの送信要求を受信したか否かを判断し、ＲＯＭＳＵＭの送信要求を受信していないと判断した場合、ステップＳ８１に飛び、他方、ＲＯＭＳＵＭの送信要求を受信したと判断した場合、ステップＳ７８に進む。
【００９２】
ステップＳ７８では、ＲＯＭＳＵＭを車両サービスセンター７２に送信し、その後ステップＳ７９に進む。ステップＳ７９では、車両サービスセンター７２から制御プログラムを受信したか否かを判断し、制御プログラムを受信していないと判断した場合、ステップＳ８１に飛び、他方、制御プログラムを受信したと判断した場合、ステップＳ８０に進む。ステップＳ８０では、受信した制御プログラムで現在の制御プログラムを更新し、その後処理動作を終了させる。
【００９３】
一方、ステップＳ８１では、車両サービスセンター７２から防犯解除信号を受け取ったか否かを判断し、防犯解除信号を受け取っていないと判断した場合、ステップＳ７７に戻り、他方、防犯解除信号を受け取ったと判断した場合、ステップＳ８２に進む。
【００９４】
ステップＳ８２では、車両を制御するための通常制御を許可し（即ち、それぞれのメイン制御部の制御を開始させ）、その後ステップＳ８３に進む。ステップＳ８３では、防犯制御信号の出力を停止させ、その後処理動作を終了させる。一方、ステップＳ７３では、車両を制御するための通常制御を許可し、その後処理動作を終了させる。
【００９５】
なお、上記第２の実施の形態に係るＥＣＵでは、エンジンＥＣＵ１０、ハンドルＥＣＵ２０、ワイパーＥＣＵ３０、ナビＥＣＵに認証制御手段１１ｂ、２１ｂ、３１ｂが装備され、各ＥＣＵにおける制御出力の一時停止、エンジンＥＣＵ１０によるフューエルカット、ハンドルＥＣＵ２０によるハンドルロック、ワイパーＥＣＵ３０によるワイパー動作、ナビゲーション装置の画面表示又は音声案内により認証失敗情報の出力を防犯措置とするが、別の実施の形態では、車両の他のＥＣＵに認証制御手段を装備し、ハザードランプ、テールランプ、フォグランプ、ルームランプの点灯又は点滅、ホーンの動作、スロットル開度制限又は車速制限などを防犯措置として採用してもよい。
【００９６】
また、上記第２の実施の形態では、予め受信した監視先の認証データと認証時に受信した監視先の認証データとが一致したと判断した場合、認証に成功したと判定するように設定されているが、別の実施の形態では、予め受信した監視先の認証データに対して変換処理を行い、変換された認証データが認証時に受信した監視先の認証データと所定の関係になっていると判断した場合、認証に成功したと判定するように設定されていてもよい。また、その他の実施の形態では、予め受信した監視先の認証データと認証時に受信した監視先の認証データとが完全一致でなくても、ズレが所定の範囲内であると判断した場合、認証に成功したと判定するように設定されていてもよい。
【００９７】
本発明の第３の実施の形態に係る車両用ＥＣＵを含んで構成されたシステムの要部を概略的に示したブロック図は、上記した第１の実施の形態におけるシステムの構成（図１）と同様な構成を備えているが、認証制御手段１１ｂ、２１ｂ、３１ｂにおいて認証され、認証データ更新処理手段１１ｄ、２１ｄ、３１ｄにおいて更新される認証データの内容が異なるものとなっている。
【００９８】
つまり、第１の実施の形態では、認証データが各ＥＣＵを一意に識別することが可能な認証データであったのに対して、第３の実施の形態では、認証データが通信手段１２、２２、３２により送受信されるデータの属性と通信優先順位を示すＩＤデータとなっている。
【００９９】
データの属性は、送り先のＥＣＵが所定の処理を実行するために必要なエンジン回転数、水温といったデータの種類を示す。
【０１００】
通信優先順位データは、ＩＤデータが数値で表されている場合に、ＩＤデータが小さい程または大きい程、優先順位が高く設定されることを示しており、例えば、複数のＥＣＵから同時にデータが送信されてバス上でデータが衝突したときに、ＩＤデータが小さい（大きい）、つまり優先順位が高く設定されているＥＣＵから優先してデータの送信が行なわれ、ＩＤデータが大きい（小さい）、つまり優先順位が低く設定されているＥＣＵは、優先順位が高く設定されているＥＣＵの送信処理が完了するまで送信処理を保留するように調停するためのデータである。
【０１０１】
また、ＩＤデータは、図１１に示すように、通信開始時に各ＥＣＵのＥＥＰＲＯＭから読み出されて、通信手段１２、２２、３２に備えられた送信ＩＤ記憶手段１２１、２２１、３２１および受信ＩＤ記憶手段１２２、２２２、３２２に設定された夫々複数の送信ＩＤと受信ＩＤによって構成されており、通信手段１２、２２、３２は、データを受信したときに、受信ＩＤ記憶手段１２２、２２２、３２２に記憶されている自身ＥＣＵの受信ＩＤと受信データに含まれている送信元の送信ＩＤとの一致不一致を照合することによって、当該受信データを受信するか否かを決定する。
【０１０２】
例えば、ハンドルＥＣＵ２０の通信手段２２から送信される送信ＩＤ（＝１００）は、エンジンＥＣＵ１０のＥＥＰＲＯＭの受信ＩＤに含まれているので、エンジンＥＣＵ１０において受信される。逆に、エンジンＥＣＵ１０の通信手段１２から送信されるデータは、エンジンＥＣＵ１０のＥＥＰＲＯＭに記憶された何れの送信ＩＤもハンドルＥＣＵ２０の通信手段２２における受信ＩＤに含まれていないので、ハンドルＥＣＵ２０において受信されない。
【０１０３】
上述のように、第３の実施の形態においては、認証データの内容が第１の実施の形態と異なるため、認証データ更新処理手段１１ｄ、２１ｄ、３１ｄは、通信手段１２による通信の終了時に認証データを更新することは同様ながらも、認証データの更新は、第１の実施の形態とは異なる方法で行われるように構成されている。
【０１０４】
以下に詳述する。なお、以下の説明では認証データ更新処理手段１１ｄについて説明するが、他の認証データ更新処理手段２１ｄ、３１ｄも同様の構成を有している。
【０１０５】
認証データ更新処理手段１１ｄは、更新前の認証データの更新時とは異なる変動データを変数とする所定の認証データ生成関数に基づいて更新前の認証データを新たな認証データに更新するように構成されている。
【０１０６】
認証データ生成関数は、〔数１〕で示すような所定のハッシュ関数ｆ（  ）であり、認証データ更新処理手段１１ｄは、このハッシュ関数ｆ（  ）に変動データを適用することで新たな認証データＩＤ２を算出する。
【数１】
2008084120.tif 000003
【０１０７】
ここで、変動データとは、現在の認証データＩＤ１、ＧＰＳにより取得した緯度と経度で表される車両位置ｄ１、累積走行距離ｄ２、時刻ｄ３等であり、認証データＩＤ１以外のデータは、前回の認証データＩＤ１の生成時から変動している任意のデータである。
【０１０８】
また、ハッシュ関数ｆ（  ）の例としては、車両位置ｄ１、累積走行距離ｄ２、時刻ｄ３、及び前回の認証データＩＤ１を加算した値を変数として１２８ビットの任意のデータを生成するＭＤ５のような関数を使用することができ、算出されたハッシュ値のＬＳＢから所定桁数のビットを次回の認証データＩＤ２とすることができる。
【０１０９】
また、全てのＥＣＵは、同一の変動データを取得するように構成されており、例えば、累積走行距離ｄ２は、累積走行距離ｄ２をカウントしている特定のＥＣＵから車両における他の全てのＥＣＵへ送信される。
【０１１０】
さらに、更新されたＩＤデータは、更新の前後において通信優先順位に変動がないように構成されている。
【０１１１】
例えば、認証データ更新処理手段１１ｄ、２１ｄ、３１ｄは、更新前の全てのＩＤデータについての通信優先順位をＲＡＭ等の一時記憶手段（図示せず）に記憶しておき、更新した全てのＩＤデータを更新前の各ＥＣＵに対応させることなく前記一時記憶手段に記憶させる。そして、前記一時記憶手段に記憶させた更新ＩＤデータを、予め記憶させておいた前記通信優先順位に基づいて並べ替えを行なった後に、更新前と同順位となったＩＤデータを各ＥＣＵに対して割り当てる。
【０１１２】
別の例として、認証データ更新処理手段１１ｄ、２１ｄ、３１ｄは、更新後のＩＤデータが、更新前の同じ優先順位を維持していない場合に再計算を行なうように構成されており、この再計算では、異なる認証データ生成関数や、前回通信開始時からの走行距離、現在位置のうちの経度のみ又は緯度のみ或いはそれら両方からなるデータといった再計算前とは異なる変動データを使用する。
【０１１３】
ハッシュ関数等の不規則なデータを算出する認証データ生成関数に毎回異なる変動データを適用することで、新たな認証データに更新されることから、電子制御装置の盗難や各電子制御装置相互間の通信の盗聴等による認証データの特定を困難なものとすることができる。
【０１１４】
次に、図１２のフローチャートに基づいて、エンジンＥＣＵ１０、ハンドルＥＣＵ２０及びワイパーＥＣＵ３０が通信の終了時に行なう送信ＩＤと受信ＩＤの更新処理について説明する。
【０１１５】
まず、ステップＳ６１では、各ＥＣＵの認証データ更新処理手段１１ｄ、２１ｄ、３１ｄが当該車両の何れかのＥＣＵより車両位置ｄ１や累積走行距離ｄ２といった変動データを取得する。
【０１１６】
ステップＳ６２では、各ＥＣＵの認証データ更新処理手段１１ｄ、２１ｄ、３１ｄが各自のＥＥＰＲＯＭまたは受信ＩＤ記憶手段１２２、２２２、３２２より今回の通信動作中に使用していた受信ＩＤを読み出す。
【０１１７】
ステップＳ６３では、各ＥＣＵの認証データ更新処理手段１１ｄ、２１ｄ、３１ｄが各自のＥＥＰＲＯＭまたは送信ＩＤ記憶手段１２１、２２１、３２１より今回の通信動作中に使用していた送信ＩＤを読み出す。
【０１１８】
ステップＳ６４では、各ＥＣＵの認証データ更新処理手段１１ｄ、２１ｄ、３１ｄが各自のメモリ１１ｃ、２１ｃ、３１ｃのＲＯＭより使用する認証データ生成関数ｆ（  ）を読み出す。
【０１１９】
ステップＳ６５では、各ＥＣＵの認証データ更新処理手段１１ｄ、２１ｄ、３１ｄが、読み出した変動データと送信ＩＤを認証データ生成関数ｆ（  ）に適用して演算させることで、次回の通信開始時より使用する新たな送信ＩＤを算出し、また、読み出した変動データと受信ＩＤを認証データ生成関数ｆ（  ）に適用して演算させることで、次回の通信開始時より使用する新たな受信ＩＤを算出する。なお、ステップＳ６５においては、送信ＩＤと受信ＩＤを認証データＩＤ１として夫々〔数１〕に適用する。
【０１２０】
ステップＳ６６では、各ＥＣＵの認証データ更新処理手段１１ｄ、２１ｄ、３１ｄが算出した新たな送信ＩＤと受信ＩＤを各自のＥＥＰＲＯＭに記憶する。
【０１２１】
なお、次回の通信開始時に、各ＥＣＵの認証データ更新処理手段１１ｄ、２１ｄ、３１ｄが各自のＥＥＰＲＯＭより、図１２のステップ６５で記憶した送信ＩＤと受信ＩＤを読み出して、夫々送信ＩＤ記憶手段１２１、２２１、３２１と受信ＩＤ記憶手段１２２、２２２、３２２に記憶させる。
【０１２２】
第３の実施の形態を用いることで、車両に不正なＥＣＵが搭載された場合において、不正なＥＣＵと他のＥＣＵの間のデータ送受信が不可能となることから、車両が正常な動作を行なうことが不可能となるので、各ＥＣＵを認証するための手段を各ＥＣＵに別途設ける必要がない。
【０１２３】
なお、上記第３の実施の形態では、通信終了時に送信ＩＤと受信ＩＤを更新する構成について説明したが、送信ＩＤや受信ＩＤの更新のタイミングはこれに限らない。例えば、通信終了時に受信ＩＤ（送信ＩＤ）を更新して通信開始時に送信ＩＤ（受信ＩＤ）を更新する構成や、通信開始時にのみ送信ＩＤと受信ＩＤを更新する構成であってもよい。
【０１２４】
また、上記第３の実施の形態では、ＩＤデータはデータの属性と通信優先順位を示す構成について説明したが、ＩＤデータはデータの属性または通信優先順位の何れかのみを示す構成であってもよい。
【０１２５】
また、上記第３の実施の形態では、送信ＩＤ記憶手段１２１、２２１、３２１と受信ＩＤ記憶手段１２２、２２２、３２２に記憶されている全ての送信ＩＤと受信ＩＤを更新する構成について説明したが、送信ＩＤと受信ＩＤの一部のみ更新を行ない、その他の送信ＩＤと受信ＩＤは固定値とする構成であってもよい。
【０１２６】
このとき、固定値である送信ＩＤや受信ＩＤは、通信優先順位が最大順位または最小順位となるように構成されていることが望ましく、このような構成は、例えば、最大順位（最小順位）にしたいＩＤデータを、メモリ１１ｃ、２１、３１ｃの各アドレスのＭＳＢからＬＳＢまで全て「１」または「０」（「０」または「１」）とすること、または、これらの近傍値とすることで実現される。
【０１２７】
また、上記第３の実施の形態では、認証データ更新処理手段１１ｄ、２１ｄ、３１ｄは、特定の認証データ生成関数に基づいて認証データを新たな認証データに更新する構成について説明したが、認証データ更新処理手段１１ｄ、２１ｄ、３１ｄは、更新前の認証データの更新時とは異なる変動データを変数として新たな認証データを生成する複数の認証データ生成関数と、更新前の認証データの更新時とは異なる変動データを変数として前記複数の認証データ生成関数の何れかを選択する選択関数を備えており、前記選択関数に基づいて選択された認証データ生成関数に基づいて前記認証データを新たな認証データに更新するように構成するものであってもよい。
【０１２８】
詳述すると、各ＥＣＵのメモリ１１ｃ、２１ｃ、３１ｃのＲＯＭには、複数の認証データ生成関数（ｆ１（  ）からｆｎ（  ））が識別番号Ｎと共に記憶されており、認証データの更新時に何れの認証データ生成関数を使用するのかを〔数２〕に示すようなハッシュ関数である選択関数ｇ（  ）によって選択するように構成されている。
【数２】
2008084120.tif 000004
【０１２９】
ここで、変動データとは、第３の実施の形態と同様、現在の認証データＩＤ１、ＧＰＳにより取得した緯度と経度で表される車両位置ｄ１、累積走行距離ｄ２、時刻ｄ３等であり、認証データＩＤ１以外のデータは、前回の認証データＩＤ１の生成時から変動している任意のデータである。
【０１３０】
また、選択関数ｇ（  ）の例としても上述と同様に、車両位置ｄ１、累積走行距離ｄ２、時刻ｄ３、及び前回の認証データＩＤ１を加算した合計値を変数として所定ビット数のハッシュ値を算出するハッシュ関数等を採用することができ、得られたハッシュ値の下１桁の数値を識別番号Ｎと求めるように構成することができる。
【０１３１】
次に、図１３（ａ）と図１３（ｂ）のフローチャートに基づいて、エンジンＥＣＵ１０、ハンドルＥＣＵ２０及びワイパーＥＣＵ３０が通信の終了時および開始時にそれぞれ行なう送信ＩＤと受信ＩＤの更新処理について説明する。図１３（ａ）では、通信の終了時における受信ＩＤの更新処理について説明し、図１３（ｂ）では、通信の開始時における送信ＩＤの更新処理について説明する。
【０１３２】
以下、図１３（ａ）に基づいて、通信の終了時における認証データの更新処理について説明する。
【０１３３】
まず、ステップＳ８１では、各ＥＣＵの認証データ更新処理手段１１ｄ、２１ｄ、３１ｄが当該車両の何れかのＥＣＵより車両位置ｄ１や累積走行距離ｄ２といった変動データを取得する。ステップ８２では、各ＥＣＵの認証データ更新処理手段１１ｂ、２１ｂ、３１ｂが各自のＥＥＰＲＯＭまたは受信ＩＤ記憶手段１２２、２２２、３２２より今回の通信動作中に使用していた受信ＩＤを読み出し、ステップＳ８３では、各ＥＣＵの認証データ更新処理手段１１ｄ、２１ｄ、３１ｄが、選択関数ｇ（  ）を用いることによって、各自のメモリ１１ｃ、２１ｃ、３１ｃのＲＯＭに記憶されている複数の認証データ生成関数（ｆ１（  ）からｆｎ（  ））から一つの認証データ生成関数を選択する。
【０１３４】
ステップＳ８４では、各ＥＣＵの認証データ更新処理手段１１ｄ、２１ｄ、３１ｄが、変動データと受信ＩＤをステップＳ８３で読み出した認証データ生成関数ｆ（  ）に適用して演算させることで、次回の通信開始時より使用する新たな受信ＩＤを算出する。なお、ステップＳ８４においては、受信ＩＤを認証データＩＤ１として〔数１〕に適用する。
【０１３５】
ステップＳ８５では、ステップＳ８３において選択した一つの認証データ生成関数をＥＥＰＲＯＭに記憶する。ステップＳ８６では、各ＥＣＵの認証データ更新処理手段１１ｄ、２１ｄ、３１ｄが算出した新たな受信ＩＤを各自のＥＥＰＲＯＭに記憶して、ステップＳ８７では、今回の通信動作中に使用していた送信ＩＤを各自のＥＥＰＲＯＭに記憶する。
【０１３６】
以下、図１３（ｂ）に基づいて、通信の開始時における認証データの更新処理について説明する。
【０１３７】
まず、ステップＳ９１では、各ＥＣＵの認証データ更新処理手段１１ｄ、２１ｄ、３１ｄが当該車両の何れかのＥＣＵより車両位置ｄ１や累積走行距離ｄ２といった変動データを取得する。ステップＳ９２では、各ＥＣＵの認証データ更新処理手段１１ｄ、２１ｄ、３１ｄが各自のＥＥＰＲＯＭより、図１３（ａ）のステップＳ８６で記憶した今回の通信動作中に使用する受信ＩＤを読み出し、ステップＳ９３では、読み出した受信ＩＤを受信ＩＤ記憶手段１２２、２２２、３２２に記憶させる。
【０１３８】
ステップＳ９４では、各ＥＣＵの認証データ更新処理手段１１ｄ、２１ｄ、３１ｄが各自のＥＥＰＲＯＭより、図１３（ａ）のステップＳ８５で記憶した認証データ生成関数ｆ（  ）を読み出す。ステップＳ９５では、各ＥＣＵの認証データ更新処理手段１１ｄ、２１ｄ、３１ｄが各自のＥＥＰＲＯＭより、図１３（ａ）のステップＳ８７で記憶した前回の通信動作中に使用していた送信ＩＤを読み出す。
【０１３９】
ステップＳ９６では、各ＥＣＵの認証データ更新処理手段１１ｄ、２１ｄ、３１ｄが、読み出した変動データと送信ＩＤを認証データ生成関数に適用して演算させることで、今回の通信開始時より使用する新たな送信ＩＤを算出する。なお、ステップＳ９６においては、送信ＩＤを認証データＩＤ１として〔数１〕に適用する。
【０１４０】
ステップＳ９７では、各ＥＣＵの認証データ更新処理手段１１ｄ、２１ｄ、３１ｄが算出した新たな送信ＩＤを送信ＩＤ記憶手段１２１、２２１、３２１に記憶させる。
【０１４１】
また、上記第３の実施の形態では、通信手段１２、２２、３２により送受信されるデータの属性と通信優先順位を示すＩＤデータが送信ＩＤと受信ＩＤによって構成されており、送信ＩＤと受信ＩＤが夫々、送信ＩＤ記憶手段１２１、２２１、３２１および受信ＩＤ記憶手段１２２、２２２、３２２に格納される構成について説明したが、これに限らない。以下に示す別例で、上記第３の実施の形態と異なる部分を詳述する。
【０１４２】
本例では、図１５に示すように、各ＥＣＵにおけるメモリ１１ｃ、２１ｃ、３１ｃのＥＥＰＲＯＭに、この車両で使用するＩＤデータのリストが格納される。各ＥＣＵには同一のリストが格納されているが、リスト中のＩＤデータのうち、送信ＩＤと受信ＩＤに割り当てられるＩＤデータを、各ＥＣＵによって異なるＩＤデータとすることで、ＥＣＵ毎に異なるＩＤデータを設定するように構成されている。
【０１４３】
本例におけるＩＤデータの更新処理について以下に詳述する。ＩＤデータのリストは、ＩＤデータの更新時に一時的にメモリ１１ｃ、２１ｃ、３１ｃのＲＡＭ（図示せず）にコピーされ、ＲＡＭにコピーされたリスト中の各ＩＤデータについて、以下に例示するような演算を行なってＩＤデータを更新する。
【０１４４】
演算は第３の実施の形態で説明したように、所定のハッシュ関数に変動データを適用することで、新たなＩＤデータを算出する方法を採用している。具体的には、図１６（ａ）に示すように、変動データを緯度、経度、累積走行距離、前回のＩＤデータ（送信ＩＤまたは受信ＩＤ）として、そして、ハッシュ関数を前記変動データをバイト単位に分割して加算する関数として、算出したハッシュ値を新たなＩＤデータとする。そして、新たなＩＤデータを、リストにおける当該ＩＤデータの算出前の位置に格納するように構成されている。なお、前記変動データの加算によってオーバーフローが発生した場合は、図１６（ｂ）に示すように、オーバーフロー分の桁を非オーバーフロー分に加算するように構成されている。
【０１４５】
ＩＤデータの更新が終了すると、算出されたＩＤデータのリストは、ＲＡＭからＥＥＰＲＯＭにコピーされる。
【０１４６】
なお、本例では、ＩＤデータの更新処理を行なうタイミング、送信元の送信ＩＤと自身ＥＣＵの受信ＩＤの一致不一致を照合することによって送信元の送信データを受信するか否かを決定すること、ＩＤデータの更新の前後において通信優先順位に変動がないように構成されていること等は第３の実施の形態と同様である。
【０１４７】
第３の実施の形態を採用することで、複数の認証データ生成関数を備え、選択関数に毎回異なる変動データを適用することで一つの認証データ生成関数を選択した上で、当該認証データ生成関数に毎回異なる変動データを適用することで、新たな認証データに更新されることから、電子制御装置の盗難や各電子制御装置相互間の通信の盗聴等による認証データの特定を、一つの認証データ生成関数のみを備えた構成に比較して、さらに困難なものとすることができる。
【０１４８】
なお、上記第１から第３の実施の形態では、第１および第２の実施の形態で説明した認証データ、つまり各ＥＣＵ自体を認証するためのデータと、第３の実施の形態で説明した認証データ、つまり各ＥＣＵ間を送受信させられるデータを識別するためのデータの両方を使用する構成であってもよい。つまり、各ＥＣＵ自体の認証が出来なかった場合に防犯措置をとること、及び、各ＥＣＵ間のデータ送受信でデータの識別が出来なかった場合にデータ送受信が不可能となることの二重の不正防止措置をとることができる構成である。
【０１４９】
また、上記第１から第３の実施の形態では、認証データ更新処理手段はシステム内の全てのＥＣＵに搭載されている構成について説明したが、システム内の一部のＥＣＵのみに搭載されている構成であってもよい。この場合は、認証データ更新処理手段が搭載されていないＥＣＵについては、当該ＥＣＵから送信する認証データと当該ＥＣＵへ送信される認証データが全て固定値となるように構成される。
【０１５０】
また、上記第１から第３の実施の形態では、図１４（ａ）に示すように、各ＥＣＵは相互にＣＡＮバス６１を介して通信されている構成について説明したが、通信はＣＡＮバスに限らず、図１４（ｂ）と図１４（ｃ）に示すように、ＣＡＮバス６１とローカル信号線６３が混在した構成（図１４（ｂ））や、ローカル信号線６３のみの構成（図１４（ｃ））であってもよい。
【０１５１】
また、上記第１から第３の実施の形態では、認証制御手段と認証データ更新処理手段をソフトウェアで実現する構成について説明したが、ハードウェアで実現する構成であってもよい。ハードウェアによる構成としては、例えば、認証制御手段と認証データ更新処理手段の各機能が、特定用途向け集積回路（ＡＳＩＣ）で実現される構成がある。
【０１５２】
尚、上述した実施形態は、本発明の一例に過ぎず、本発明の作用効果を奏する範囲において各ブロックの具体的構成等を適宜変更設計できることは言うまでもない。
【図面の簡単な説明】
【０１５３】
【図１】本発明の第１の実施の形態に係る車両用ＥＣＵを含んで構成されたシステムの要部を概略的に示したブロック図
【図２】（ａ）は、第１の実施の形態に係る各ＥＣＵの相互認証関係の例を示し、（ｂ）は、第１の実施の形態に係る各ＥＣＵの相互認証関係の例を示す説明図
【図３】第１の実施の形態に係る各ＥＣＵが行う一部の処理を示すフローチャート
【図４】第１の実施の形態に係る各ＥＣＵが行う一部の処理を示すフローチャート
【図５】第１の実施の形態に係る各ＥＣＵが行う一部の処理を示すフローチャート
【図６】本発明の第２の実施の形態に係る車両用ＥＣＵを含んで構成されたシステムの要部を概略的に示したブロック図
【図７】第２の実施の形態に係る車両サービスセンターを示す構成図
【図８】第２の実施の形態に係る車両サービスセンターが各ＥＣＵに認証情報を送信する例を示す説明図
【図９】第２の実施の形態に係る各ＥＣＵが行う一部の処理を示すフローチャート
【図１０】第２の実施の形態に係る各ＥＣＵが行う一部の処理を示すフローチャート
【図１１】送信ＩＤ記憶手段と受信ＩＤ記憶手段を示す説明図
【図１２】第３の実施の形態に係る通信の終了時における認証データの更新処理を示すフローチャート
【図１３】（ａ）は、複数の認証データ生成関数と選択関数を備えた形態に係る通信の終了時における認証データの更新処理を示し、（ｂ）は、複数の認証データ生成関数と選択関数を備えた形態に係る通信の開始時における認証データの更新処理を示すフローチャート
【図１４】（ａ）は、各ＥＣＵがＣＡＮバスを介して通信するように構成されたシステムの要部を概略的に示し、（ｂ）は、各ＥＣＵがＣＡＮバスとローカル信号線を介して通信するように構成されたシステムの要部を概略的に示し、（ｃ）は、各ＥＣＵがローカル信号線を介して通信するように構成されたシステムの要部を概略的に示すブロック図
【図１５】ＩＤデータのリストを示す説明図
【図１６】（ａ）は、ＩＤデータの更新処理の演算を示し、（ｂ）は、図１６（ａ）にてオーバーフローが発生した場合の処理を示す説明図
【符号の説明】
【０１５４】
１０：エンジンＥＣＵ
２０：ハンドルＥＣＵ
３０：ワイパーＥＣＵ
１１、２１、３１：マイコン
１１ａ、２１ａ、３１ａ：メイン制御部
１１ｂ、２１ｂ、３１ｂ：認証制御手段
１１ｃ、２１ｃ、３１ｃ：メモリ
１１ｄ、２１ｄ、３１ｄ：認証データ更新処理手段
１１１ｄ、２１１ｄ、３１１ｄ：初期化手段
１２、２２、３２、７２３：通信手段
１４、２４、３４：スイッチ
１２１、２２１、３２１：送信ＩＤ記憶手段
１２２、２２２、３２２：受信ＩＤ記憶手段
４０：バッテリ
４１：イグニッションスイッチ
４３：電源リレー
４３ａ：第一の電源リレー
４４：スイッチ
５１〜５３：センサー
５５：始動センサー
５６：キーセンサー
６１：ＣＡＮバス
６２：アンテナ
６３：ローカル信号線
７１：ナビゲーション装置
７２：車両サービスセンター
７２１：記憶手段
７２２：認証管理手段
【図１】
2008084120.tif 000005
【図２】
2008084120.tif 000006
【図３】
2008084120.tif 000007
【図４】
2008084120.tif 000008
【図５】
2008084120.tif 000009
【図６】
2008084120.tif 000010
【図７】
2008084120.tif 000011
【図８】
2008084120.tif 000012
【図９】
2008084120.tif 000013
【図１０】
2008084120.tif 000014
【図１１】
2008084120.tif 000015
【図１２】
2008084120.tif 000016
【図１３】
2008084120.tif 000017
【図１４】
2008084120.tif 000018
【図１５】
2008084120.tif 000019
【図１６】
2008084120.tif 000020
【手続補正書】
【提出日】平成19年9月6日(2007.9.6)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
通信手段を介して送受信される認証データに基づいてデータの信用性を認証する認証手段と、前記通信手段による通信の終了時に前記認証データを更新する認証データ更新手段を備えていることを特徴とする電子制御装置。
【請求項２】
前記通信の終了時とは、前記通信手段への電源の供給を遮断する要求があった時であることを特徴とする請求項１記載の電子制御装置。
【請求項３】
前記通信の終了時とは、前記通信が所定時間無い時であることを特徴とする請求項１記載の電子制御装置。
【請求項４】
前記電子制御装置は車両を制御する電子制御装置であり、前記通信の終了時とは、車両制御におけるセッション終了時であることを特徴とする請求項１記載の電子制御装置。
【請求項５】
前記認証データが前記通信手段により送受信されるデータの属性または通信優先順位を示すＩＤデータである請求項１から４の何れかに記載の電子制御装置。