(57)【要約】【課題】キーワードや暗証コードが漏洩することなく、かつこれらを、書き換えを要求する外部機器側で把握する必要のない書換実行可否判定を行う自動車用電子制御装置を提供する。【解決手段】自動車制御用の制御プログラム、制御データを格納する不揮発性メモリ１１と、外部からの要求に応じて前記不揮発性メモリの内容を書き換える書換手段１３と、書き換え要求があった時点で定まる識別データから予め定められた法則に従って一義的に定まる暗証コードを作成し、前記識別データを送って外部で同様にして作成され返送されてくる暗唱コードと前記暗唱コードとの照合結果により書き換え実行の可否判定を行う書換実行可否判定手段１４と、を備えた。【選択図】　　　　図１
2004051056.tif 000002
【特許請求の範囲】
【請求項１】
自動車制御用の制御プログラム、制御データを格納する不揮発性メモリと、
外部からの要求に応じて前記不揮発性メモリの内容を書き換える書換手段と、
書き換え要求があった時点で定まる識別データから予め定められた法則に従って一義的に定まる暗証コードを作成し、前記識別データを送って外部で同様にして作成され返送されてくる暗唱コードと前記暗唱コードとの照合結果により書き換え実行の可否判定を行う書換実行可否判定手段と、
を備えたことを特徴とする自動車用電子制御装置。
【請求項２】
自動車制御のための計時手段を備え、書き換え要求があった時点で定まる前記識別データを前記計時手段を利用して生成することを特徴とする請求項１に記載の自動車用電子制御装置。
【請求項３】
識別データ応答履歴を記録しておく書換可否判定用記憶手段をさらに備え、前記書換実行可否判定手段が、すでに該当する識別データ応答履歴が記憶されているものについては暗唱コードの作成を省略し、また暗唱コードの照合で不一致となった場合には該当する記憶を消去するようにしたことを特徴とする請求項１または２に記載の自動車用電子制御装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、自動車用電子制御装置内の不揮発性メモリの書き換えを行う技術に関し、特に不正書換防止に関するものである。
【０００２】
【従来の技術】
例えば特開平９−１８０４８６号公報、特開平１１−１７５３３１号公報等には、自動車用電子制御装置（以下、ＥＣＵという）内の不揮発性メモリの不正書換防止手段として、予め設定したデータ（キーワードや暗証コード）を用いて判定する技術が提案されている。
【０００３】
特開平９−１８０４８６号公報の実施の形態によると、例えばエンジンが所定時間回転した後にＲＯＭデータの書き換えを行いたいときは、ＥＣＵ内のプログラムに所定時間後に書き換えを行うことを表す任意のキーワードを予め登録しておき、外部機器からこのキーワードが入力されたときに書き換えの実行が許可される。このようなキーワードがエンジン運転状況に応じて複数用意されている。
【０００４】
また、特開平１１−１７５３３１号公報の実施の形態によると、ＥＣＵは外部機器から送信される暗証コードを受信し、ＥＣＵ内のＲＯＭに予め記憶されている暗証コードと一致するか否かを判別し、一致するとＲＯＭ書き換えの実行が許可される。
【０００５】
【発明が解決しようとする課題】
従来のＥＣＵは以上のように構成されているので、ＥＣＵ内に予め記憶されているデータ（キーワードや暗証コード）が漏洩すれば不正な書き換えが防止できないという問題点があった。
【０００６】
特に、量産ＥＣＵにＲＯＭの書き換え機能を付与する場合においては、一旦、キーワードや暗証コードが漏洩すれば、同じキーワードや暗証コードを有する多数の量産ＥＣＵに対して不正書き換え防止ができなくなる。一方、量産されるＥＣＵ個々に異なるキーワードや暗証コードを設定すると、外部機器側にて対象となる全てのＥＣＵのキーワードや暗証コードを把握しておく必要があるが、量産ＥＣＵ個々のキーワードや暗証コード全てを把握することは実質的には不可能である。
【０００７】
この発明は、キーワードや暗証コードが漏洩することなく、かつこれらを、書き換えを要求する外部機器側で把握する必要のない書換実行可否判定を行う自動車用電子制御装置を提供することを目的とする。
【０００８】
【課題を解決するための手段】
上記の目的に鑑み、この発明は、自動車制御用の制御プログラム、制御データを格納する不揮発性メモリと、外部からの要求に応じて前記不揮発性メモリの内容を書き換える書換手段と、書き換え要求があった時点で定まる識別データから予め定められた法則に従って一義的に定まる暗証コードを作成し、前記識別データを送って外部で同様にして作成され返送されてくる暗唱コードと前記暗唱コードとの照合結果により書き換え実行の可否判定を行う書換実行可否判定手段と、を備えたことを特徴とする自動車用電子制御装置にある。
【０００９】
また、自動車制御のための計時手段を備え、書き換え要求があった時点で定まる前記識別データを前記計時手段を利用して生成することを特徴とする。
【００１０】
また、識別データ応答履歴を記録しておく書換可否判定用記憶手段をさらに備え、前記書換実行可否判定手段が、すでに該当する識別データ応答履歴が記憶されているものについては暗唱コードの作成を省略し、また暗唱コードの照合で不一致となった場合には該当する記憶を消去するようにしたことを特徴とする。
【００１１】
【発明の実施の形態】
実施の形態１．
図１はこの発明の一実施の形態による自動車用電子制御装置の構成を示す図である。図１において、１０は自動車用電子制御装置であるＥＣＵ、２０はＥＣＵ１０の制御プログラム、制御データなどの書き換えを行うための外部機器である。ＥＣＵ１０は、制御プログラムや制御データなどを格納する不揮発性メモリ１１、外部機器２０とのやり取りを行う通信手段１２、外部機器２０の要求に応じて不揮発性メモリ１１内の制御プログラムや制御データなどの書き換えを行う書換手段１３、書換手段１３の実行可否を判定する書換実行可否判定手段１４、計時手段１５、および書き換え可能な書換実行可否判定用メモリ１６を内蔵する。
【００１２】
書換手段１３及び書換実行可否判定手段１４は書換対象ではない制御プログラムとして不揮発性メモリ１１内に記憶されている。通信手段１２は通信モデムやＩ／Ｏインタフェース（プログラムを伴う場合もある）等からなる。書換実行可否判定用メモリ１６は書き換え可能なメモリからなる。計時手段１５はハードウェアやソフトウェアで構成されたカウンタ、タイマ等からなる。
【００１３】
外部機器２０は、ＥＣＵ１０の内容の書き換えを行うためのソフトウェアで構成された書換実行手段２１、そしてＥＣＵ１０の通信手段１２、書換実行可否判定手段１４に対応するそれぞれ通信手段１２ａ、書換実行可否判定手段１４ａを備える。
【００１４】
図２は、外部機器２０の書換実行手段２１がＥＣＵ１０に書換要求を行う場合に、双方の書換実行可否判定手段１４、１４ａの間で行われる書き換え実行可否判定の処理手順の概要を示したものである。外部機器２０はＥＣＵ１０に書き換えを要求するにあたって、先ず識別データを要求する（ステップＳ２１）。外部機器２０の要求を受けて、ＥＣＵ１０は識別データを生成するとともに、予め定められた法則に従ってこの識別データから暗証コードを生成し（ステップＳ２２）、ステップＳ２３にて識別データを外部機器２０に送信する。
【００１５】
外部機器２０は、ステップＳ２４において識別データを受信し、受信した識別データからＥＣＵ１０側と同様の法則に従って暗証コードを生成する。次いで、ステップＳ２５において暗証コードをＥＣＵ１０に送信し、買い換え実行を要求する。ＥＣＵ１０は、外部機器２０から暗証コードとともに書換実行要求を受信すると、受信した暗証コードとステップＳ２２にて生成した暗証コードとを照合し、照合結果により書き換え実行の可否を判定する（ステップＳ２６）。すなわち照合の結果、両者が一致していれば書き換えを許可する。次いで、ステップＳ２７においてＥＣＵ１０は外部機器２０にステップＳ２６にて判定した書き換え実行可否を送信し、外部機器２０は書換実行可否を受信する（ステップＳ２８）。
【００１６】
図３、図４にはＥＣＵ１０での詳細な動作を、図５には外部機器２０での詳細な動作を示して説明する。図５は図２のＳ２１，Ｓ２４，Ｓ２５，Ｓ２８に相当するフローチャートである。まず、外部機器２０からＥＣＵ１０に識別データ要求が送信される。これは図２のＳ２１に相当する。
【００１７】
図３は外部機器２０から識別データ要求を受信した場合の処理（図２のＳ２２，Ｓ２３に相当）を示すフローチャートである。ＥＣＵ１０は識別データを応答した履歴を確認し（ステップＳ３１）、応答履歴を記憶していれば（ステップＳ３１がＹＥＳ）ステップＳ３２に進み「識別データ応答済み」を外部機器２０に送信する。識別データを応答した履歴は書換実行可否判定用メモリ１６に記憶されている。また後述の識別データ、暗号データもこれに記憶される。
【００１８】
ＥＣＵ１０は、応答履歴を記憶していなければ（ステップＳ３１がＮＯ）ステップＳ３３に進む。ステップＳ３３では、計時手段１５から現在の値を読み取り、識別データを生成し記憶する。計時手段１５はＥＣＵ１０の動作開始から一定周期にて循環的に計時（カウント）しており、識別データを生成する方法の一例としては、計時手段１５から読み取った現在の値を識別データとする方法がある。ステップＳ３４では、ステップＳ３３で生成した識別データから予め定められた法則に従って、暗証コードを生成し記憶する。次いでステップＳ３５にて、ステップＳ３３で生成した識別データを外部機器２０に送信するとともに、識別データ応答履歴を記憶する。
【００１９】
図５において、外部機器２０がＥＣＵ１０から識別データを受信すると（ステップＳ５２）、ＥＣＵ１０と同様な法則に従って暗号データを生成し（ステップＳ５３）、この暗号データをＥＣＵ１０側に送信して書き換え実行要求を行う（ステップＳ５４）。これらは図２のＳ２４，Ｓ２５に相当する。
【００２０】
図４は外部機器２０から書き換え実行要求を受信した場合の処理（図２のＳ２６，Ｓ２７に相当）を示すフローチャートである。先ず、ＥＣＵ１０は外部機器２０から送信された暗証コードを受信し（ステップＳ４１）、ステップＳ３４にて生成し書換実行可否判定用メモリ１６に記憶した暗証コードと照合する（ステップＳ４２）。暗証コードが一致すれば（ステップＳ４２が一致）、ステップＳ４３に進み「書換実行許可」を外部機器２０に送信する。
【００２１】
ＥＣＵ１０は、暗証コードが不一致ならば（ステップＳ４２が不一致）、ステップＳ４４に進み、書換実行可否判定用メモリ１６に記憶している識別データ、暗証コード及び識別データ応答履歴をクリア（削除）する。次いでステップＳ４５にて「書換実行拒否」を外部機器２０に送信する。
【００２２】
そして図５において、外部機器２０は「書換実行許可」または「書換実行拒否」の連絡を受ける（ステップＳ５５）。これは図２のＳ２８に相当する。
【００２３】
なお、識別データ生成に計時手段１５を用いているが、計時手段１５は書き込み実行可否判定においては、外部機器２０から識別データ要求があった場合に読み取るだけなので、ＥＣＵ１０が対象の内燃機関等の制御を行うための入力信号計測や出力信号制御に使用する既存の計時手段を用いるようにしてもよい。
【００２４】
【発明の効果】
以上のようにこの発明によれば、自動車制御用の制御プログラム、制御データを格納する不揮発性メモリと、外部からの要求に応じて前記不揮発性メモリの内容を書き換える書換手段と、書き換え要求があった時点で定まる識別データから予め定められた法則に従って一義的に定まる暗証コードを作成し、前記識別データを送って外部で同様にして作成され返送されてくる暗唱コードと前記暗唱コードとの照合結果により書き換え実行の可否判定を行う書換実行可否判定手段と、を備えた自動車用電子制御装置とした。これにより、書き換え実行要求毎に異なる識別データ及び暗証コードが乱数的に生成されることとなり、自動車用電子制御装置としては不正書換に対して高いセキュリティ性を保つことができ、かつ自動車用電子制御装置の内容書換えを行う外部機器は、対象とする自動車用電子制御装置個々の暗証コードを把握する必要が無くなる。
【００２５】
また、自動車制御のための計時手段を備え、書き換え要求があった時点で定まる前記識別データを前記計時手段を利用して生成するようにしたので、対象の制御に用いる計時手段と識別データ生成に用いる計時手段とを兼用にすることができ、計時手段を追加することなく安価に不正書換防止手段を得ることができる。また、内部に備えた計時手段を利用して識別データを生成するので、更に不正書換防止効果の向上を図ることができる。
【００２６】
また、識別データ応答履歴を記録しておく書換可否判定用記憶手段をさらに備え、前記書換実行可否判定手段が、すでに該当する識別データ応答履歴が記憶されているものについては暗唱コードの作成を省略し、また暗唱コードの照合で不一致となった場合には該当する記憶を消去するようにしたので、処理を効率化できると共に、暗証コードを逐一照合要求する不正書換要求も防ぐことが可能となる。
【図面の簡単な説明】
【図１】この発明の一実施の形態による自動車用電子制御装置の構成を示す図である。
【図２】この発明による自動車用電子制御装置における外部機器とＥＣＵとの間で行われる書き換え実行可否判定の処理手順の概要を示すフローチャートである。
【図３】この発明による自動車用電子制御装置におけるＥＣＵでの識別データ要求を受信した時の処理を示すフローチャートである。
【図４】この発明による自動車用電子制御装置におけるＥＣＵでの暗唱コードを受信した時の処理を示すフローチャートである。
【図５】この発明による自動車用電子制御装置における外部機器での処理を示すフローチャートである。
【符号の説明】
１０　自動車用電子制御装置（ＥＣＵ）、１１　不揮発性メモリ、１２，１２ａ通信手段、１３　書換手段、１４，１４ａ　書換実行可否判定手段、１５　計時手段、１６　書換実行可否判定用メモリ、２０　外部機器、２１　書換実行手段。
【図１】
2004051056.tif 000003
【図２】
2004051056.tif 000004
【図３】
2004051056.tif 000005
【図４】
2004051056.tif 000006
【図５】
2004051056.tif 000007