(57)【要約】【課題】セキュリティフラグ等の変数を新たに設けることなく、ディレイ時間を適切に省略し、工場での生産効率を高めることを可能にすることである。【解決手段】車載電子制御装置１０は、記憶部２０に対するデータの書き換え時等の外部機器からのセキュリティアクセスの適否を判定する認証部３１と、製造時に０に設定されており認証部３１が不適と判定した場合にインクリメントされ認証部３１が適正と判定した場合に０にされるカウンタ２２と、装置起動時に又はカウント２２をインクリメントした場合に計測を開始しディレイ時間を計測するセキュリティタイマ２３と、カウント２２が０でない場合にはセキュリティタイマ２３のディレイ時間が所定時間経過した後にセキュリティアクセスを許可しカウント２２が０である場合にはセキュリティタイマ２３の値にかかわらずセキュリティアクセスを許可するセキュリティアクセス許可部３２と、を有する。【選択図】図２
2013174986.tif 000002
【特許請求の範囲】
【請求項１】
データが記憶される記憶部と、前記記憶部に対するデータの書き込み時又はデータの書き換え時の外部機器からのセキュリティアクセスの適否を判定する適否判定部と、製造時に０に設定されており前記適否判定部が不適と判定した場合にインクリメントされ前記適否判定部が適正と判定した場合に０にされるカウンタとを有する車載電子制御装置において、
装置起動時に前記カウントが０でない場合又は前記カウントをインクリメントした場合に計測を開始し前記外部機器からのセキュリティアクセスを許可するまでの時間を計測する計測部と、
前記計測部が計測を開始した場合には前記計測部が計測した時間が予め設定された時間を経過した後に前記外部機器からのセキュリティアクセスを許可し前記計測部が計測を開始していない場合には直ちに前記外部機器からのセキュリティアクセスを許可するセキュリティアクセス許可部と、
を有することを特徴とする車載電子制御装置。
【請求項２】
データが記憶される記憶部と、前記記憶部に対するデータの書き込み時又はデータの書き換え時の外部機器からのセキュリティアクセスの適否を判定する適否判定部と、製造時に０に設定されており前記適否判定部が不適と判定した場合にインクリメントされ前記適否判定部が適正と判定した場合に０にされるカウンタとを有する車載電子制御装置において、
装置起動時に又は前記カウントをインクリメントした場合に計測を開始し前記外部機器からのセキュリティアクセスを許可するまでの時間を計測する計測部と、
前記カウントが０でない場合には前記計測部が計測した時間が予め設定された時間を経過した後に前記外部機器からのセキュリティアクセスを許可し前記カウントが０である場合には前記計測部が計測した時間にかかわらず前記外部機器からのセキュリティアクセスを許可するセキュリティアクセス許可部と、
を有することを特徴とする車載電子制御装置。
【請求項３】
製造時に０に設定されており記憶部に対するデータの書き込み時又はデータの書き換え時の外部機器からのセキュリティアクセスを不適と判定した場合にインクリメントされるカウンタを有する車載電子制御装置の前記データの書き込み又は前記データの書き換えを行うデータ書換方法であって、
前記車載電子制御装置の計測部が、前記車載電子制御装置の起動時に前記カウントが０でない場合又は前記カウントをインクリメントした場合に計測を開始し前記外部機器からのセキュリティアクセスを許可するまでの時間を計測する計測ステップと、
前記車載電子制御装置の適否判定部が、前記記憶部に対するデータの書き込み時又はデータの書き換え時の前記外部機器からのセキュリティアクセスの適否を判定する適否判定ステップと、
前記車載電子制御装置のセキュリティアクセス許可部が、前記計測部が計測を開始した場合には前記計測ステップで計測した時間が予め設定された時間を経過した後に前記外部機器からのセキュリティアクセスを許可し前記計測部が計測を開始していない場合には直ちに前記外部機器からのセキュリティアクセスを許可する適否判定ステップと、
前記カウンタが、前記適否判定ステップで不適と判定された場合にインクリメントされ前記適否判定ステップで適正と判定された場合に０にされるカウンタ設定ステップと、
を有することを特徴とするデータ書換方法。
【請求項４】
製造時に０に設定されており記憶部に対するデータの書き込み時又はデータの書き換え時の外部機器からのセキュリティアクセスを不適と判定した場合にインクリメントされるカウンタを有する車載電子制御装置の前記データの書き込み又は前記データの書き換えを行うデータ書換方法であって、
前記車載電子制御装置の計測部が、前記車載電子制御装置の起動時に又は前記カウントをインクリメントした場合に計測を開始し前記外部機器からのセキュリティアクセスを許可するまでの時間を計測する計測ステップと、
前記車載電子制御装置の適否判定部が、前記記憶部に対するデータの書き込み時又はデータの書き換え時の前記外部機器からのセキュリティアクセスの適否を判定する適否判定ステップと、
前記車載電子制御装置のセキュリティアクセス許可部が、前記カウントが０でない場合には前記計測ステップで計測した時間が予め設定された時間を経過した後に前記外部機器からのセキュリティアクセスを許可し前記カウントが０である場合には前記計測ステップで計測した時間にかかわらず前記外部機器からのセキュリティアクセスを許可する適否判定ステップと、
前記カウンタが、前記適否判定ステップで不適と判定された場合にインクリメントされ前記適否判定ステップで適正と判定された場合に０にされるカウンタ設定ステップと、
を有することを特徴とするデータ書換方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車載電子制御装置内のプログラム等のデータを、不正書換防止のための通信規格である通信規格「ＩＳＯ１５０３１−７（ＳＡＥＪ２１８６）」（通信規格ＳＡＥＪ２１８６）に準拠して書き込み又は書き換える技術に関する。
【背景技術】
【０００２】
従来の技術には、車載のＥＣＵ（Electronic Control Unit）へ不正にアクセス（不正プログラミング等）することを防止するため、ＥＣＵの起動からセキュリティアクセス（ＫＥＹ照合）までのディレイ時間（セキュリティタイマ）が設けられている技術がある。
この技術では、セキュリティタイマを設けることにより、セキュリティアクセスの結果がＮＧであった場合には、ディレイ時間が経過するまで再セキュリティアクセスを不可としている。
【０００３】
これにより、この技術では、不正なセキュリティアクセスを連続してトライできないようにしている。
しかし、このような技術だと、工場の生産工程でプログラミング等を行おうとした際に、セキュリティタイマが設定された時間を経過するまでセキュリティアクセスができなくなってしまう場合がある。この場合、プログラミング等を完了するまでに時間がかかってしまうために、生産効率が悪くなる恐れがあった。
【０００４】
これに対して、特許文献１に開示の技術では、初期状態であるか否かを示すセキュリティフラグ（処理フラグ）を備え、このセキュリティフラグによって初期状態であることが示されたとき、ディレイ時間を省いたデータの書込処理を可能にしている。これにより、特許文献１に開示の技術では、工場での生産効率を高めることを可能にしている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００２−７０６３６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかし、特許文献１に開示の技術では、前述のように、ディレイ時間を省いたデータの書込処理を実現するために、通信規格ＩＳＯ１５０３１−７（ＳＡＥＪ２１８６）で規定されていないセキュリティフラグを設ける必要があった。
本発明の目的は、このようなセキュリティフラグ等の変数を設けることなく、ディレイ時間を適切に省略し、工場での生産効率を高めることを可能にすることである。
【課題を解決するための手段】
【０００７】
前記課題を解決するために、（１）本発明の一態様では、データが記憶される記憶部と、前記記憶部に対するデータの書き込み時又はデータの書き換え時の外部機器からのセキュリティアクセスの適否を判定する適否判定部と、製造時に０に設定されており前記適否判定部が不適と判定した場合にインクリメントされ前記適否判定部が適正と判定した場合に０にされるカウンタとを有する車載電子制御装置において、装置起動時に前記カウントが０でない場合又は前記カウントをインクリメントした場合に計測を開始し前記外部機器からのセキュリティアクセスを許可するまでの時間を計測する計測部と、前記計測部が計測を開始した場合には前記計測部が計測した時間が予め設定された時間を経過した後に前記外部機器からのセキュリティアクセスを許可し前記計測部が計測を開始していない場合には直ちに前記外部機器からのセキュリティアクセスを許可するセキュリティアクセス許可部と、を有することを特徴とする車載電子制御装置を提供できる。
【０００８】
（２）本発明の一態様では、データが記憶される記憶部と、前記記憶部に対するデータの書き込み時又はデータの書き換え時の外部機器からのセキュリティアクセスの適否を判定する適否判定部と、製造時に０に設定されており前記適否判定部が不適と判定した場合にインクリメントされ前記適否判定部が適正と判定した場合に０にされるカウンタとを有する車載電子制御装置において、装置起動時に又は前記カウントをインクリメントした場合に計測を開始し前記外部機器からのセキュリティアクセスを許可するまでの時間を計測する計測部と、前記カウントが０でない場合には前記計測部が計測した時間が予め設定された時間を経過した後に前記外部機器からのセキュリティアクセスを許可し前記カウントが０である場合には前記計測部が計測した時間にかかわらず前記外部機器からのセキュリティアクセスを許可するセキュリティアクセス許可部と、を有することを特徴とする車載電子制御装置を提供できる。
【０００９】
（３）本発明の一態様では、製造時に０に設定されており記憶部に対するデータの書き込み時又はデータの書き換え時の外部機器からのセキュリティアクセスを不適と判定した場合にインクリメントされるカウンタを有する車載電子制御装置の前記データの書き込み又は前記データの書き換えを行うデータ書換方法であって、前記車載電子制御装置の計測部が、前記車載電子制御装置の起動時に前記カウントが０でない場合又は前記カウントをインクリメントした場合に計測を開始し前記外部機器からのセキュリティアクセスを許可するまでの時間を計測する計測ステップと、前記車載電子制御装置の適否判定部が、前記記憶部に対するデータの書き込み時又はデータの書き換え時の前記外部機器からのセキュリティアクセスの適否を判定する適否判定ステップと、前記車載電子制御装置のセキュリティアクセス許可部が、前記計測部が計測を開始した場合には前記計測ステップで計測した時間が予め設定された時間を経過した後に前記外部機器からのセキュリティアクセスを許可し前記計測部が計測を開始していない場合には直ちに前記外部機器からのセキュリティアクセスを許可する適否判定ステップと、前記カウンタが、前記適否判定ステップで不適と判定された場合にインクリメントされ前記適否判定ステップで適正と判定された場合に０にされるカウンタ設定ステップと、を有することを特徴とするデータ書換方法を提供できる。
【００１０】
（４）本発明の一態様では、製造時に０に設定されており記憶部に対するデータの書き込み時又はデータの書き換え時の外部機器からのセキュリティアクセスを不適と判定した場合にインクリメントされるカウンタを有する車載電子制御装置の前記データの書き込み又は前記データの書き換えを行うデータ書換方法であって、前記車載電子制御装置の計測部が、前記車載電子制御装置の起動時に又は前記カウントをインクリメントした場合に計測を開始し前記外部機器からのセキュリティアクセスを許可するまでの時間を計測する計測ステップと、前記車載電子制御装置の適否判定部が、前記記憶部に対するデータの書き込み時又はデータの書き換え時の前記外部機器からのセキュリティアクセスの適否を判定する適否判定ステップと、前記車載電子制御装置のセキュリティアクセス許可部が、前記カウントが０でない場合には前記計測ステップで計測した時間が予め設定された時間を経過した後に前記外部機器からのセキュリティアクセスを許可し前記カウントが０である場合には前記計測ステップで計測した時間にかかわらず前記外部機器からのセキュリティアクセスを許可する適否判定ステップと、前記カウンタが、前記適否判定ステップで不適と判定された場合にインクリメントされ前記適否判定ステップで適正と判定された場合に０にされるカウンタ設定ステップと、を有することを特徴とするデータ書換方法を提供できる。
【発明の効果】
【００１１】
本発明によれば、通信規格ＩＳＯ１５０３１−７（ＳＡＥＪ２１８６）に則った既存の変数となるカウンタを使用できるため、新たに変数を設ける必要がない。よって、本発明では、新たに変数を記憶部に記憶する必要がないため、メモリを節約できる。
また、本発明によれば、車載電子制御装置の製造直後等のために前回に不適なセキュリティアクセスがされなかった場合には、計測部が計測する時間が予め設定された時間を経過するのを待つことなく、今回のセキュリティアクセスが許可される。これにより、本発明では、車載電子制御装置の製造直後等における工場での生産効率を向上させることができる。
【図面の簡単な説明】
【００１２】
【図１】本実施形態のデータ書換システムの構成例を示す図である。
【図２】車載電子制御装置及びデータ書換装置の構成例を示す図である。
【図３】データ書換システムにおける処理の流れの一例を示すフローチャートである。
【発明を実施するための形態】
【００１３】
本発明の実施形態を図面を参照しつつ説明する。
本実施形態は、データ書換システムである。
（構成）
図１は、本実施形態のデータ書換システム１の構成例を示す図である。
図１に示すように、データ書換システム１は、車載電子制御装置１０及びデータ書換装置（書換用ツール）５０を有している。
【００１４】
このデータ書換システム１は、不正書換防止のための通信規格である通信規格ＩＳＯ１５０３１−７（ＳＡＥＪ２１８６）（通信規格ＳＡＥＪ２１８６）に従って、車両に搭載されている車載電子制御装置１０内のプログラム等のデータを、外部装置であるデータ書換装置５０により書き換える（プログラミング等する）ことができるシステムである。
例えば、工場（工場での生産工程）や市場（生産後の市場）、プール等において、車載電子制御装置１０への最初のプログラムの書き込み、或はその後の該プログラムの書き換えを行う場合、データ書換システム１では、規格ＳＡＥＪ１９６２のコネクタ３を介してシリアルの通信ライン４によって、車載電子制御装置１０とデータ書換装置５０とが接続される。これにより、車載電子制御装置１０とデータ書換装置５０とは、通信ライン４を介して互いにデータの授受が可能な状態となる。
【００１５】
また、データ書換システム１は、データ書換装置５０として、工場等で車両の故障診断用として配備されているサービスツールを利用し、通信規格についても、該サービスツールの通信規格と同じ規格とすることもできる。これにより、データ書換システム１は、故障診断とプログラム書換のサービスツールの共用化を図り、ツールの費用を低減し、通信プログラム開発を簡素化できる。
【００１６】
例えば、工場等で配備されている故障診断用のサービスツール（コンピュータ本体等）は、予め故障診断用のソフトウェアがインストールされ起動可能な状態にあるが、これに加えて、データ書換装置５０の機能を実施するソフトウェアがインストールされ起動可能な状態にある。これにより、データ書換システム１は、故障診断用とプログラム書換用で個別にサービスツールを設ける必要はなく、非常に効率的となる。
【００１７】
図２は、車載電子制御装置１０及びデータ書換装置５０の構成例を示す図である。
図２に示すように、車載電子制御装置１０は、通信部１１、記憶部２０、及び制御部３０を有している。ここで、車載電子制御装置１０において、記憶部２０と制御部３０とはＥＣＵを構成する。
制御部３０は、ＣＰＵ等であり、車載電子制御装置１０全体の動作を制御する。この制御部３０は、認証部３１及びセキュリティアクセス許可部３２を有している。ここで、認証部３１は、車載電子制御装置１０にデータ書換装置５０が接続された際（記憶部２０に対するデータの書き込み時又はデータの書き換え時）のＫＥＹ照合を行う。また、セキュリティアクセス許可部３２は、所定の条件を満たす場合にデータ書換装置５０のセキュリティアクセスを許可する。
【００１８】
記憶部２０は、ＲＯＭ、ＲＡＭ等である。この記憶部２０には、制御プログラム等２１、カウンタ（カウンタ値）２２、及びセキュリティタイマ（タイマ値）２３が記憶されている。
ここで、制御プログラム等２１は、データ書換装置５０によって書換対象となるプログラムや制御部３０による制御を実施するための各種処理プログラム等である。
【００１９】
また、カウンタ２２は、通信規格ＩＳＯ１５０３１−７（ＳＡＥＪ２１８６）に規定されている変数であり、セキュリティアクセスの結果（ＫＥＹ照合の結果）、連続してＮＧとされた回数を示す。具体的には、カウンタ２２は、許可されたセキュリティアクセスの結果がＯＫの場合、０にクリアされる（後述のステップＳ１２の処理）。また、カウンタ２２は、許可されたセキュリティアクセスの結果がＮＧの場合、１ずつインクリメントされる（後述のステップＳ１６の処理）。そして、カウンタ２２は、車載電子制御装置１０の製造時に０に設定されている。よって、カウンタ２２は、車載電子制御装置１０の製造後にセキュリティアクセスが一度もなされていなければ、又は不適（不正）なセキュリティアクセスが一度もなされていなければ、０に維持されている。
【００２０】
また、セキュリティタイマ２３は、ＥＣＵ起動時（より具体的にはＥＣＵが起動してカウンタ（カウンタ値）が０でない場合）等に起動されて、セキュリティアクセスが許可されるまでの時間（ディレイ時間）の計数を行う。
通信部１１は、他の電子機器、本実施形態ではデータ書換装置５０との間でデータ通信を行う。
【００２１】
一方、図２に示すように、データ書換装置５０は、通信部５１、制御部５２、及び記憶部５３を有している。ここで、制御部５２は、ＣＰＵ等であり、データ書換装置５０全体の動作を制御する。記憶部５３は、ＲＯＭ、ＲＡＭ等である。この記憶部５３には、制御部５２が使用する処理プログラム等のデータが記憶されている。通信部５１は、他の電子機器、本実施形態では車載電子制御装置１０との間でデータ通信を行う。
【００２２】
次に、以上のように構成されているデータ書換システム１における処理の流れを説明する。
図３は、データ書換システム１における処理の流れの一例を示すフローチャートである。この図３は、データ書換装置５０によって車載電子制御装置１０をプログラミング等する際の処理の流れを示したものである。また、例えば、車載電子制御装置１０では、制御部３０が記憶部２０に制御プログラム等として記憶されている処理プログラムを読み出して実行すると共に、データ書換装置５０では、制御部５２が記憶部５３に記憶されている処理プログラムを読み出して実行することで、この図３に示す処理が実行される。
【００２３】
図３に示すように、先ず、ステップＳ１では、車載電子制御装置１０は、ＥＣＵを起動する。ここで、車載電子制御装置１０は、ＣＡＮ（Controller Area Network）通信によってＥＣＵを起動させたり、イグニッションがオフからオンになったときにＥＣＵを起動させたり、リセットされたときにＥＣＵを起動させたりする。
次に、ステップＳ２では、車載電子制御装置１０は、記憶部２０のＣＮＴ（カウンタ２２）が０であるか否かを判定する。車載電子制御装置１０は、ＣＮＴ（カウンタ２２）が０であると判定すると、ステップＳ４に進む。また、車載電子制御装置１０は、ＣＮＴ（カウンタ２２）が０でないと判定すると、ステップＳ３に進む。
【００２４】
ステップＳ３では、車載電子制御装置１０は、制御部３０によって、セキュリティタイマ２３を起動する。すなわち、制御部３０は、ＥＣＵの起動時点からセキュリティタイマ２３のカウントを開始する。
ステップＳ４では、データ書換装置５０は、ＫＥＹ（暗号）算出の元データである“ＳＥＥＤ”と呼ばれるデータを通信部５１を介して車載電子制御装置１０に対し送信要求（ＳＥＥＤ要求）する。
【００２５】
次に、ステップＳ５では、車載電子制御装置１０は、データ書換装置５０からのＳＥＥＤ要求を受けてＳＥＥＤを通信部１１を介してデータ書換装置５０に対し送信（ＳＥＥＤ返信）する。ここで、例えば、ＳＥＥＤは、２バイトのデータであり、該要求の度にランダムな値をとるデータである。
次に、ステップＳ６では、データ書換装置５０は、制御部５２によって、車載電子制御装置１０からのＳＥＥＤを用いてＫＥＹを算出する。例えば、データ書換装置５０は、予め決められたＫＥＹの算出方法に従って２バイトのＫＥＹを算出する。そして、データ書換装置５０は、算出したＫＥＹを車載電子制御装置１０に対して送信しＫＥＹ照合を要求する。
【００２６】
次に、ステップＳ７では、車載電子制御装置１０は、認証部３１によって、データ書換装置５０からのＫＥＹ照合の要求を受けるとＫＥＹ照合を行う。これにより、車載電子制御装置１０は、ＫＥＹ照合の結果としてＯＫ又はＮＧを得る。
次に、ステップＳ８では、車載電子制御装置１０は、セキュリティアクセス許可部３２によって、記憶部２０のＣＮＴ（カウンタ２２）が０であるか否かを判定する。車載電子制御装置１０は、ＣＮＴ（カウンタ２２）が０であると判定すると、データ書換装置５０のセキュリティアクセスを許可し、ステップＳ１１に進む。また、車載電子制御装置１０は、ＣＮＴ（カウンタ２２）が０でないと判定すると、ステップＳ９に進む。
【００２７】
ステップＳ９では、車載電子制御装置１０は、セキュリティアクセス許可部３２によって、記憶部２０のセキュリティタイマ２３（タイマ値）が所定時間経過したか否かを判定する。ここで、所定時間は、予め設定された値である。この所定時間は、例えば、規格を満たすように設定された値である。車載電子制御装置１０は、セキュリティタイマ２３が所定時間経過したと判定すると、データ書換装置５０のセキュリティアクセスを許可し、ステップＳ１１に進む。また、車載電子制御装置１０は、セキュリティタイマ２３が所定時間経過していないと判定すると、ステップＳ１０に進む。
【００２８】
ステップＳ１０では、車載電子制御装置１０は、制御部３０（例えば認証部３１）によって、ＫＥＹ照合を拒否する。具体的には、車載電子制御装置１０は、ＫＥＹ照合を拒否することを示す否定応答を通信部１１を介してデータ書換装置５０に通知する。そして、車載電子制御装置１０は、前記ステップＳ４から再び処理を行う。
ステップＳ１１では、車載電子制御装置１０は、制御部３０（例えば認証部３１）によって、前記ステップＳ７で得たＫＥＹ照合の結果がＯＫであるか否かを判定する。車載電子制御装置１０は、ＫＥＹ照合の結果がＯＫであると判定すると、ステップＳ１２に進む。また、車載電子制御装置１０は、ＫＥＹ照合の結果がＮＧであると判定すると、ステップＳ１６に進む。
【００２９】
ステップＳ１２では、車載電子制御装置１０は、制御部３０によって、ＣＮＴをクリアする（ＣＮＴ＝０に設定する）。
次に、ステップＳ１３では、車載電子制御装置１０は、ＫＥＹ照合結果（ＯＫ）を通信部１１を介してデータ書換装置５０に送信する。これにより、データ書換装置５０は、通信部５１を介して受信したＫＥＹ照合結果がＯＫであると判定する。
【００３０】
次に、ステップＳ１４では、データ書換装置５０は、制御部５２によって、車載電子制御装置１０のプログラミング等を行う。ここで、プログラミング等は、プログラミングの他、プログラムや処理用データ等のデータに関する書き込みや書き換え等の行為である。
次に、ステップＳ１５では、データ書換システム１は、プログラミング等の要求の有無を判定する。例えば、データ書換装置５０において、プログラミング等の書換作業が表示されるメニュー画面に戻った場合、データ書換システム１では、プログラミング等の要求が有りと判定される。データ書換システム１では、プログラミング等の要求が有と判定されると、前記ステップＳ４から再び処理が行われる。また、データ書換システム１では、プログラミング等の要求が無しと判定されると、該図３に示す処理を終了する。
【００３１】
また、ステップＳ１６では、車載電子制御装置１０は、制御部３０によって、ＣＮＴをインクリメントする（ＣＮＴ＝ＣＮＴ＋１にする）。
次に、ステップＳ１７では、車載電子制御装置１０は、ＫＥＹ照合結果（ＮＧ）を通信部１１を介してデータ書換装置５０に送信する。これにより、データ書換装置５０は、通信部５１を介して受信したＫＥＹ照合結果がＮＧであると判定する。
【００３２】
次に、ステップＳ１８では、車載電子制御装置１０は、制御部３０によって、セキュリティタイマ２３を起動（再起動）する。その後、データ書換システム１では、前記ステップＳ１５の判定処理が実施される。
以上のようにデータ書換システム１において処理が実行される。例えば、この処理では、セキュリティタイマ２３は、以下の何れかの場合に起動（計測開始）する。
（１）ＣＡＮ通信によってＥＣＵが起動し、カウンタ２２が０でないとき。
（２）イグニッションがオフからオンになってＥＣＵが起動し、カウンタ２２が０でないとき。
（３）リセットされてＥＣＵが起動し、カウンタ２２が０でないとき。
（４）ＫＥＹ照合結果がＮＧとなった。
【００３３】
（動作、作用等）
次に、本実施形態のデータ書換システム１における動作、その作用等を説明する。
ここで、車載電子制御装置１０とデータ書換装置５０とが通信ライン４を介して接続されているとする。この状態において、車載電子制御装置１０は、イグニッションがオンされると、ＥＣＵを起動するとともに、ＣＮＴ（カウンタ２２）が０でない場合にセキュリティタイマ２３を起動する（前記ステップＳ１乃至前記ステップＳ３）。
【００３４】
一方、データ書換装置５０は、車載電子制御装置１０に対してＳＥＥＤ要求を行い（前記ステップＳ４）、車載電子制御装置１０は、このＳＥＥＤ要求に対してＳＥＥＤ返信を行う（前記ステップＳ５）。そして、データ書換装置５０は、返信されたＳＥＥＤを用いてＫＥＹを算出し、算出したＫＥＹを車載電子制御装置１０に送信しＫＥＹ照合を要求する（前記ステップＳ６）。そのＫＥＹ照合要求を受けた車載電子制御装置１０は、ＫＥＹ照合を行う（前記ステップＳ７）。
【００３５】
それから、車載電子制御装置１０は、ＣＮＴ（カウンタ２２）が０であり、かつＫＥＹ照合結果がＯＫであれば、そのＫＥＹ照合結果（ＯＫ）をデータ書換装置５０に送信する（前記ステップＳ８、前記ステップＳ１１乃至前記ステップＳ１３）。そして、データ書換装置５０は、ＫＥＹ照合結果（ＯＫ）を受けて、車載電子制御装置１０のプログラミング等を行う（前記ステップＳ１４）。
【００３６】
また、車載電子制御装置１０は、ＣＮＴ（カウンタ２２）が０ではないが、セキュリティタイマ２３が所定時間経過すると、ＫＥＹ照合結果がＯＫであれば、ＣＮＴを０にクリアするとともに、そのＫＥＹ照合結果（ＯＫ）をデータ書換装置５０に送信する（前記ステップＳ８、前記ステップＳ９、前記ステップＳ１１乃至前記ステップＳ１３）。
また、車載電子制御装置１０は、ＣＮＴ（カウンタ２２）が０ではなく、セキュリティタイマ２３が所定時間経過していなければ、ＫＥＹ照合を拒否する（前記ステップＳ８乃至前記ステップＳ１０）。これにより、データ書換システム１では、データ書換装置５０による車載電子制御装置１０に対するプログラミング等は実施されない。
【００３７】
また、車載電子制御装置１０は、ＫＥＹ照合結果の判定処理に進んだが、その判定処理においてＫＥＹ照合結果がＮＧであると判定すると、ＣＮＴをインクリメントし、ＫＥＹ照合結果（ＮＧ）をデータ書換装置５０に送信し、かつセキュリティタイマ２３を起動（再起動）する（前記ステップＳ１１、前記ステップＳ１６乃至前記ステップＳ１８）。
以上のように動作するデータ書換システム１において、例えば、車載電子制御装置１０は、前回のセキュリティアクセスの結果（ＫＥＹ照合結果）がＮＧであった場合、カウンタ２２（ＣＮＴ）をインクリメントする（ＣＮＴ＞０）。よって、車載電子制御装置１０は、今回の処理ではＣＮＴ＞０となっているため、セキュリティタイマ２３が所定時間経過しない限り、ＫＥＹ照合を拒否し、今回のセキュリティアクセスを許可しない。これにより、車載電子制御装置１０は、不正なセキュリティアクセスを連続してトライできないようにしている。
【００３８】
また、例えば、車載電子制御装置１０は、前回（又は今回）のセキュリティアクセスの結果がＯＫであった場合、カウンタ２２（ＣＮＴ）をクリアする（ＣＮＴ＝０）。よって、車載電子制御装置１０は、今回（又は次回）の処理では、ＣＮＴ＝０となっているため、セキュリティタイマ２３が所定時間経過しなくとも、今回（又は次回）のセキュリティアクセスを許可する。
【００３９】
ところで、初期状態（車載電子制御装置１０の製造時）で、カウンタ２２は初期値に設定されている（ＣＮＴ＝０）。そのため、工場の生産工程で適正なセキュリティアクセスがなされた場合、そのアクセス時にＣＮＴ＝０であることで、車載電子制御装置１０は、セキュリティタイマ２３が所定時間経過しなくとも、プログラミング等を許可する。これにより、工場の生産工程で、車載電子制御装置１０は、プログラミング等が速やかに行われるようになる。
【００４０】
また、データ書換システム１では、通信規格ＩＳＯ１５０３１−７（ＳＡＥＪ２１８６）で規定されているカウンタ２２を利用して、セキュリティタイマ２３を解除（セキュリティタイマ２３を無効化）している。このように、データ書換システム１では、通信規格ＩＳＯ１５０３１−７（ＳＡＥＪ２１８６）で規定されているカウンタ２２を利用して同一のセキュリティ方式内でセキュリティタイマ２３を解除することで、簡単かつ適切にセキュリティタイマ２３を解除することができる。
【００４１】
また、例えば、セキュリティタイマ２３を解除するために別途条件を設定することでセキュリティタイマ２３を解除する方法も考えられる。しかし、このような解除方法に対しても、不正にアクセスされる恐れもある。これに対して、本実施形態のデータ書換システム１では、通信規格ＩＳＯ１５０３１−７（ＳＡＥＪ２１８６）で規定されているカウンタ２２を利用して同一のセキュリティ方式内でセキュリティタイマ２３を解除しているので、確立したセキュリティ方式によって不正なアクセスを防止できる。
【００４２】
また、前述の実施形態の説明では、認証部３１は、例えば、適否判定部を構成する。また、セキュリティタイマ２３は、例えば、計測部を構成する。
また、本実施形態では、ステップＳ１でＥＣＵ起動後に、ステップＳ２の判定処理を行うことなく、ステップＳ３でセキュリティタイマ２３を起動しても良い。
【００４３】
また、本発明の実施形態を具体的に説明したが、本発明の範囲は、図示され記載された例示的な実施形態に限定されるものではなく、本発明が目的とするものと均等な効果をもたらすすべての実施形態をも含む。さらに、本発明の範囲は、請求項１により画される発明の特徴の組み合わせに限定されるものではなく、すべての開示されたそれぞれの特徴のうち特定の特徴のあらゆる所望する組み合わせによって画されうる。
【符号の説明】
【００４４】
１  データ書換システム、１０  車載電子制御装置、１１  通信部、２０  記憶部、２１  制御プログラム等、２２  カウンタ、２３  セキュリティタイマ、３０  制御部、３１  認証部、３２  セキュリティアクセス許可部、５０  データ書換装置、５１  通信部、５２  制御部、５３  記憶部
【図１】
2013174986.tif 000003
【図２】
2013174986.tif 000004
【図３】
2013174986.tif 000005