JP2000335371A

JP2000335371A - 電子制御装置及び記録媒体

Info

Publication number: JP2000335371A
Application number: JP14664699A
Authority: JP
Inventors: Noboru Takagi; 登高木; Hajime Nomura; 肇野村
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 1999-05-26
Filing date: 1999-05-26
Publication date: 2000-12-05
Also published as: US6285948B1

Abstract

(57)【要約】【課題】盗難等の不正な行為を防止する機能が高い電
子制御装置及び記録媒体を提供すること。【解決手段】 S200では使用されたキー１８のキーＩＤ
を読み出す。S210ではＥＥＰＲＯＭ２８の適正なキーＩ
Ｄを読み出す。S220では使用されたキー１８のキーＩＤ
とＥＥＰＲＯＭ２８の適正なキーＩＤとが一致するかを
判定する。S270では正しい操作がなされていないことを
示すために、適正フラグを「０」にセットする。S230で
はプログラム書換えツール１４に記憶されているプログ
ラムＩＤを読み出す。S240ではＥＥＰＲＯＭ２８のプロ
グラムＩＤを読み出す処理を行う。S250ではプログラム
書換えツール１４側のプログラムＩＤとマイコン８側の
プログラムＩＤとが一致するかを判定する。S260では正
しい操作がなされていることを示すために、適正フラグ
を「１」にセットする。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、プログラムの不正
な書換えを防止することができる盗難防止機能を有する
電子制御装置及び記録媒体に関する。

【０００２】

【従来の技術】従来より、車両の盗難を防止する装置
として各種の盗難防止機能を有する電子制御装置が提案
されている。例えば、ユーザが使用するキーのＩＤ（識
別コード）と、ＥＣＵ（エンジン制御ユニット）内のＥ
ＥＰＲＯＭ（内容の消去及び書き込みが可能な不揮発性
メモリ）に予め登録されているキーのＩＤを照合し、不
一致の場合には、噴射・点火を禁止して、車両の走行を
不可能にする技術がある。

【０００３】また、これとは別の技術として、近年で
は、ＥＣＵ内のＥＥＰＲＯＭに記憶されているエンジン
制御プログラムを、プログラム書換えツールを使って書
き換えることにより、市場でのプログラムの更新（アッ
プデート）を可能にする動きがある。これにより、ＥＣ
Ｕを交換することなく、プログラムの不具合を改修でき
るという利点がある。

【０００４】

【発明が解決しようとする課題】しかしながら、上記
の技術が実現された場合、現在の車両盗難防止機能（上
記）のままでは、下記の様な問題が生じる。プログラ
ムのアップデートに用いるプログラム書換えツールを使
用すれば、不正なプログラムへの書換えが可能になる。
つまり、プログラム書換えツールを用いて、上記車両盗
難防止機能のないエンジン制御プログラムを書き込んで
しまえば、キーＩＤを使っての照合がなされないので、
ＥＥＰＲＯＭ内に登録していないキー（不正なキー）を
使っての車両走行が可能となり、車両の盗難が容易とな
るという問題がある。

【０００５】本発明は、このような問題に鑑みなされた
ものであり、盗難等の不正な行為を防止する機能が高い
電子制御装置及び記録媒体を提供することを目的として
いる。

【０００６】

【課題を解決するための手段、及び発明の効果】（１）
前記目的を達成するための請求項１の発明は、適正なキ
ーの認証データ（例えばキーＩＤ）を記憶した不揮発性
メモリ（例えばＥＥＰＲＯＭ、ＲＯＭ）と、制御対象
（例えば車両）の制御に必要な制御内容（例えばプログ
ラム）を記憶し、且つ該制御内容の書換えが可能な不揮
発性メモリ（例えばＥＥＰＲＯＭ）と、を備え、前記キ
ーの操作により所定の動作を行うとともに、外部装置
（例えばプログラム書換えツール）からの書換え指令に
応じて前記制御内容の書換えが可能な電子制御装置であ
って、前記操作されるキーの認証データを読み出す読出
手段と、該読出手段によって読み出された前記キーの認
証データと、前記不揮発性メモリに記憶された適正なキ
ーの認証データとを照合する照合手段と、該照合手段に
よって前記両認証データが一致しないと判断された場合
には、前記制御内容の書換えを禁止する書換禁止手段
と、を備えたことを特徴とする電子制御装置を要旨とす
る。

【０００７】本発明では、不揮発性メモリに適正なキー
の認証データを記憶し、内容の書換えが可能な不揮発性
メモリに例えばプログラム等の制御内容を記憶し、キー
の操作により、例えば車両のエンジンの始動等の制御を
行う。それとともに、通常時には内蔵のプログラムに基
づく制御処理を実行することにより所定の制御対象を制
御し、外部装置からの書き換え指令があった場合には、
例えばそのプログラムを外部装置から送信される新たな
プログラムに書き換えるための書換処理等を実行する。

【０００８】特に、本発明では、操作されるキーの認証
データを読み出し、この読み出されたキーの認証データ
と不揮発性メモリに記憶された適正なキーの認証データ
とを照合し、両認証データが一致しないと判断された場
合には、プログラム等の書換えを禁止している。

【０００９】従って、不正なキーを用いる場合には、プ
ログラム等の不正な書換えができないので、例えば車両
の盗難防止機能が高くなる。また、適正なキーを用いる
場合には、市場でのプログラムの更新（アップデート）
が可能であるので、電子制御装置を交換することなく、
プログラム等の不具合を改修できるという利点がある。

【００１０】（２）請求項２の発明は、前記請求項１に
記載の電子制御装置であって、前記制御内容は、制御を
行うプログラム又は該プログラムを実行する際に使用す
るデータであることを特徴とする電子制御装置を要旨と
する。

【００１１】本発明は、書き換えられる対象である制御
内容を例示したものである。ここでは、例えば車両の制
御を行うプログラム、又はそのプログラムを実行する際
に用いられる各種のデータ（例えばマップにて表現され
る各種の数値データ）が挙げられる。

【００１２】つまり、プログラムを不正改造する場合だ
けでなく、不正改造により例えば制御に使用する数値デ
ータを変更した場合でも、制御の内容が変化するので、
ここでは、プログラムだけでなく各種の数値データも対
象とするのである。（３）請求項３の発明は、請求項１又は２に記載の電子
制御装置であって、前記適正なキーの認証データを記憶
したメモリが、内容の書換えが可能な不揮発性メモリで
あることを特徴とする電子制御装置を要旨とする。

【００１３】本発明では、適正なキーの認証データを記
憶したメモリを例示しており、ここでは、内容の書換え
が可能な不揮発性メモリが挙げられる。この不揮発性メ
モリとしては、ＥＥＰＲＯＭ（特に一部のデータを選択
的に書換え可能なフラッシュＲＯＭ）が挙げられるが、
認証データの書換えが可能で有れば、他の書換え可能な
ＲＯＭを用いることができる。

【００１４】これにより、例えば（盗難目的で）正しい
キーを手にいれたとしても、被害者からの通知により、
車両の例えばＥＥＰＲＯＭからそのキーの認証データを
削除しておけば、プログラム書換えツール等を使用して
も、プログラム等を書き換えることができないという利
点がある。

【００１５】（４）請求項４の発明は、前記請求項１又
は２に記載の電子制御装置であって、前記適正なキーの
認証データを記憶したメモリが、内容の書換えが不能な
不揮発性メモリであることを特徴とする電子制御装置を
要旨とする。

【００１６】本発明では、適正なキーの認証データを記
憶したメモリを例示しており、ここでは、内容の書換え
が不能な不揮発性メモリ（いわゆるＲＯＭ）が挙げられ
る。これにより、認証データの書換えができないが、キ
ーを無くさない限りは、認証データが書き換えられる恐
れがないという利点がある。

【００１７】（５）請求項５の発明は、前記請求項１〜
４のいずれかに記載の電子制御装置であって、前記キー
に信号を送信し、該信号に応じて前記キーのトランスポ
ンダから送信された認証データを受信する構成を有する
ことを特徴とする電子制御装置を要旨とする。

【００１８】本発明は、キーの構成を例示している。こ
こでは、キーにトランスポンダを備えているので、例え
ば車両側から送信要求を出せば、キーの認証データを得
ることができる。（６）請求項６の発明は、内容の書換えが可能な不揮発
性メモリ（例えばＥＥＰＲＯＭ）に、適正なプログラム
及びその認証データを記憶した電子制御装置であって、
外部装置（例えばプログラム書換えツール）から、書換
えする新たなプログラムの認証データを読み出す読出手
段と、該読出手段によって読み出された前記新たなプロ
グラムの認証データと、前記不揮発性メモリに記憶され
た適正なプログラムの認証データとを照合する照合手段
と、該照合手段によって前記両認証データが一致しない
と判断された場合には、前記プログラムの書換えを禁止
する書換禁止手段と、を備えたことを特徴とする電子制
御装置を要旨とする。

【００１９】本発明では、外部装置から、書換えする新
たなプログラムの認証データを読み出し、この読み出さ
れた新たなプログラムの認証データと不揮発性メモリに
記憶された適正なプログラムの認証データとを照合す
る。そして、両認証データが一致しないと判断された場
合には、プログラムの書換えを禁止している。

【００２０】そのため、プログラムの不正改造を好適に
防止することができる。尚、本発明は、前記請求項１の
発明であるキーの認証データの照合を行う発明とともに
実施すると、プログラムの不正改造の防止効果が高ま
り、例えば車両の盗難防止機能が向上し、一層好適であ
る。

【００２１】（７）請求項７の発明は、前記請求項１〜
６のいずれかに記載の電子制御装置であって、前記認証
データは、予め設定された識別コードであることを特徴
とする電子制御装置を要旨とする。

【００２２】本発明は、認証データを例示したものであ
る。ここでは、例えばキーの認証データとしては、キー
認証コード（キーＩＤ）が挙げられるが、このキーＩＤ
としては、例えば任意のバイト（ｎバイト）の数値デー
タを使用できる。

【００２３】また、プログラムの認証データとしては、
プログラム認証コード（プログラムＩＤ）が挙げられる
が、このプログラムＩＤとしては、例えば車種、仕向
（輸出先種別）、プログラムのバージョン等の任意のバ
イト（ｍバイト）の数値データを使用できる。

【００２４】（８）請求項８の発明は、前記請求項１〜
６のいずれかに記載の電子制御装置であって、前記認証
データは、暗号型の関数データであることを特徴とする
電子制御装置を要旨とする。本発明は、認証データを例
示したものである。ここでは、例えばキーの認証データ
やプログラムの認証データとしては、暗号型の関数デー
タ（例えば数式）を使用できる。

【００２５】（９）請求項９の発明は、前記請求項１〜
８のいずれかに記載の電子制御装置であって、前記書換
禁止手段は、所定のプログラムの手順を無限ループさせ
る手段であることを特徴とする電子制御装置を要旨とす
る。

【００２６】本発明は、書込禁止手段を例示したもので
ある。例えばキーＩＤやプログラムＩＤが不一致な場合
には、プログラム等の書換えを禁止するが、例えば不正
なキーや不正な外部装置による操作があった場合には、
無限ループとすることにより、次の処理に進めなくなる
ので、実質的にプログラム等の書換えを禁止できるので
ある。

【００２７】（１０）請求項１０の発明は、前記請求項
１〜８のいずれかに記載の電子制御装置であって、前記
書換禁止手段は、前記電子制御装置の電源を落とす手段
であることを特徴とする電子制御装置を要旨とする。

【００２８】本発明は、書込禁止手段を例示したもので
ある。例えばキーＩＤやプログラムＩＤが不一致な場合
には、プログラム等の書換えを禁止するが、例えば不正
なキーや不正な外部装置による操作があった場合には、
電子制御装置の電源を落とす（シャットオフ）すること
により、実質的にプログラム等の書換えを禁止できるの
である。

【００２９】（１１）請求項１１の発明は、前記請求項
１〜１０のいずれか記載の電子制御装置の機能を実現す
るための手段を記録したことを特徴とする記録媒体を要
旨とする。本発明は、電子制御装置の機能を実現するた
めの手段（例えばプログラム）を記録した記録媒体を示
している。

【００３０】つまり、上述した様な電子制御装置をコン
ピュータシステムにて実現する機能は、例えば、コンピ
ュータシステム側で起動するプログラムとして備えるこ
とができる。このようなプログラムの場合、例えば、フ
ロッピーディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ハ
ードディスク等のコンピュータ読み取り可能な記録媒体
に記録し、必要に応じてコンピュータシステムにロード
して起動することにより用いることができる。この他、
ＲＯＭやバックアップＲＡＭをコンピュータ読み取り可
能な記録媒体として前記プログラムを記録しておき、こ
のＲＯＭあるいはバックアップＲＡＭをコンピュータシ
ステムに組み込んで用いても良い。

【００３１】尚、上述した発明において、認証データの
一致とは、認証データの完全一致だけでなく、ある定め
られた条件の範囲内で一致していれば、認証データが一
致していると見なすことができる。例えば、プログラム
の認証データの一種として、プログラムのバージョンを
使用する場合には、その電子制御装置側のプログラムの
バージョンより外部装置側のプログラムのバージョンが
高い場合には、認証データが一致しているとみなすよう
にしてもよい。

【００３２】

【発明の実施の形態】次に、本発明の電子制御装置及び
記録媒体の実施の形態の例（実施例）について、図面に
基づいて説明する。（実施例１）本発明の電子制御装置は、優れた盗難防止
機能を有するものであり、車両のエンジン制御に用いら
れるエンジン制御装置に組み込まれているので、以下で
は、実施例としてエンジン制御装置を例に挙げて説明す
る。

【００３３】ａ）まず、本実施例のエンジン制御装置に
ついて説明する。図１は、自動車に搭載されて内燃機関
型エンジンの制御を行うエンジン制御装置２の全体構成
を示すブロック図である。図１に示すように、エンジン
制御装置（以下、ＥＣＵという）２は、エンジンの運転
状態を検出する様々なセンサ４からの信号を入力して波
形処理する入力回路６と、入力回路６からのセンサ信号
に基づきエンジンに対する最適制御量を演算し、その演
算結果に基づき制御信号を出力するマイコン８と、マイ
コン８からの制御信号を受けて、インジェクタ１０ａ、
イグナイタ１０ｂ、燃料ポンプ１０ｃ等のアクチュエー
タ１０を駆動する出力回路１２と、マイコン８内のエン
ジン制御用のプログラム等を書き換える際に接続される
プログラム書換えツール１４との間でデータ通信を行う
ための通信回路１６とを備えている。

【００３４】特に、本実施例では、キー１８に記憶され
ている認証データを読み出すために、前記入力回路６に
は、アンプ回路２０を介してアンテナ２２が接続されて
いる。このキー１８は、トランスポンダ１８ａを内蔵し
た電子キーであり、トランスポンダ１８ａは、認証デー
タとしてｎバイトのキー識別コード（キーＩＤ）が書き
込まれた送受信機である。従って、このトランスポンダ
１８ａは、車両側から励起信号（例えば一定周波数のＳ
ＩＮ波）を受けると、そのエネルギーをコンデンサに蓄
え、それを電源として動作を行う。

【００３５】また、前記マイコン８には、プログラムに
従い動作するＣＰＵ２４と、プログラム及びデータ等を
格納する（内容の書換え不能な不揮発性メモリの）ＲＯ
Ｍ２６と、プログラム及びデータ等を格納する（内容の
書換え可能な不揮発性メモリの）ＥＥＰＲＯＭ２８と、
ＣＰＵ２４の演算結果等を一時格納するＲＡＭ３０と、
前記入力回路６及び通信回路１６等からの信号を受ける
と共に、出力回路１２に制御信号を出力するＩ／Ｏ３２
とが備えられている。

【００３６】特に、本実施例では、後に詳述する様に、
前記ＥＥＰＲＯＭ２８には、そのＡ領域２８ａに適正な
キーＩＤが記憶され、Ｂ領域にプログラムＩＤ及びプロ
グラムが記憶されている。尚、ＥＥＰＲＯＭ２８として
は、一旦書き込んだ内容を部分的に消去することがで
き、しかも再書き込み可能なフラッシュＥＥＰＲＯＭ
（通称、フラッシュＲＯＭ又はフラッシュメモリ）が用
いられている。

【００３７】一方、外部装置としてのプログラム書換え
ツール１４は、ＥＣＵ２側の前記ＥＥＰＲＯＭ２８に格
納されたプログラム（必要に応じてデータも）を書き換
えるために、ＥＣＵ２側のマイコン８とシリアル通信を
行うマイコン１４ａと、マイコン１４ａにより制御され
て、ＥＣＵ２側のマイコン８へＥＥＰＲＯＭ２８の書き
換え時に必要な高電圧（本実施例では１２Ｖ）を供給す
る１２Ｖ電源回路１４ｂとを備えている。

【００３８】そして、ＥＣＵ２とプログラム書換えツー
ル１４との接続は、接続用コネクタ３４を介して互いの
通信ライン３６，電源供給ライン３８，及びモード判定
用信号ライン４０が夫々接続されることにより行われ
る。これにより、接続用コネクタ３４が嵌合されると、
通信ライン３６を介して、プログラム書換えツール１４
側のマイコン１４ａとＥＣＵ２側のマイコン８との間に
おけるシリアル通信が可能となり、また、電源供給ライ
ン３８を介して、プログラム書換えツール１４側の１２
Ｖ電源回路１４ｂからＥＣＵ２側のマイコン８へＥＥＰ
ＲＯＭ２８の書き換えに必要な電圧（１２Ｖ）が供給さ
れる。

【００３９】更に、モード判定用信号ライン４０は、Ｅ
ＣＵ２側で抵抗器Ｒにより５Ｖにプルアップされている
と共に、プログラム書換えツール１４側で接地電位（０
Ｖ）に接続されているため、接続用コネクタ３４が嵌合
されると、ＥＣＵ２側においてはモード判定用信号ライ
ン４０がハイレベル（５Ｖ）からロウレベル（０Ｖ）に
変化することとなり、マイコン８は、モード判定用信号
ライン４０がロウレベルであれば、当該ＥＣＵ２にプロ
グラム書換えツール１４が接続されたと判定する。

【００４０】ｂ）次に、前記ＥＥＰＲＯＭ２８、ＲＯＭ
２６及びＲＡＭ３０のメモリ領域の内容について、図２
を用いて説明する。図２に示すように、書換え可能なＥ
ＥＰＲＯＭ２８は、その記憶領域（格納エリア）とし
て、前記Ａ領域２８ａ及びＢ領域２８ｂを備えている。

【００４１】このうち、Ａ領域２８ａには、適正なキー
ＩＤであるｎバイトのキー識別コード（例えば８バイト
からなるコード）が記憶されている。一方、Ｂ領域２８
ｂには、エンジン制御用のプログラム及びデータが記憶
されており、特に、プログラムの直前の領域（アドレ
ス）には、当該プログラムを示すプログラムＩＤである
ｍバイトのプログラム識別コード（例えば４バイトから
なるコード）が記憶されている。

【００４２】尚、前記キーＩＤにより、使用されるキー
１８が正しいキー１８であるかを識別でき、プログラム
ＩＤにより、車種、仕向け、プログラムバージョンなど
から正しいプログラムであるかを識別できる。また、内
容の書き換え不能なＲＯＭ２６には、リセット直後に実
行されるブートプログラムを格納するためのブートプロ
グラム格納エリア２６ａが設けられており、その格納エ
リア２６ａには、該当するブートプログラムが格納され
ている。

【００４３】更に、ＲＡＭ３０には、ＥＥＰＲＯＭ書換
制御プログラム格納エリア３０ａと、演算用ワーク領域
３０ｂとが設けられており、ＥＥＰＲＯＭ書換制御プロ
グラム格納エリア３０ａには、後述するようにプログラ
ム書換えツール１４から送信されて来るＥＥＰＲＯＭ書
換制御プログラムが格納され、演算用ワーク領域３０ｂ
は、そのＥＥＰＲＯＭ書換制御プログラムが実行される
際に、演算作業のために使用される。

【００４４】尚、本実施例において、ＥＥＰＲＯＭ２
８、ＲＯＭ２６及びＲＡＭ３０には、アドレス１番地当
りに８ビットの内容が格納される。従って、Ａ領域２８
ａ及びＢ領域２８ｂは、アドレスが＄００００番地から
＄ＦＦＦＦ番地までの６４Ｋバイトに設定されている。

【００４５】このように構成されたＥＣＵ２において
は、マイコン８は、リセット直後に、図２に示す如くリ
セットスタートアドレスとして設定されているブートプ
ログラムを起動し、プログラム書換えツール１４が接続
されていない通常時には、そのブートプログラムにてエ
ンジン制御プログラムをコールして、エンジンの制御を
行っている。

【００４６】また、マイコン８は、ブートプログラムを
起動した際に、プログラム書換えツール１４が接続され
ていると判定すると、プログラム書換えツール１４から
通信ライン２８を介して送信されるＥＥＰＲＯＭ書換制
御プログラムを、ＲＡＭ３０上のＥＥＰＲＯＭ書換制御
プログラム格納エリア３０ａに格納し、そのＥＥＰＲＯ
Ｍ書換制御プログラムを起動することにより、ＥＥＰＲ
ＯＭ２８に格納されていたプログラムＩＤ及びプログラ
ムを、その後プログラム書換えツール１４から送られる
新たなプログラムＩＤ及びプログラムに置き換える。

【００４７】ｃ）そこで、このマイコン８にて実行され
る処理について、図３及び図４を用いて、更に詳細に説
明する。尚、図３はマイコン８にて実行される処理の全
体を説明するフローチャートであり、図４はキーＩＤ及
びプログラムＩＤを照合する書換え判定処理を示すフロ
ーチャートであり、図５はＥＥＰＲＯＭ書換処理を表す
フローチャートである。

【００４８】図３に示すように、ＥＣＵ２に電源が投入
されてマイコン８がリセット状態から動作を開始する
と、最初に、書換え不能なＲＯＭ２６内のブートプログ
ラムが起動する。そして、まず、ステップ（以下、単に
Ｓと記す）１００にて、モード判定用信号ライン４０が
ロウレベルであるか否かを判定し、ロウレベルでなけれ
ばプログラム書換えツール１４が接続されていないと判
断して、Ｓ１１０に進む。

【００４９】Ｓ１１０では、エンジン制御プログラムへ
ジャンプし、このＳ１１０の実行により、ＥＥＰＲＯＭ
２８内のエンジン制御プログラムが起動され、Ｓ１２０
に進む。Ｓ１２０では、使用されたキー１８のキー識別
コードであるキーＩＤを読み出す処理を行う。

【００５０】具体的には、マイコン８のＣＰＵ２４から
アンプ回路２０に励起信号を出力し、アンテナ２２より
キー１８のトランスポンダ１８ａに励起信号を送信させ
る。ＣＰＵ２４は、一定時間（例えば５０ｍｓ）経過
後、励起停止信号をアンプ回路２０に出力し、アンテナ
２２からの励起信号を停止させる。この一定時間の励起
信号の送出により、トランスポンダ１８ａは動作可能と
なる。その後、ＣＰＵ２４は、トランスポンダ１８ａに
対してアンテナ２２から質問信号を送信する。トランス
ポンダ１８ａは、その質問信号に応じて、キー１８の識
別コード（キーＩＤ）を示す信号（識別コード信号）
を、アンテナ２２を介してＣＰＵ２４に送信する。これ
らの処理により、マイコン８はキーＩＤを読み出すこと
ができる。

【００５１】続くＳ１３０では、読み込んだキーＩＤ
が、ＥＥＰＲＯＭ２８に記憶されているキーＩＤと一致
するか否かを、キーＩＤを示す全バイト（図２参照）の
数値が一致するか否かによって確認する。具体的には、
ｎバイトのキーＩＤの１バイト目から１バイトづつデー
タを比較し、ｎバイトまで一致していれば、照合ＯＫ
（可）とし、逆に、不一致となった時点で、照合ＮＧ
（不可）とする。

【００５２】ここで、全てのバイトの数値が一致した場
合には、使用されたキー１８が適正であると判定してス
テップ１４０に進み、そうでなければ、使用されたキー
１８が不正なものとして、ステップ１５０に進む。Ｓ１
４０では、キー１８が適正であるので、通常のエンジン
制御処理を行う。

【００５３】例えば、入力回路６からの各種センサ信号
とＥＥＰＲＯＭ２８内のエンジン制御データとに基づ
き、エンジンに対する最適な燃料噴射量や点火時期等を
演算し、その演算結果に応じて、インジェクタ１０ａ、
イグナイタ１０ｂ、燃料ポンプ１０ｃ等のアクチュエー
タ１０を駆動するための制御信号を出力する。これによ
り、エンジンの運転が可能になる。

【００５４】一方、Ｓ１５０では、キー１８が適正では
ないので、エンジン制御を禁止する作動禁止処理を行
い、一旦本処理を終了する。例えば、インジェクタ１０
ａの作動を禁止して燃料噴射を行わないようにしたり、
イグナイタ１０ｂの作動を禁止して点火を行わない等の
作動禁止処理を行う。これにより、エンジンの運転が不
可能になる。また、無限ループさせ、次の処理へ進まな
いようにしても良い。

【００５５】また、ブートプログラムにおいて、前記Ｓ
１００にて、モード判定用信号ライン４０がロウレベル
であると判定した場合には、プログラム書換えツール１
４が接続されていると判断して、本実施例の要部である
Ｓ１６０に移行する。Ｓ１６０では、ＩＤを照合する書
換え判別処理を行う。即ち、読み込んだキーＩＤとＥＥ
ＰＲＯＭ２８に記憶されているキーＩＤとが一致するか
否か、及び、ＥＥＰＲＯＭ２８に記憶されているプログ
ラムＩＤとプログラム書換えツール１４に記憶されてい
るプログラムＩＤとが一致するか否かの処理を行う。

【００５６】以下、このＳ１６０の書換え判別処理につ
いて、詳しく説明する。図４に示す様に、Ｓ２００で
は、前記Ｓ１２０と同様にして、使用されたキー１８の
キーＩＤを読み出す処理を行う。続くＳ２１０では、Ｅ
ＥＰＲＯＭ２８に記憶されている適正なキーＩＤを読み
出す処理を行う。

【００５７】続くＳ２２０では、使用されたキー１８の
キーＩＤとＥＥＰＲＯＭ２８に記憶されている適正なキ
ーＩＤとが一致するか否かを判定する。ここで、キーＩ
Ｄが一致したと判断すると、即ち、使用されたキー１８
が適正なものであると判断するとＳ２３０に進む。一
方、キーＩＤが一致しないと判断すると、即ち、使用さ
れたキー１８が適正なものでないと判断するとＳ２７０
に進む。

【００５８】Ｓ２７０では、キー１８が適正なものでな
いので、正しい操作がなされていないことを示すため
に、適正フラグを「０」にセットし、一旦本処理を終了
する。尚、適正フラグの初期値は「０」にセットされて
いる。一方、Ｓ２３０では、既にキー１８が適正である
ことが確認されているので、ここでは、プログラム書換
えツール１４に記憶されているプログラムＩＤを読み出
す処理を行う。

【００５９】続くＳ２４０では、マイコン８側のＥＥＰ
ＲＯＭ２８に記憶されているプログラムＩＤを読み出す
処理を行う。続くＳ２５０では、プログラム書換えツー
ル１４側のプログラムＩＤとマイコン８側のプログラム
ＩＤとが一致するか否かを判定する。

【００６０】ここで、プログラムＩＤの一致の判定手法
について述べる。車種と仕向について１バイトづつ比較
し、全て一致していれば照合ＯＫ（可）とし、１バイト
でも不一致であれば照合ＮＧ（不可）とする。また、バ
ージョンに関しては、バージョンが同じかそれ以上であ
れば照合ＯＫとし、それ未満であれば照合ＮＧとする。
よって、全ての照合ＯＫの場合には、プログラムＩＤが
一致していると見なすのである。

【００６１】そして、このＳ２５０にて、プログラムＩ
Ｄが一致したと判断されると、即ち、プログラム書換え
ツール１４側のプログラムが適正なものであると判断さ
れるとＳ２６０に進む。一方、プログラムＩＤが一致し
ないと判断されると、即ち、プログラム書換えツール１
４側のプログラムが適正なものでないと判断されると前
記Ｓ２７０に進む。

【００６２】このＳ２７０では、プログラム書換えツー
ル１４側のプログラムが適正なものでないので、正しい
操作がなされていないことを示すために、適正フラグを
「０」にセットし、一旦本処理を終了する。一方、Ｓ２
６０では、プログラム書換えツール１４側のプログラム
が適正なものであるので、正しい操作がなされているこ
とを示すために、適正フラグを「１」にセットし、一旦
本処理を終了する。

【００６３】従って、この適正フラグが「１」にセット
されているときには、前記Ｓ２２０，Ｓ２５０にて肯定
判断されて、キーＩＤ及びプログラムＩＤが共に適正で
あることが確定している。図３に戻り、そのＳ１６５で
は、適正フラグが「１」にセットされているか否かによ
って、適正なキー１８が使用され且つ正しいプログラム
であるか否かを判定する。即ち適正な操作がなされてい
るか否かを判定する。

【００６４】ここで、適正であると判断されるとＳ１７
０に進む。一方、適正でないと判断されると、前記Ｓ１
００に戻って、同様な処理を繰り返し、プログラムの書
換えができないようにするために、無限ループさせるよ
うにする。Ｓ１７０では、プログラムの書換えが許可さ
れているので、プログラム書換えツール１４からのＥＥ
ＰＲＯＭ書換制御プログラムを、マイコン８のＲＡＭ３
０上へダウンロードする。

【００６５】即ち、プログラム書換えツール１４は、所
定の操作が行われると、図示されない記憶媒体からＥＥ
ＰＲＯＭ書換制御プログラムを読み出して、そのプログ
ラムを通信ライン３６を介してＥＣＵ２へ送信するよう
に構成されている。そこで、マイコン８は、Ｓ１７０の
処理により、プログラム書換えツール１４からのＥＥＰ
ＲＯＭ書換制御プログラムを受信して、ＲＡＭ３０上の
ＥＥＰＲＯＭ書換制御プログラム格納エリアに格納する
のである。

【００６６】そして、Ｓ１７０の処理により、ＥＥＰＲ
ＯＭ書換制御プログラムのＲＡＭ３０上へのダウンロー
ドが終了すると、Ｓ１８０に進んで、ＲＡＭ３０上のＥ
ＥＰＲＯＭ書換制御プログラム格納エリアの処理開始ア
ドレスにジャンプする。そして、このＳ１８０の実行に
より、ＥＥＰＲＯＭ書換制御プログラムが起動され、そ
の後は、Ｓ１９０に示すように、ＥＥＰＲＯＭ２８の内
容をプログラム書換えツール１４から送られて来る新た
なプログラム及びデータに置き換えるためのＥＥＰＲＯ
Ｍ書換処理が実行される。

【００６７】次に、図４に基づいて、このＳ１９０にお
けるＥＥＰＲＯＭ書換処理を、更に詳細に説明する。ま
ずＳ３１０にて、プログラム書換えツール１４からの消
去コマンドを受信したか否かを判定する。

【００６８】そして、Ｓ３１０で消去コマンドを受信し
たと判定すると、Ｓ３１５に進んで、消去アドレス、即
ち、ＥＥＰＲＯＭ２８において消去すべきプログラムＩ
Ｄ及びプログラのアドレスを受信する。次に、Ｓ３２０
に進んで、ＥＥＰＲＯＭ２８に格納された内容のうち、
該当するアドレスの内容、即ちプログラムＩＤ及びプロ
グラムを消去し、Ｓ３１０に戻る。

【００６９】次に、Ｓ３１０で消去コマンドを受信して
いないと判定すると、Ｓ３３０に移行して、プログラム
書換えツール１４からの書込コマンドを受信したか否か
を判定し、書込コマンドを受信していないと判定した場
合には、Ｓ３１０に戻るが、書込コマンドを受信したと
判定した場合には、Ｓ３４０に進む。

【００７０】Ｓ３４０では、プログラム書換えツール１
４から上記書込コマンドの後に送信されて来る書込内容
（即ち新たなプログラムとプログラムＩＤ）と、それに
対応する書込アドレスとを受信する。続くＳ３５０に
て、受信した書込内容を、それに対応する書込アドレス
が表すＥＥＰＲＯＭ２８上のアドレスへ書き込む。

【００７１】そして、続くＳ３６０にて、全ての内容の
書き込みが完了したか否かを判定し、全内容の書き込み
が未だ完了していない場合には、Ｓ３４０，Ｓ３５０の
処理を繰り返して、次の書込内容の書き込みを実行し、
全内容の書き込みが完了したと判定した場合には、Ｓ３
７０に進む。

【００７２】そして、Ｓ３８０にて、通信ライン３６を
介してプログラム書換えツール１４に書換完了信号（終
了コマンド）を出力してからＳ３１０へ戻る。一方、プ
ログラム書換えツール１４は、ＥＣＵ２側からの書換完
了信号を受信すると、所定のディスプレイ（図示省略）
に書換完了のメッセージを表示して、作業者にプログラ
ム及びプログラムＩＤの書き換えが完了したことを報知
する。

【００７３】ｄ）本実施例では、上述した構成により、
下記の効果を奏する。本実施例では、操作されるキー１
８に記憶されているキーＩＤとＥＥＰＲＯＭ２８に記憶
されている適正なキーＩＤとを比較し、それらが一致し
ない場合には、適正な操作がなされていなとして、処理
を無限ループとすることにより、プログラムの書換えを
禁止している。

【００７４】これにより、不正なキー１８を用いる場合
には、プログラムの書換えができないので、盗難防止機
能が高くなる。また、適正なキー１８を用いる場合に
は、市場でのプログラムの更新（アップデート）が可能
であるので、ＥＣＵ２を交換することなく、プログラム
の不具合を改修できるという利点がある。

【００７５】更に、本実施例では、操作されるキーＩＤ
とＥＥＰＲＯＭ２８に記憶されている適正なキーＩＤと
の照合だけでなく、ＥＥＰＲＯＭ２８に記憶されている
プログラムＩＤとプログラム書換えツール１４に記憶さ
れているプログラムＩＤとを比較し、それらが一致しな
い場合にも、適正な操作がなされていなとして、同様に
処理を無限ループとすることにより、プログラムの書換
えを禁止している。これにより、一層盗難防止機能が高
まるという効果がある。

【００７６】その上、本実施例では、適正なキーＩＤが
ＥＥＰＲＯＭ２８に記憶されており、書換え可能である
ので、例えば（盗難目的で）正しいキー１８を手にいれ
たとしても、被害者からの通知により、車両のＥＥＰＲ
ＯＭ２８からそのキーＩＤを削除しておけば、プログラ
ム書換えツール１４を使用しても、プログラムを書き換
えることができないという利点がある。

【００７７】尚、実施例のＳ２００の処理が読出手段
（請求項１）に相当し、Ｓ２２０の処理が照合手段（請
求項１）に相当し、Ｓ２７０、Ｓ１６５から無限ループ
とする処理が書換禁止手段（請求項１）に相当し、Ｓ２
３０の処理が読出手段（請求項５）に相当し、Ｓ２５０
の処理が照合手段（請求項５）に相当し、Ｓ２７０、Ｓ
１６５から無限ループとする処理が書換禁止手段（請求
項５）に相当する。（実施例２）次に、実施例２について説明するが、前記
実施例１と同様な箇所の説明は省略する。尚、図面の番
号は同じものを用いる。

【００７８】前記実施例１では、認証データとしてキー
識別コード（キーＩＤ）を使用したが、本実施例では、
認証データとして暗号型の関数データを用いる。従っ
て、本実施例のキー１８に備えられたトランスポンダ１
８ａは、認証データとして、関数データ（Ｆｔ（Ｘ））
が書き込まれた暗号型のトランスポンダ１８ａである。

【００７９】一方、車両のＥＣＵ２側のＥＥＰＲＯＭ２
８には、トランスポンダに記憶された関数データと同じ
関数データ（Ｆｅ（Ｘ））が記憶されている。そして、
ＥＣＵ２とトランスポンダ１８ａ間の通信及び関数デー
タの照合は、以下の様にして行う。

【００８０】ＣＰＵ２４はアンテナ２２より励起信号を
送信させ、トランスポンダ１８ａを動作可能とする。そ
の後、ＣＰＵ２４は、質問データをアンプ回路２０に出
力する。アンプ回路２０は、ＣＰＵ２４からの「１」，
「０」の信号群のデータを周波数に変換し（例えば１を
周波数Ｂとし、０を周波数Ｃとする）、アンテナ２２よ
りトランスポンダ１８ａに送信する。

【００８１】トランスポンダ１８ａは、関数データＦｔ
（Ｘ）を用い、質問データＸと関数データＦｔ（Ｘ）よ
り解答データＹｔを計算し、周波数ＢやＣのデータ群と
してアンテナ２２へ送信する。アンプ回路２０はアンテ
ナ２２にて受信した周波数データを、「１」，「０」の
データ群に変換して、ＣＰＵ２４に出力する。

【００８２】尚、関数データＦｔ（Ｘ）としては、Ｆｔ
（Ｘ）＝（Ｘ²＋２）／５＋Ｘ／２＋（Ｘ−１）／２＋
…といった四則演算等を用いることができる。また、Ｃ
ＰＵ２４は、トランスポンダ１８ａへ送信した質問デー
タＸとＥＥＰＲＯＭ２８に記憶している関数データＦｅ
（Ｘ）により、解答データＹｅを求めている。

【００８３】そして、ＣＰＵ２４は、２つの解答データ
ＹｔとＹｅを比較し、それらが一致していれば、使用さ
れたキー１８が適正であると判断する。これにより、前
記実施例１と同様な効果を奏するが、本実施例では、暗
号型の関数データを使用するので、一層盗難防止機能が
高いという利点がある。

【００８４】尚、本発明は前記実施例になんら限定され
るものではなく、本発明を逸脱しない範囲において種々
の態様で実施しうることはいうまでもない。（１）例えば適正なキーＩＤを、ＥＥＰＲＯＭではな
く、ＲＯＭに記憶してもよい。この場合は、キーＩＤの
変更が不可能であるので、（キーが盗難に合わない限り
は）安全性が高いという利点がある。

【００８５】（２）前記実施例では、キーＩＤ及びプロ
グラムＩＤの両方が一致しない場合にはプラグラムの書
換えを禁止したが、キーＩＤの一致やプログラムＩＤの
一致のどちらか一方のみチェックする構成でも、プログ
ラムの不正改造の防止の効果が得られる。

【００８６】（３）前記実施例では、ＥＥＰＲＯＭに、
キーＩＤ、プログラム及びプログラムＩＤを記憶した
が、異なるＥＥＰＲＯＭを用いて、一方にキーＩＤを記
憶し、他方にプログラム及びプログラムＩＤを記憶して
もよい。（４）前記実施例では、内容の書換え可能なＲＯＭとし
て、ＥＥＰＲＯＭを使用したが、他の内容の書換え可能
なＲＯＭを使用してもよい。

【００８７】（５）また、ＥＥＰＲＯＭ書換制御プログ
ラムを、プログラム書換えツールから読み出すのではな
く、書き換え不能なＲＯＭに予め格納しておくようにす
れば、プログラム書換えツールからダウンロードする必
要がない。（６）前記実施例では、エンジンを制御するＥＣＵにつ
いて説明したが、本発明の適用範囲は、これに限られな
い。即ち、例えばブレーキ、トランスミッション、サス
ペンション等の制御対象を制御する電子制御装置に対し
ても、全く同様に適用することができる。

【００８８】（７）また、本発明は、ＥＣＵに限らず、
上述した処理を実行させる手段を記憶している記録媒体
にも適用できる。この記録媒体としては、マイクロチッ
プ、フロッピィディスク、ハードディスク、光ディスク
等の各種の記録媒体が挙げられる。つまり、上述した電
子制御装置の処理を実行させることができる例えばプロ
グラム等の手段を記憶したものであれば、特に限定はな
い。

【図面の簡単な説明】

【図１】実施例のエンジン制御装置（ＥＣＵ）の全体
構成を示すブロック図である。

【図２】メモリ領域の内容を説明する説明図である。

【図３】実施例のマイコンにて実行される処理の全体
を説明するフローチャートである。

【図４】図３の書換え判別処理を表すフローチャート
である。

【図５】図３のＥＥＰＲＯＭ書換処理を表すフローチ
ャートである。

【符号の説明】

２…エンジン制御装置（ＥＣＵ）４…センサ６…入力回路８…マイコン１０…アクチュエータ１２…出力回路１４…プログラム書換えツール１６…通信回路１８…キー１８ａ…トランス
ポンダ２０…アンプ回路２２…アンテナ２４…ＣＰＵ２６…ＲＯＭ２８…ＥＥＰＲＯＭ３０…ＲＡＭ３２…Ｉ／Ｏ３４…接続用コネ
クタ３６…通信ライン３８…電源供給ラ
イン４０…モード判定用信号ライン

Claims

【特許請求の範囲】

【請求項１】適正なキーの認証データを記憶した不揮
発性メモリと、制御対象の制御に必要な制御内容を記憶し、且つ該制御
内容の書換えが可能な不揮発性メモリと、を備え、前記キーの操作により所定の動作を行うととも
に、外部装置からの書換え指令に応じて前記制御内容の
書換えが可能な電子制御装置であって、前記操作されるキーの認証データを読み出す読出手段
と、該読出手段によって読み出された前記キーの認証データ
と、前記不揮発性メモリに記憶された適正なキーの認証
データとを照合する照合手段と、該照合手段によって前記両認証データが一致しないと判
断された場合には、前記制御内容の書換えを禁止する書
換禁止手段と、を備えたことを特徴とする電子制御装置。
【請求項２】前記請求項１に記載の電子制御装置であ
って、前記制御内容は、制御を行うプログラム又は該プログラ
ムを実行する際に使用するデータであることを特徴とす
る電子制御装置。
【請求項３】前記請求項１又は２に記載の電子制御装
置であって、前記適正なキーの認証データを記憶したメモリが、内容
の書換えが可能な不揮発性メモリであることを特徴とす
る電子制御装置。
【請求項４】前記請求項１又は２に記載の電子制御装
置であって、前記適正なキーの認証データを記憶したメモリが、内容
の書換えが不能な不揮発性メモリであることを特徴とす
る電子制御装置。
【請求項５】前記請求項１〜４のいずれかに記載の電
子制御装置であって、前記キーに信号を送信し、該信号に応じて前記キーのト
ランスポンダから送信された認証データを受信する構成
を有することを特徴とする電子制御装置。
【請求項６】内容の書換えが可能な不揮発性メモリ
に、適正なプログラム及びその認証データを記憶した電
子制御装置であって、外部装置から、書換えする新たなプログラムの認証デー
タを読み出す読出手段と、該読出手段によって読み出された前記新たなプログラム
の認証データと、前記不揮発性メモリに記憶された適正
なプログラムの認証データとを照合する照合手段と、該照合手段によって前記両認証データが一致しないと判
断された場合には、前記プログラムの書換えを禁止する
書換禁止手段と、を備えたことを特徴とする電子制御装置。
【請求項７】前記請求項１〜６のいずれかに記載の電
子制御装置であって、前記認証データは、予め設定された識別コードであるこ
とを特徴とする電子制御装置。
【請求項８】前記請求項１〜６のいずれかに記載の電
子制御装置であって、前記認証データは、暗号型の関数データであることを特
徴とする電子制御装置。
【請求項９】前記請求項１〜８のいずれかに記載の電
子制御装置であって、前記書換禁止手段は、所定のプログラムの手順を無限ル
ープさせる手段であることを特徴とする電子制御装置。
【請求項１０】前記請求項１〜８のいずれかに記載の
電子制御装置であって、前記書換禁止手段は、前記電子制御装置の電源を落とす
手段であることを特徴とする電子制御装置。
【請求項１１】前記請求項１〜１０のいずれか記載の
電子制御装置の機能を実現するための手段を記録したこ
とを特徴とする記録媒体。