特許 5973223 電子キー登録方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】5973223

(24)【登録日】2016年7月22日

(45)【発行日】2016年8月23日

(54)【発明の名称】電子キー登録方法

(51)【国際特許分類】

   E05B 49/00 20060101AFI20160809BHJP

   B60R 25/24 20130101ALI20160809BHJP

【ＦＩ】

   E05B49/00 J

   B60R25/24

【請求項の数】9

【全頁数】27

(21)【出願番号】特願2012-108544(P2012-108544)

(22)【出願日】2012年5月10日

(65)【公開番号】特開2013-234519(P2013-234519A)

(43)【公開日】2013年11月21日

【審査請求日】2014年11月20日

(73)【特許権者】

【識別番号】000003551

【氏名又は名称】株式会社東海理化電機製作所

(74)【代理人】

【識別番号】100068755

【弁理士】

【氏名又は名称】恩田 博宣

(74)【代理人】

【識別番号】100105957

【弁理士】

【氏名又は名称】恩田 誠

(72)【発明者】

【氏名】河村 大輔

(72)【発明者】

【氏名】岩下 明暁

(72)【発明者】

【氏名】林 政樹

(72)【発明者】

【氏名】長江 敏広

(72)【発明者】

【氏名】加藤 久視

(72)【発明者】

【氏名】江川 哲也

【審査官】 古屋野 浩志

(56)【参考文献】

【文献】 特開２０１１−０２０４７５（ＪＰ，Ａ）

【文献】 特開２０１２−０３６６５９（ＪＰ，Ａ）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｅ０５Ｂ ４９／００

Ｂ６０Ｒ ２５／２４

(57)【特許請求の範囲】

【請求項1】

初期登録用電子キー又は追加登録用電子キーと通信対象との認証が成立したことを条件に当該通信対象の制御が可能となる電子キーシステムに用いる前記の２つの電子キーを前記通信対象の制御装置に登録する電子キー登録方法において、
前記の２つの電子キー及び前記制御装置の各種情報を保存する外部センターにあらかじめ保存される前記電子キー毎に異なる固有の初期登録用電子キー識別情報及び初期登録用電子キー暗号鍵が、前記初期登録用電子キーに保存される初期登録用電子キー製造ステップと、
前記外部センターにあらかじめ保存される前記電子キー毎に異なる固有の追加登録用電子キー識別情報及び追加登録用電子キー暗号鍵が、前記追加登録用電子キーに保存される追加登録用電子キー製造ステップと、
前記外部センターにあらかじめ保存される前記制御装置毎に異なる固有の制御装置識別情報及び制御装置暗号鍵が、前記制御装置に保存される制御装置製造ステップと、
前記初期登録用電子キー識別情報と、前記初期登録用電子キー暗号鍵と、前記制御装置識別情報と、前記制御装置暗号鍵とが、前記外部センターから、初期登録用電子キーを前記制御装置に登録する工場の内部に設けられる内部センターに事前配信される情報配信ステップと、
前記初期登録用電子キーと前記制御装置との前記認証に用いる初期認証鍵を生成し、当該初期認証鍵を前記内部センターに保存する初期認証鍵生成ステップと、
前記内部センターから、前記初期登録用電子キー及び前記制御装置の少なくとも一方へ、前記工場内専用の情報通信網である内部ネットワークを介して前記初期認証鍵を配信する初期認証鍵登録ステップと、
前記追加登録用電子キーと前記制御装置との前記認証に用いる追加認証鍵を生成し、当該追加認証鍵を前記外部センターに保存する追加認証鍵生成ステップと、
前記外部センターから、前記追加登録用電子キー及び前記制御装置の少なくとも一方へ、前記工場内外における情報通信網である外部ネットワークを介して前記追加認証鍵を配信する追加認証鍵登録ステップと、を備えることを特徴とする電子キー登録方法。

【請求項2】

請求項１に記載の電子キー登録方法において、
前記初期認証鍵が、前記制御装置暗号鍵で暗号化されることにより初期制御装置暗号化コードに変換される初期制御装置暗号化コード生成ステップ、及び前記初期制御装置暗号化コードを前記制御装置へ配信する初期制御装置暗号化コード配信ステップと、
前記追加認証鍵が、前記制御装置暗号鍵で暗号化されることにより追加制御装置暗号化コードに変換される追加制御装置暗号化コード生成ステップ、及び前記追加制御装置暗号化コードを前記制御装置へ配信する追加制御装置暗号化コード配信ステップと、の少なくとも一方を備えることを特徴とする電子キー登録方法。

【請求項3】

請求項１又は２に記載の電子キー登録方法において、
前記初期認証鍵が、前記初期登録用電子キー暗号鍵で暗号化されることにより初期登録用電子キー暗号化コードに変換される初期登録用電子キー暗号化コード生成ステップ、及び前記初期登録用電子キー暗号化コードを前記初期登録用電子キーへ配信する初期登録用電子キー暗号化コード配信ステップと、
前記追加認証鍵が、前記追加登録用電子キー暗号鍵で暗号化されることにより追加登録用電子キー暗号化コードに変換される追加登録用電子キー暗号化コード生成ステップ、及び前記追加登録用電子キー暗号化コードを前記追加登録用電子キーへ配信する追加登録用電子キー暗号化コード配信ステップと、の少なくとも一方を備えることを特徴とする電子キー登録方法。

【請求項4】

請求項１又は２に記載の電子キー登録方法において、
前記初期登録用電子キー暗号鍵を前記初期認証鍵とし、前記追加登録用電子キー暗号鍵を前記追加認証鍵とすることを特徴とする電子キー登録方法。

【請求項5】

請求項１又は３に記載の電子キー登録方法において、
前記制御装置暗号鍵を前記初期認証鍵及び前記追加認証鍵とする電子キー登録方法。

【請求項6】

請求項１〜５のうちいずれか一項に記載の電子キー登録方法において、
前記初期認証鍵及び追加認証鍵の暗号化及びその復号化には、当該初期認証鍵及び追加認証鍵の登録時の１度のみ使用可能な制限鍵を用いる電子キー登録方法。

【請求項7】

請求項１〜６のうちいずれか一項に記載の電子キー登録方法において、
前記制御装置、前記２つの電子キー及び前記内部センターが登録モードに入る前に、互いの通信相手の正否を確認する通信相手認証を行い、この認証が成立することを条件に、これら３者全てを前記初期認証鍵及び追加認証鍵の登録が可能な前記登録モードとすることを特徴とする電子キー登録方法。

【請求項8】

請求項１〜７のうちいずれか一項に記載の電子キー登録方法において、
前記制御装置、前記初期登録用電子キー及び前記内部センターが全て登録モードに入った後、実際の登録動作の前において前記制御装置と前記初期登録用電子キーと前記内部センターとを認証させることと、前記制御装置、前記追加登録用電子キー及び前記外部センターが全て登録モードに入った後、実際の登録動作の前において前記制御装置と前記追加登録用電子キーと前記外部センターとを認証させることと、の少なくとも一方を行うことを特徴とする電子キー登録方法。

【請求項9】

請求項１〜８のうちいずれか一項に記載の電子キー登録方法において、
前記登録を行う際の操作端末である登録ツール及び前記登録の作業を行う作業者の少なくとも一方を認証し、当該認証が成立することを条件に、前記初期認証鍵及び前記追加認証鍵の少なくとも一方の登録を許可することを特徴とする電子キー登録方法。

【発明の詳細な説明】

【技術分野】

【0001】

この発明は、通信対象に電子キーを登録する電子キー登録方法に関する。

【背景技術】

【0002】

従来から周知のように、多くの車両では、電子キーから無線送信される電子キーＩＤにてキー照合を行う電子キーシステムが搭載されている。この種の電子キーシステムでは、電子キーから送信されるＩＤ信号が仮に不正取得されても、簡単に電子キーＩＤが割り出されないようにするために、一般的に暗号通信が採用されている（特許文献１等参照）。暗号通信では、通信内容が暗号化されるので、秘匿性に優れる。この暗号通信としては、例えば共通鍵暗号通信が使用される。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２００４−３００８０３号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

ところで、車両に電子キーを登録する際には、各電子キーが固有に持つ電子キーＩＤを、暗号鍵と対応付けて登録する必要がある。このとき、仮に暗号鍵を不正受信されてしまうと、暗号鍵が盗み取られることになるので、盗難の可能性の低い方式によって登録作業を行う必要があった。一方で、当該登録作業をスムーズに行うニーズもあった。

【0005】

この発明は、こうした実情に鑑みてなされたものであり、その目的は、盗難に対するセキュリティ性を確保でき、かつ登録作業をスムーズに行うことができる電子キー登録方法を提供することにある。

【課題を解決するための手段】

【0008】

上記課題を解決するために、請求項１に記載の発明は、初期登録用電子キー又は追加登録用電子キーと通信対象との認証が成立したことを条件に当該通信対象の制御が可能となる電子キーシステムに用いる前記の２つの電子キーを前記通信対象の制御装置に登録する電子キー登録方法において、前記の２つの電子キー及び前記制御装置の各種情報を保存する外部センターにあらかじめ保存される前記電子キー毎に異なる固有の初期登録用電子キー識別情報及び初期登録用電子キー暗号鍵が、前記初期登録用電子キーに保存される初期登録用電子キー製造ステップと、前記外部センターにあらかじめ保存される前記電子キー毎に異なる固有の追加登録用電子キー識別情報及び追加登録用電子キー暗号鍵が、前記追加登録用電子キーに保存される追加登録用電子キー製造ステップと、前記外部センターにあらかじめ保存される前記制御装置毎に異なる固有の制御装置識別情報及び制御装置暗号鍵が、前記制御装置に保存される制御装置製造ステップと、前記初期登録用電子キー識別情報と、前記初期登録用電子キー暗号鍵と、前記制御装置識別情報と、前記制御装置暗号鍵とが、前記外部センターから、初期登録用電子キーを前記制御装置に登録する工場の内部に設けられる内部センターに事前配信される情報配信ステップと、前記初期登録用電子キーと前記制御装置との前記認証に用いる初期認証鍵を生成し、当該初期認証鍵を前記内部センターに保存する初期認証鍵生成ステップと、前記内部センターから、前記初期登録用電子キー及び前記制御装置の少なくとも一方へ、前記工場内専用の情報通信網である内部ネットワークを介して前記初期認証鍵を配信する初期認証鍵登録ステップと、前記追加登録用電子キーと前記制御装置との前記認証に用いる追加認証鍵を生成し、当該追加認証鍵を前記外部センターに保存する追加認証鍵生成ステップと、前記外部センターから、前記追加登録用電子キー及び前記制御装置の少なくとも一方へ、前記工場内外における情報通信網である外部ネットワークを介して前記追加認証鍵を配信する追加認証鍵登録ステップと、を備えることを要旨とする。

【0009】

同構成によれば、初期認証鍵は、内部センターから工場内専用の情報通信網である内部ネットワークを介して当該工場内にある初期登録用電子キー及び制御装置の少なくとも一方へ配信される。すなわち、工場内外における通信が不要である。従って、第３者によって初期認証鍵が盗難されてしまうおそれが低い。また、工場内外における通信が不安定となることに起因して初期認証鍵が初期登録用電子キー及び制御装置の少なくとも一方へ配信できないことが抑制されるので、制御装置への初期登録用電子キーの登録作業をスムーズに行うことができる。

【0010】

一方で、追加認証鍵は、外部センターから工場内外における情報通信網である外部ネットワークを介して追加登録用電子キー及び制御装置の少なくとも一方へ配信される。すなわち、追加認証鍵を追加登録用電子キー及び制御装置の少なくとも一方へ配信する場所は問わない。このため、制御装置への追加登録用電子キーの登録作業をスムーズに行うことができる。

【0011】

上記電子キー登録方法において、前記初期認証鍵が、前記制御装置暗号鍵で暗号化されることにより初期制御装置暗号化コードに変換される初期制御装置暗号化コード生成ステップ、及び前記初期制御装置暗号化コードを前記制御装置へ配信する初期制御装置暗号化コード配信ステップと、前記追加認証鍵が、前記制御装置暗号鍵で暗号化されることにより追加制御装置暗号化コードに変換される追加制御装置暗号化コード生成ステップ、及び前記追加制御装置暗号化コードを前記制御装置へ配信する追加制御装置暗号化コード配信ステップと、の少なくとも一方を備えることを要旨とする。

【0012】

同構成によれば、初期制御装置暗号化コード、及び追加制御装置暗号化コードの少なくとも一方は、制御装置暗号鍵で暗号化されたものであるので、暗号化に使用した制御装置暗号鍵をもつ制御装置でのみ初期制御装置暗号化コード及び追加制御装置暗号化コードの少なくとも一方を復号化することができる。従って、初期認証鍵及び追加認証鍵の少なくとも一方は、これを必要とする制御装置でしか得ることができないので、セキュリティ性が向上する。

【0013】

上記電子キー登録方法において、前記初期認証鍵が、前記初期登録用電子キー暗号鍵で暗号化されることにより初期登録用電子キー暗号化コードに変換される初期登録用電子キー暗号化コード生成ステップ、及び前記初期登録用電子キー暗号化コードを前記初期登録用電子キーへ配信する初期登録用電子キー暗号化コード配信ステップと、前記追加認証鍵が、前記追加登録用電子キー暗号鍵で暗号化されることにより追加登録用電子キー暗号化コードに変換される追加登録用電子キー暗号化コード生成ステップ、及び前記追加登録用電子キー暗号化コードを前記追加登録用電子キーへ配信する追加登録用電子キー暗号化コード配信ステップと、の少なくとも一方を備えることを要旨とする。

【0014】

同構成によれば、初期登録用電子キー暗号化コードは、初期登録用電子キー暗号鍵で暗号化されたものであるので、暗号化に使用した初期登録用電子キー暗号鍵をもつ初期登録用電子キーでのみ初期登録用電子キー暗号化コードを復号化することができる。従って、初期認証鍵は、この初期認証鍵必要とする初期登録用電子キーでしか得ることができないので、セキュリティ性が向上する。また、追加登録用電子キー暗号化コードは、追加登録用電子キー暗号鍵で暗号化されたものであるので、暗号化に使用した追加登録用電子キー暗号鍵をもつ追加登録用電子キーでのみ追加登録用電子キー暗号化コードを復号化することができる。従って、追加認証鍵は、この追加認証鍵必要とする追加登録用電子キーでしか得ることができないので、セキュリティ性が向上する。

【0015】

上記電子キー登録方法において、前記初期登録用電子キー暗号鍵を前記初期認証鍵とし、前記追加登録用電子キー暗号鍵を前記追加認証鍵とすることを要旨とする。

【0016】

同構成によれば、初期認証鍵を初期登録用電子キーへ、追加認証鍵を追加登録用電子キー、それぞれ配信する必要がない。このため、初期認証鍵及び追加認証鍵が盗難されることを抑制することができる。

【0017】

上記電子キー登録方法において、前記制御装置暗号鍵を前記初期認証鍵及び前記追加認証鍵とすることを要旨とする。
同構成によれば、初期認証鍵及び追加認証鍵を制御装置へ配信する必要がない。このため、初期認証鍵及び追加認証鍵が盗難されることを抑制することができる。

【0018】

上記電子キー登録方法において、前記初期認証鍵及び追加認証鍵の暗号化及びその復号化には、当該初期認証鍵及び追加認証鍵の登録時の１度のみ使用可能な制限鍵を用いることを要旨とする。

【0019】

同構成によれば、初期認証鍵及び追加認証鍵を暗号化して車両及び電子キーに送る際の暗号鍵として、登録時の１度のみ有効な制限鍵が使用される。このため、初期認証鍵及び追加認証鍵を暗号化する鍵が登録の度に毎回変わるので、当該初期認証鍵及び追加認証鍵の盗難をより一層抑制することができる。

【0020】

上記電子キー登録方法において、前記制御装置、前記２つの電子キー及び前記内部センターが登録モードに入る前に、互いの通信相手の正否を確認する通信相手認証を行い、この認証が成立することを条件に、これら３者全てを前記初期認証鍵及び追加認証鍵の登録が可能な前記登録モードとすることを要旨とする。

【0021】

同構成によれば、初期認証鍵を制御装置及び初期登録用電子キーに登録するには、制御装置、初期登録用電子キー及び内部センターの間で認証を成立させて、制御装置及び初期登録用電子キーを登録モードに切り換えなければならない。よって、初期認証鍵を登録する際には、登録モード移行のための認証成立が条件となるので、初期認証鍵の不正登録を生じ難くすることが可能となる。また、同様に、追加認証鍵を制御装置及び追加登録用電子キーに登録するには、制御装置、追加登録用電子キー及び外部センターの間で認証を成立させて、制御装置及び追加登録用電子キーを登録モードに切り換えなければならない。よって、追加認証鍵を登録する際には、登録モード移行のための認証成立が条件となるので、追加認証鍵の不正登録を生じ難くすることが可能となる。

【0022】

上記電子キー登録方法において、前記制御装置、前記初期登録用電子キー及び前記内部センターが全て登録モードに入った後、実際の登録動作の前において前記制御装置と前記初期登録用電子キーと前記内部センターとを認証させることと、前記制御装置、前記追加登録用電子キー及び前記外部センターが全て登録モードに入った後、実際の登録動作の前において前記制御装置と前記追加登録用電子キーと前記外部センターとを認証させることと、の少なくとも一方を行うことを要旨とする。

【0023】

同構成によれば、登録モードに入った後にも通信相手の正否を見る認証を行うので、秘初期認証鍵の不正登録を一層生じ難くすることが可能となる。
上記電子キー登録方法において、前記登録を行う際の操作端末である登録ツール及び前記登録の作業を行う作業者の少なくとも一方を認証し、当該認証が成立することを条件に、前記初期認証鍵及び前記追加認証鍵の少なくとも一方の登録を許可することを要旨とする。

【0024】

同構成によれば、登録ツールや作業者の認証成立も登録実行の条件となるので、初期認証鍵及び追加認証鍵の少なくとも一方の不正登録を一層生じ難くすることが可能となる。

【発明の効果】

【0025】

本発明によれば、盗難に対するセキュリティ性を確保でき、かつ登録作業をスムーズに行うことができる電子キー登録方法を提供することができる。

【図面の簡単な説明】

【0026】

【図1】第１の実施形態における電子キーシステムの概略構成を示すブロック図。

【図2】秘密鍵登録システムの概略構成を示すブロック図。

【図3】書き込み器の概略構成を示すブロック図。

【図4】センターの概略構成を示すブロック図。

【図5】車両の概略構成を示すブロック図。

【図6】電子キーの概略構成を示すブロック図。

【図7】登録ツールの概略構成を示すブロック図。

【図8】秘密鍵登録システムの動作概要を示すフロー図。

【図9】図８の続きを示すフロー図。

【図10】図９の続きを示すフロー図。

【図11】秘密鍵登録システムの概念図。

【図12】第２の実施形態における秘密鍵登録システムの概略構成を示すブロック図。

【図13】登録ツール及びセンターの概略構成を示すブロック図。

【図14】ツールセンターＩＤ組み合わせ表。

【図15】電子キー車載器ＩＤ組み合わせ表。

【図16】秘密鍵登録システムの動作概要を示すフロー図。

【発明を実施するための形態】

【0027】

（第１の実施形態）
以下、本発明を具体化した第１の実施形態を図１〜図１１に従って説明する。
図１に示すように、車両１には、車両キーとして使用される電子キー２との間で無線通信によりキー照合を行って、このキー照合の成立を条件にドアロックの施解錠やエンジン始動等が許可又は実行される電子キーシステム３が設けられている。なお、電子キー２は、車両１との間で狭域無線通信が可能であって、電子キー２が固有に持つＩＤコード（以下、電子キーＩＤという）を無線通信により車両１に発信して、車両１にキー照合としてＩＤ照合を行わせることが可能なキーのことをいう。

【0028】

電子キーシステム３には、電子キー（通称、リモートコントロールキー）２をボタン操作することによって遠隔操作により車両ドアのドアロックを施錠又は解錠するワイヤレスドアロックシステムがある。この場合、車両１には、電子キー２とＩＤ照合を行う照合ＥＣＵ４と、車両１の電源系を管理するメインボディＥＣＵ５とが設けられ、これらＥＣＵ４，５が車内の一ネットワークであるバス６を介して接続されている。照合ＥＣＵ４には、ＵＨＦ（Ｕｌｔｒａ Ｈｉｇｈ Ｆｒｅｑｕｅｎｃｙ）帯（約３１２ＭＨｚ）の電波を受信可能な車両チューナ７が接続されている。また、メインボディＥＣＵ５には、ドアロックの施解錠を実行するときの駆動源としてドアロックモータ８が接続されている。

【0029】

また、電子キー２には、電子キー２の各種動作を統括制御する通信制御部９が設けられている。この通信制御部９は、ＣＰＵ１０やメモリ１１等の各種デバイスを持ち、電子キー２が持つ固有のキーコードとして電子キーＩＤがメモリ１１に登録されている。電子キー２には、車両ドアを遠隔操作により施錠するときに操作する施錠ボタン１２と、車両ドアを遠隔操作により解錠するときに操作する解錠ボタン１３とが設けられ、これらボタン１２，１３の操作有無が通信制御部９によって管理されている。また、通信制御部９には、ＵＨＦ帯の無線信号を発信可能なキー発信機１４が接続され、キー発信機１４の信号発信動作が通信制御部９によって管理されている。

【0030】

例えば、施錠ボタン１２が操作されると、通信制御部９は、電子キー２の電子キーＩＤと、車両１にドアロック施錠の動作開始を要求する機能コード（施錠要求コード）とを含んだワイヤレス信号Ｓｗｌをキー発信機１４からＵＨＦ帯の信号で発信させて、狭域無線通信（ワイヤレス通信）を実行する。そして、照合ＥＣＵ４は、車両チューナ７でこのワイヤレス信号Ｓｗｌを受信すると、ワイヤレス信号Ｓｗｌに含まれる電子キーＩＤを、自身のメモリ１５に登録された電子キーＩＤと照らし合わせてＩＤ照合（ワイヤレス照合）を行う。照合ＥＣＵ４は、ワイヤレス照合の成立を確認すると、続く施錠要求コードに従い、メインボディＥＣＵ５にドアロックの施錠動作を実行させる。

【0031】

ワイヤレス通信には、電子キー２から発信されるワイヤレス信号Ｓｗｌを暗号化して車両１に送る暗号通信が使用されている。本例の暗号通信には、信号の送り手と受け手とで共通の認証鍵である秘密鍵を使用する秘密鍵暗号方式が採用されている。よって、電子キー２のメモリ１１と、車両１（照合ＥＣＵ４）のメモリ１５とには、共通の秘密鍵１６が登録されている。そして、電子キー２がワイヤレス信号Ｓｗｌを発信する際には、電子キー２の秘密鍵１６によって暗号化されたワイヤレス信号Ｓｗｌが発信され、車両１がこのワイヤレス信号Ｓｗｌを受信すると、車両１側の秘密鍵１６でワイヤレス信号Ｓｗｌが復号される。

【0032】

図２に示すように、車両１及び電子キー２には、これら車両１及び電子キー２に秘密鍵１６を発行する秘密鍵登録システム１７が設けられている。ここで、電子キー２は、工場出荷時において車両１に付随する初期登録用電子キーと、当該初期登録用電子キーを紛失した場合などに、あらかじめ工場から出荷された車両１に対して使用できる追加登録用電子キーとの２種類ある。すなわち、本例の秘密鍵登録システム１７は、図１１に示すように、初期登録用システム１７ａと追加登録用システム１７ｂとからなる。初期登録用システム１７ａでは、車両１に接続可能なハンディタイプの登録ツール１９と、当該登録ツール１９との間で製造工場内の専用通信網を介して無線通信可能な内部センター２０とを利用する。なお、内部センター２０は、広域無線通信網（例えば、インターネット）を介して外部センター２００との間で無線通信が可能とされており、当該外部センター２００との間で無線通信を定期的に（例えば、１日１回）行う。ここで、外部センター２００は、電子キー２（初期登録用、追加登録用）及び照合ＥＣＵ４（初期登録用、追加登録用）を初めとする車両１の各種情報を保存するものである。内部センター２０は、外部センター２００の各種情報のうち、当該内部センター２０が設けられる工場で使用される一部の情報、ここでは主に初期登録用の情報を保存するものである。追加登録用システム１７ｂでは、車両１に接続可能なハンディタイプの登録ツール１９と、当該登録ツール１９との間で高域無線通信網を介して無線通信可能な外部センター２００とを利用する。すなわち、秘密鍵登録システム１７は、車両１、電子キー２、電子キー２や照合ＥＣＵ４の製造工場等で管理された後述する書き込み器１８、登録ツール１９及び内部センター２０又は外部センター２００の５者を協同させて、車両１及び電子キー２に秘密鍵１６を登録するシステムである。なお、初期登録用システム１７ａと追加登録用システム１７ｂとの違いは、登録ツール１９が内部センター２０と通信するか外部センター２００と通信するかであって、基本的な登録のプロセスは共通である。そこで、本例では、秘密鍵登録システム１７として、主に初期登録用システム１７ａについて説明する。

【0033】

このシステム１７の詳細を説明すると、図３に示すように、書き込み器１８のメモリ２１には、車両１の照合ＥＣＵ４に秘密鍵１６を登録する際に使用される車載器センター鍵２２（初期登録用、追加登録用）と、電子キー２に秘密鍵１６を登録する際に使用される電子キーセンター鍵２３（初期登録用、追加登録用）とが記憶されている。車載器センター鍵２２は、車両１と内部センター２０との間で対応付けられた秘密鍵登録用の暗号鍵であって、車両１に対して個別に割り振られる鍵である。車載器センター鍵２２は、秘密鍵１６を車両１と電子キー２に登録するときに、照合ＥＣＵ４と内部センター２０との間のデータやり取りで使用する。また、電子キーセンター鍵２３は、電子キー２と内部センター２０との間で対応付けられた秘密鍵登録用の暗号鍵であって、電子キー２に対して個別に割り振られる鍵である。電子キーセンター鍵２３は、秘密鍵１６を車両１と電子キー２に登録するときに、電子キー２と内部センター２０との間のデータやり取りで使用する。書き込み器１８は、製造工場等に置かれるものであるので、車載器センター鍵２２や電子キーセンター鍵２３を持っていても、これが盗み取られる可能性は低い。なお、製造工場が、車載器センター鍵２２及び電子キーセンター鍵２３を生成する。

【0034】

図３に示すように、書き込み器１８には、製造時において車両１（照合ＥＣＵ４）に車載器センター鍵２２を書き込む車載器センター鍵書込部２４と、製造時において電子キー２に電子キーセンター鍵２３を書き込む電子キーセンター鍵書込部２５とが設けられている。車載器センター鍵書込部２４は、製造ライン上を流れてくる照合ＥＣＵ４に対し、電気配線２４ａを介して車載器センター鍵２２を有線により直に注入する。また、電子キーセンター鍵書込部２５は、製造ライン上を流れてくる電子キー２に対し、通信制御部９のＩＣに電気配線２５ａを介して電子キーセンター鍵２３を有線により直に注入する。

【0035】

図４に示すように、外部センター２００のメモリ２００ａには、電子キーＩＤ及び電子キーセンター鍵２３の各組が登録されたキーデータベース２０７と、車載器ＩＤ及び車載器センター鍵２２の各組が登録された車データベース２０８とが設けられている。即ち、外部センター２００は、別途、製造工場から照合ＥＣＵ４に登録されたものと同様の車載器センター鍵２２（初期登録用、追加登録用）及び照合ＥＣＵ４に登録されたものと同様の電子キーセンター鍵２３（初期登録用、追加登録用）を入手し、これらを記憶している。

【0036】

また、図４に示すように、内部センター２０のメモリ２６には、車載器センター鍵２２（初期登録用）及び電子キーセンター鍵２３（初期登録用）が記憶されている。これら車載器センター鍵２２（初期登録用）及び電子キーセンター鍵２３（初期登録用）は、外部センター２００と内部センター２０との間で定期的に行われる無線通信を通じて外部センター２００から内部センター２０に対し事前配布されたものである（情報配信ステップ）。なお、内部センター２０には、製造ライン上で登録される１〜６日分の車両１及び電子キー２の車載器センター鍵２２及び電子キーセンター鍵２３が配布される。これは、広域無線通信網が不安定になることに起因して、内部センター２０と外部センター２００との間の無線通信が行えず、内部センター２０に対して車載器センター鍵２２及び電子キーセンター鍵２３の配布が１〜６日に亘ってできない場合でも、照合ＥＣＵ４及び電子キー２の通信制御部９に対し車載器センター鍵２２及び電子キーセンター鍵２３を登録することができる。すなわち、広域無線通信網が不安定になることに起因して、製造ラインを止める必要がない。

【0037】

また、内部センター２０のメモリ２６には、どの車両１（照合ＥＣＵ４）とどの電子キー２とでもペア登録することが可能とされている。車両１は、車両１（照合ＥＣＵ４）の固有値（個別のＩＤコード）として車載器ＩＤを持つ。電子キー２は、電子キー２の固有値（個別のＩＤコード）として電子キーＩＤを持つ。すなわち、メモリ２６には、車載器ＩＤと電子キーＩＤとが登録される。更に、内部センター２０のメモリ２６には、登録ツール１９と内部センター２０との間で定義付けられた暗号鍵の一種としてツールセンター鍵２７が登録されている。ツールセンター鍵２７は、秘密鍵１６を車両１と電子キー２に登録するときに、登録ツール１９と内部センター２０との間のデータやり取りで使用する暗号鍵である。

【0038】

内部センター２０には、登録ツール１９と各種データのやり取りを行う際のデータ入出力口としてツール接続部２０ａが設けられている。内部センター２０は、このツール接続部２０ａを介して、無線通信により登録ツール１９と通信可能となっている。

【0039】

内部センター２０には、内部センター２０の動作モードを登録モードに切り換えるセンター側登録モード切換部２８が設けられている。センター側登録モード切換部２８は、登録ツール１９との間でチャレンジレスポンス認証が成立することを条件に、内部センター２０の動作モードを登録モードに切り換える。チャレンジレスポンス認証は、発信の度に毎回値が変わる乱数コードをチャレンジとして認証側から受け側に送り、このチャレンジを受け側の計算式に通して計算させ、計算結果をレスポンスとして受け付ける。そして、認証側も同様にチャレンジを自身の計算式により演算してレスポンスを計算し、このレスポンスと受け側のレスポンスとが一致するか否かを見る認証である。

【0040】

内部センター２０には、内部センター２０が登録モードに入った後において、登録の通信相手が正しいか否かを認証するセンター側通信相手認証部２９が設けられている。また、内部センター２０には、車両１及び電子キー２が秘密鍵１６を登録した際、同じ秘密鍵１６を登録した車両１と電子キー２とをペアにしてメモリ２６に登録するＩＤペア登録部３０が設けられている。

【0041】

内部センター２０には、同内部センター２０において秘密鍵１６を生成する乱数生成器３１が設けられている。乱数生成器３１は、データを出力する度に値が異なるコードを、電子キーシステム３の秘密鍵１６として生成する（認証鍵生成ステップ）。即ち、秘密鍵１６は内部センター２０によって生成され、同内部センター２０が秘密鍵１６を一括管理する。

【0042】

内部センター２０には、乱数生成器３１によって生成された秘密鍵１６を、メモリ２６内の車載器センター鍵２２と電子キーセンター鍵２３とにより暗号化する暗号化処理部３２が設けられている。暗号化処理部３２は、メモリ２６内の車載器センター鍵２２によって、車載器ＩＤと電子キーＩＤと秘密鍵１６とを暗号化することにより車載器登録コードＣｃｒを生成するとともに、メモリ２６内の電子キーセンター鍵２３によって、秘密鍵１６を暗号化することにより電子キー登録コードＣｄｋを生成する。即ち、車載器登録コードＣｃｒ及び電子キー登録コードＣｄｋは、車載器ＩＤと電子キーＩＤと秘密鍵１６とを情報として持ち、車両１や電子キー２に秘密鍵１６を登録する際に必要な一条件として使用される。

【0043】

内部センター２０には、暗号化処理部３２が生成した車載器登録コードＣｃｒ及び電子キー登録コードＣｄｋを、車両１及び電子キー２に対して各々出力する登録コード出力部３３が設けられている。登録コード出力部３３は、工場内専用の通信網（例えば、イントラネット）を介して、車両１、電子キー２及び登録ツール１９と無線通信が可能である。登録コード出力部３３は、車載器登録コードＣｃｒを車両１に発信し、電子キー登録コードＣｄｋを電子キー２に発信する。

【0044】

図５に示すように、車両１には、登録ツール１９と各種データのやり取りを行う際のデータ入出力口としてツール接続部１ａが設けられている。登録ツール１９は、ケーブルをこのツール接続部１ａに繋げることにより、車両１に接続可能となっている。照合ＥＣＵ４は、このツール接続部１ａを介して、有線通信により登録ツール１９と通信可能となっている。

【0045】

また、車両１には、イントラネットを介して内部センター２０との無線通信が可能とされた通信装置３４が設けられている。通信装置３４は、例えばバス６を介して照合ＥＣＵ４と接続されている。通信装置３４は、内部センター２０から発信された車載器登録コードＣｃｒを受信可能であり、この車載器登録コードＣｃｒを照合ＥＣＵ４に供給可能となっている。

【0046】

また、照合ＥＣＵ４には、照合ＥＣＵ４の動作モードを登録モードに切り換える車両側登録モード切換部３５が設けられている。車両側登録モード切換部３５は、登録モードに入った内部センター２０との間でチャレンジレスポンス認証が成立することを条件に、照合ＥＣＵ４の動作モードを登録モードに切り換える。また、照合ＥＣＵ４には、照合ＥＣＵ４が登録モードに入った後において、登録の通信相手が正しいか否かを認証する車両側通信相手認証部３６が設けられている。

【0047】

照合ＥＣＵ４には、製造時において書き込み器１８から出力される車載器センター鍵２２を取得する車載器センター鍵取得部３７が設けられている。照合ＥＣＵ４には、内部センター２０から発信された車載器登録コードＣｃｒを、通信装置３４を介して取得する車載器登録コード取得部３８が設けられている。このように、照合ＥＣＵ４に車載器センター鍵取得部３７と車載器登録コード取得部３８とを設けることにより、照合ＥＣＵ４に車載器センター鍵２２と車載器登録コードＣｃｒとを取り込ませることが可能となっている。

【0048】

照合ＥＣＵ４には、車載器登録コード取得部３８によって登録した車載器登録コードＣｃｒを、車載器センター鍵取得部３７で取得した車載器センター鍵２２により復号する車両側復号化処理部３９が設けられている。車両側復号化処理部３９によって求まる復号データは、車載器登録コードＣｃｒにかかっている車載器センター鍵２２が、書き込み器１８から取得した車載器センター鍵２２と同一であれば、正しく復号される。

【0049】

照合ＥＣＵ４には、内部センター２０から通信装置３４を介して取り込んだ車載器登録コードＣｃｒが正しいか否かを判定する車両側登録コード判定部４０が設けられている。車両側登録コード判定部４０は、車両側復号化処理部３９によって車載器登録コードＣｃｒを正しく復号でき、しかもその復号データに含まれる車載器ＩＤが、車両１のものと一致するか否かを見ることにより、登録コードＣｃｒの正否を判定する。車両側登録コード判定部４０は、車載器ＩＤのＩＤ成立を確認すれば、秘密鍵１６の登録を許可し、車載器ＩＤのＩＤ成立を確認できなければ、秘密鍵１６の登録を不可とする。

【0050】

照合ＥＣＵ４には、車載器登録コードＣｃｒが正しいことを条件に、車両１に秘密鍵１６の登録を実行する車両側秘密鍵登録部４１が設けられている。車両側秘密鍵登録部４１は、登録コードの判定が正しい際、車載器登録コードＣｃｒに含まれる秘密鍵１６を、車両１の暗号鍵としてメモリ１５に書き込む。

【0051】

図６に示すように、電子キー２には、キー２の外部において発信された各種電波を受信するキー受信機４２が設けられている。キー受信機４２は、例えばＵＨＦ（Ｕｌｔｒａ Ｈｉｇｈ Ｆｒｅｑｕｅｎｃｙ）帯の一種のＲＦ（Ｒａｄｉｏ Ｆｒｅｑｕｅｎｃｙ）電波を受信可能であり、この受信電波を増幅や復調等して通信制御部９に供給する。このキー受信機４２は、例えば電子キーシステム３がキー操作フリーシステム、即ち車両１からのリクエストに応答して電子キー２が電子キーＩＤを車両１に自動返信してＩＤ照合させるシステムの場合、同システム３において車両１から発信される各種電波も受信可能となっている。

【0052】

通信制御部９には、電子キー２の動作モードを登録モードに切り換えるキー側登録モード切換部４３が設けられている。キー側登録モード切換部４３は、登録モードに入った車両１から登録モード移行要求を受け付けると、電子キー２の動作モードを登録モードに切り換える。また、通信制御部９には、通信制御部９が登録モードに入った後において、登録の通信相手が正しいか否かを認証するキー側通信相手認証部４４が設けられている。

【0053】

通信制御部９には、製造時において書き込み器１８から出力される電子キーセンター鍵２３を取得する電子キーセンター鍵取得部４５が設けられている。通信制御部９には、内部センター２０から発信された電子キー登録コードＣｄｋを、キー受信機４２を介して取得する電子キー登録コード取得部４６が設けられている。このように、通信制御部９に電子キーセンター鍵取得部４５と電子キー登録コードＣｄｋとを設けることにより、通信制御部９に電子キーセンター鍵２３と電子キー登録コードＣｄｋとを取り込ませることが可能となっている。

【0054】

通信制御部９には、電子キー登録コード取得部４６によって登録した電子キー登録コードＣｄｋを、電子キーセンター鍵取得部４５で取得した電子キーセンター鍵２３により復号するキー側復号化処理部４７が設けられている。キー側復号化処理部４７によって求まる復号データは、電子キー登録コードＣｄｋにかかっている電子キーセンター鍵２３が、書き込み器１８から取得した電子キーセンター鍵２３と同一であれば、正しく復号される。

【0055】

通信制御部９には、内部センター２０からキー受信機４２を介して取り込んだ電子キー登録コードＣｄｋが正しいか否かを判定するキー側登録コード判定部４８が設けられている。キー側登録コード判定部４８は、キー側復号化処理部４７によって電子キー登録コードＣｄｋを正しく復号でき、しかもその復号データに含まれる電子キーＩＤが、電子キー２のものと一致するか否かを見ることにより、登録コードＣｄｋの正否を判定する。キー側登録コード判定部４８は、電子キーＩＤのＩＤ成立を確認すれば、秘密鍵１６の登録を許可し、電子キーＩＤのＩＤ成立を確認できなければ、秘密鍵１６の登録を不可とする。

【0056】

通信制御部９には、電子キー登録コードＣｄｋが正しいことを条件に、電子キー２に秘密鍵１６の登録を実行するキー側秘密鍵登録部４９が設けられている。キー側秘密鍵登録部４９は、登録コードの判定が正しい際、電子キー登録コードＣｄｋに含まれる秘密鍵１６を、電子キー２の暗号鍵としてメモリ１１に書き込む。

【0057】

図７に示すように、登録ツール１９は、車両１及び電子キー２に秘密鍵１６を登録する際に携帯するハンディタイプをとっている。よって、車両１及び電子キー２への秘密鍵１６の登録は、登録ツール１９を携帯操作することによって行う。登録ツール１９には、登録ツール１９を統括制御するツール制御部５０と、各種電波を送受信可能な通信機５１と、例えばテンキー等からなる入力部５２と、各種画面を表示する表示部５３とが設けられている。登録ツール制御部５０は、入力部５２の入力情報を管理するとともに、表示部５３及び通信機５１を制御して各種登録動作を実行する。

【0058】

また、ツール制御部５０には、登録ツール１９における登録動作を管理するツール側登録モード切換部５４が設けられている。ツール制御部５０には、車両１、電子キー２及び内部センター２０が全て登録モードに入った後に、登録の通信相手が正しいか否かを認証するツール側通信相手認証部５５が設けられている。登録ツール制御部５０のメモリ５６には、内部センター２０に登録されているものと同様のツールセンター鍵２７が登録されている。

【0059】

次に、車両１及び電子キー２に秘密鍵１６を登録する手順を図８〜図１０に従って説明する。
前提として、製造工場の照合ＥＣＵ４の製造ラインにおいて、書き込み器１８から照合ＥＣＵ４に車載器センター鍵２２（初期登録用、追加登録用）を書き込んでおく。また、同様に、製造工場の電子キー２の製造ラインにおいて、書き込み器１８から電子キー２に電子キーセンター鍵２３（初期登録用、追加登録用）を書き込んでおく。また、内部センター２０には、予め外部センター２００から車載器センター鍵２２（初期登録用）及び電子キーセンター鍵２３（初期登録用）が事前配布されている（初期情報配信ステップ）。

【0060】

続いて、図８に示すように、車両１、電子キー２及び登録ツール１９の３つを手元に用意するとともに、これら３者と内部センター２０とが通信（イントラネット通信）が可能な態勢を整える。なお、このとき、車両１及び電子キー２に所定操作を加えてこれらを登録の開始状態にするとともに、登録ツール１９をケーブル（図示略）によりツール接続部１ａに繋ぎ、これに電源を入れることによって登録ツール１９も登録の開始状態にし、更には内部センター２０にも電源を入れて、内部センター２０も登録の開始状態に設定する。なお、開始状態とは、実際の登録モードの前の準備段階のこととをいい、この開始状態に入る操作形式は種々のものが採用可能である。

【0061】

そして、登録ツール１９において入力部５２を操作することにより秘密鍵１６の登録操作が行われたとする。このときは、ステップＳ１０１に示すように、登録操作開始の通知として有線接続コマンドが登録ツール１９から照合ＥＣＵ４に出力される。なお、このときの登録ツール１９における登録動作は、ツール側登録モード切換部５４によって管理される。

【0062】

照合ＥＣＵ４は、登録ツール１９から有線接続コマンドが入力されると、車両側登録モード切換部３５が起動する。このとき、照合ＥＣＵ４は、有線接続コマンドに応答する形をとって、ステップＳ１０２に示すように、自身に登録された車載器ＩＤを登録ツール１９に返信する。登録ツール１９は、照合ＥＣＵ４から車載器ＩＤを取得すると、内部センター２０へ秘密鍵１６の登録開始を通知すべく、ステップＳ１０３に示すように、イントラネット通信を介して登録要求を内部センター２０に発信する。

【0063】

内部センター２０は、登録ツール１９から登録要求を受け付けると、センター側登録モード切換部２８が起動する。このとき、内部センター２０は、ステップＳ１０４に示すように、ツールセンター鍵２７を用いたチャレンジレスポンス認証を開始して、登録ツール１９に第１チャレンジを送る。登録ツール１９は、内部センター２０から第１チャレンジを受け付けると、自身に登録されたツールセンター鍵２７により第１チャレンジのレスポンスとして第１レスポンスを演算し、ステップＳ１０５に示すように、この第１レスポンスを内部センター２０に返信する。

【0064】

内部センター２０は、登録ツール１９から第１レスポンスを受け付けると、ステップＳ１０６に示すように、受け付けた第１レスポンスと、自身も同様に計算したレスポンスと比較することにより、レスポンス検証を行う。即ち、内部センター２０は登録ツール１９を認証する。内部センター２０は、レスポンス検証が成立することを確認すると、次のステップＳ１０７に移行して、自身の動作モードを登録モードに切り換える。即ち、センター側登録モード切換部２８は、登録ツール１９と内部センター２０との間のチャレンジレスポンス認証が成立することを確認すると、内部センター２０の動作モードを登録モードに切り換える。一方、内部センター２０は、レスポンス検証が成立しないことを確認すると、動作を強制終了する。

【0065】

登録モードに入った内部センター２０は、ステップＳ１０８に示すように、ハッシュ関数によりツールセンターテンプレート鍵５７（以下、ツールセンターｔｅｍｐ鍵５７と記す）を作成する。ツールセンターｔｅｍｐ鍵５７は、登録ツール１９に送った第１チャレンジと、登録ツール１９から受け付けた第１レスポンスと、内部センター２０のメモリ２６に登録されたツールセンター鍵２７とを、ハッシュ関数に入力することにより求まるハッシュ値により構築されている。ツールセンターｔｅｍｐ鍵５７は、登録の際に毎回異なる値で作成され、登録時の１度のみ使用が有効な鍵（制限鍵）となっている。このツールセンターｔｅｍｐ鍵５７は、秘密鍵１６の間違った登録を防止するために機能する鍵である。

【0066】

また、登録ツール１９は、ステップＳ１０９に示すように、内部センター２０と同様の形式によりツールセンターｔｅｍｐ鍵５７を作成する。即ち、登録ツール１９は、内部センター２０から受け付けた第１チャレンジと、自らが算出した第１レスポンスと、自身のメモリ５６に登録されたツールセンター鍵２７とを、ハッシュ関数に通すことによりハッシュ値を求め、このハッシュ値をツールセンターｔｅｍｐ鍵５７として算出する。

【0067】

登録ツール１９は、ツールセンターｔｅｍｐ鍵５７を作成すると、ステップＳ１１０に示すように、照合ＥＣＵ４に登録モード移行要求を出力する。照合ＥＣＵ４は、登録ツール１９から登録モード移行要求を受け付けると、ステップＳ１１１に示すように、自身に登録された車載器ＩＤを登録ツール１９に出力する。このとき、照合ＥＣＵ４は、車載器センター鍵２２を用いたチャレンジレスポンス認証も開始し、車載器ＩＤとともに第２チャレンジを登録ツール１９に出力する。登録ツール１９は、照合ＥＣＵ４から車載器ＩＤと第２チャレンジとを受け付けると、これらをイントラネット通信により内部センター２０に発信する。

【0068】

内部センター２０は、登録ツール１９から車載器ＩＤと第２チャレンジを受信すると、ステップＳ１１２に示すように、まずは自身のメモリ（データベース）２６を参照して、車載器ＩＤに対応する車載器センター鍵２２を読み出す。ところで、車載器センター鍵２２は各車両１の固有値であり、同じく車両１の固有値である車載器ＩＤとは一義的に対応付けられるので、車載器ＩＤが分かれば、同ＩＤに対応する車載器センター鍵２２は読み出すことが可能である。よって、内部センター２０は、車載器ＩＤを手掛かりに、これと対応する車載器センター鍵２２を読み出す。

【0069】

また、内部センター２０は、登録ツール１９から第２チャレンジを受信すると、第２チャレンジを自身の車載器センター鍵２２によって第２レスポンスを計算し、ステップＳ１１３に示すように、この第２レスポンスを登録ツール１９に返信する。登録ツール１９は、第２レスポンスを受信すると、この第２レスポンスを照合ＥＣＵ４に出力する。

【0070】

照合ＥＣＵ４は、登録ツール１９から第２レスポンスを受け付けると、ステップＳ１１４に示すように、受け付けた第２レスポンスと、自身も同様に計算したレスポンスとを比較することにより、レスポンス検証を行う。即ち、照合ＥＣＵ４は内部センター２０を認証する。照合ＥＣＵ４は、レスポンス検証が成立することを確認すると、次のステップＳ１１５に移行して、自身の動作モードを登録モードに切り換える。即ち、車両側登録モード切換部３５は、照合ＥＣＵ４と内部センター２０との間のチャレンジレスポンス認証が成立することを確認すると、照合ＥＣＵ４の動作モードを登録モードに切り換える。一方、照合ＥＣＵ４は、レスポンス検証が成立しないことを確認すると、動作を強制終了する。

【0071】

登録モードに入った照合ＥＣＵ４は、ステップＳ１１６に示すように、ハッシュ関数により車載器センターテンプレート鍵５８（以下、車載器センターｔｅｍｐ鍵５８と記す）を作成する。車載器センターｔｅｍｐ鍵５８は、内部センター２０に送った第２チャレンジと、内部センター２０から受け付けた第２レスポンスと、照合ＥＣＵ４のメモリ１５に登録された車載器センター鍵２２とを、ハッシュ関数に入力することにより求まるハッシュ値により構築されている。車載器センターｔｅｍｐ鍵５８も、登録の際に毎回異なる値で作成され、登録時の１度のみ使用が有効な鍵（制限鍵）となっている。車載器センターｔｅｍｐ鍵５８は、秘密鍵１６の間違った登録を防止するために機能する鍵である。なお、車載器センターｔｅｍｐ鍵５８が制限鍵に相当する。

【0072】

また、内部センター２０は、ステップＳ１１７に示すように、照合ＥＣＵ４と同様の形式により車載器センターｔｅｍｐ鍵５８を作成する。即ち、内部センター２０は、照合ＥＣＵ４から受け付けた第２チャレンジと、自らが算出した第２レスポンスと、自身のメモリ２６に登録された車載器センター鍵２２とを、ハッシュ関数に通すことによりハッシュ値を求め、このハッシュ値を車載器センターｔｅｍｐ鍵５８として算出する。

【0073】

照合ＥＣＵ４は、車載器センター鍵２２を作成すると、ステップＳ１１８に示すように、登録モード移行要求と電子キーＩＤ要求とを電子キー２に発信する。電子キー２は、照合ＥＣＵ４から登録モード移行要求を受け付けると、キー側登録モード切換部４３が起動する。なお、このときの無線通信は、電子キーシステム３の通信インフラが使用される。また、登録モード移行要求は、電子キー２を登録モードに移行させる指令である。電子キーＩＤ要求は、電子キーＩＤを車両１に返信させる指令である。

【0074】

電子キー２は、照合ＥＣＵ４から登録モード移行要求を受け付けると、ステップＳ１１９に示すように、自身のメモリ１１において既に秘密鍵１６が登録されているか否かを確認する。電子キー２は、自身のメモリ１１に秘密鍵１６が登録されていないことを確認すると、次のステップＳ１２０に移行して、自身の動作モードを登録モードに切り換える。即ち、キー側登録モード切換部４３は、まだ秘密鍵１６がメモリ１１に登録されていないことを確認すると、電子キー２の動作モードを登録モードに切り換える。一方、電子キー２は、自身のメモリ１１に秘密鍵１６が既に登録されていることを確認すると、動作を強制終了する。

【0075】

登録モードに入った電子キー２は、続いて登録モード時における認証を行うために、キー側通信相手認証部４４が起動する。このとき、キー側通信相手認証部４４は、ステップＳ１２１に示すように、自身のメモリ１１に登録されている電子キーＩＤを照合ＥＣＵ４に発信する。照合ＥＣＵ４は、電子キーＩＤを受信すると、車両側通信相手認証部３６が起動して、電子キー２から受け付けた電子キーＩＤを登録ツール１９に転送する。

【0076】

登録ツール１９は、照合ＥＣＵ４から電子キーＩＤを入力すると、ツール側通信相手認証部５５が起動する。即ち、ツール側通信相手認証部５５は、ステップＳ１２２に示すように、内部センター２０とＭＡＣ（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）認証を行うために、暗号文データ５９と改竄検出符号データ６０とを算出する。ＭＡＣ認証は、メッセージの改竄や成りすましを防止するための認証の一種であり、メッセージと鍵とを暗号用のアルゴリズムに通すことによって認証コード、いわゆるＭＡＣを生成し、これを通信データとして相手側に送って認証を行うものである。ＭＡＣのアルゴリズムには、例えばブロック暗号（ＤＥＳ（Ｄａｔａ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ）、ＡＥＳ（Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ）等）によるもの、ハッシュ関数によるもの、専用設計されたものなどがある。

【0077】

暗号文データ５９は、暗号アルゴリズムに、鍵であるツールセンター鍵２７と、平文である車載器ＩＤ及び電子キーＩＤを入力して求まる暗号文により構築されている。また、改竄検出符号データ６０は、改竄検出用アルゴリズムに、鍵であるツールセンターｔｅｍｐ鍵５７と、平文である前述の暗号文データ５９とを入力して求まる符号により構築されている。登録ツール１９は、演算したこれら暗号文データ５９と改竄検出符号データ６０とを、イントラネット通信により内部センター２０に発信する。

【0078】

内部センター２０は、登録ツール１９から暗号文データ５９及び改竄検出符号データ６０を入力すると、センター側通信相手認証部２９が起動する。即ち、センター側通信相手認証部２９は、ステップＳ１２３に示すように、これらデータ５９，６０を用いてＭＡＣ認証と異常ＩＤ検証とを実行する。ここで、内部センター２０のメモリ２６には、異常ＩＤが登録されたデータベースとして異常ＩＤデータベース６１が設けられている。異常ＩＤは、盗難車両の車載器ＩＤや、他車両に登録済みの電子キーＩＤに相当する。よって、異常ＩＤ検出は、登録ツール１９から受け付けたＩＤを異常ＩＤデータベース６１に照らし合わせて、受信ＩＤが異常ＩＤに相当するものか否かを見ることにより行われる。センター側通信相手認証部２９は、暗号文及び改竄検出符号を正しく復号できることを確認し、かつ各種ＩＤが異常ＩＤに属さないことを確認すると、次のステップＳ１２４に移行する。一方、内部センター２０は、ＭＡＣ認証及び異常ＩＤ検証が成立しないことを確認すると、動作を強制終了する。

【0079】

内部センター２０は、ＭＡＣ認証及び異常ＩＤ検証の成立を確認すると、続いて秘密鍵１６の転送動作に入る。このとき、内部センター２０は、ステップＳ１２４に示すように、秘密鍵１６の暗号化出力処理を実行する。この処理として、まず暗号化処理部３２は、メモリ２６から電子キーセンター鍵２３及び車載器センター鍵２２を読み出す。続いて、乱数生成器３１は、自身が発生する乱数コードを秘密鍵１６として暗号化処理部３２に出力する。暗号化処理部３２は、乱数生成器３１から取得した１６を電子キーセンター鍵２３により暗号化して電子キー登録コードＣｄｋを生成する（初期登録用電子キー暗号化コード生成ステップ）とともに、秘密鍵１６を車載器センター鍵２２により暗号化して車載器登録コードＣｃｒを生成する（初期制御装置暗号化コード生成ステップ）。

【0080】

内部センター２０は、車載器登録コードＣｃｒを生成すると、ステップＳ１２５に示すように、この車載器登録コードＣｃｒを、登録ツール１９に発信する。登録ツール１９は、車載器登録コードＣｃｒを受信すると、当該車載器登録コードＣｃｒを照合ＥＣＵ４に転送する（初期登録用電子キー暗号化コード配信ステップ、認証鍵登録ステップ）。この車載器登録コードＣｃｒには、暗号文データ６２と改竄検出符号データ６３とが含まれている。暗号文データ６２は、暗号アルゴリズムに、鍵である車載器センター鍵２２と、秘密鍵１６、電子キーＩＤ及び車載器ＩＤからなる平文とを入力することにより求まる暗号文によって構築されている。また、改竄検出符号データ６３は、改竄検出用アルゴリズムに、鍵である車載器センターｔｅｍｐ鍵５８と、平文である前述の暗号文データ６２とを入力することにより求まる符号によって構築されている。

【0081】

また、内部センター２０は、電子キー登録コードＣｄｋを生成すると、ステップＳ１２６に示すように、この電子キー登録コードＣｄｋを、登録ツール１９に発信する。登録ツール１９は、電子キー登録コードＣｄｋを受信すると、当該電子キー登録コードＣｄｋを照合ＥＣＵ４に転送する。照合ＥＣＵ４は、電子キー登録コードＣｄｋを受信すると、当該電子キー登録コードＣｄｋを電子キー２に転送する（初期制御装置暗号化コード配信ステップ、認証鍵登録ステップ）。この電子キー登録コードＣｄｋは、電子キーセンター鍵２３を使用した暗号文データから構成されている。即ち、電子キー登録コードＣｄｋは、暗号アルゴリズムに、鍵である電子キーセンター鍵２３と、秘密鍵１６、車載器ＩＤ及び電子キーＩＤからなる平文とを入力することにより求まる暗号文によって構築されている。

【0082】

照合ＥＣＵ４は、内部センター２０から車載器登録コードＣｃｒを受信すると、ステップＳ１２７に示すように、車載器登録コードＣｃｒ内の暗号文データ６２を復号する。即ち、車両側復号化処理部３９は、内部センター２０から取得した車載器登録コードＣｃｒを、照合ＥＣＵ４のメモリ１５に書き込まれている車載器センター鍵２２に通すことにより、車載器登録コードＣｃｒを復号する。

【0083】

照合ＥＣＵ４は、ステップＳ１２７の復号化が完了すると、今度はステップＳ１２８に示すように、改竄検出判定と車載器ＩＤ検証とを実行して、内部センター２０を認証する。即ち、車両側登録コード判定部４０は、復号データを確認することにより内部センター２０の認証を行う。改竄検出判定は、照合ＥＣＵ４が自らも改竄検出符号を求めて、受け付けた同符号の正否を見る認証の一種であり、車載器登録コードＣｃｒに含まれる改竄検出符号に誤りが無いかどうかを見るものである。また、車載器ＩＤ検証は、車載器登録コードＣｃｒを車載器センター鍵２２で復号することによって取得する車載器ＩＤの正否を見る検証である。照合ＥＣＵ４は、改竄検出判定及び車載器ＩＤ検証の両方が成立することを確認すると次ステップに移行し、これらが成立しないことを確認すると開始状態に戻って、動作を終了する。

【0084】

一方、電子キー２は、内部センター２０から電子キー登録コードＣｄｋを受信すると、ステップＳ１２９に示すように、電子キー登録コードＣｄｋを復号する。即ち、キー側復号化処理部４７は、内部センター２０から取得した電子キー登録コードＣｄｋを、電子キー２のメモリ１１に書き込まれている電子キーセンター鍵２３に通すことにより、電子キー登録コードＣｄｋを復号する。

【0085】

電子キー２は、ステップＳ１２９の復号化が完了すると、今度はステップＳ１３０に示すように、電子キーＩＤ検証を実行して、内部センター２０の認証を行う。電子キーＩＤ検証は、電子キー登録コードＣｄｋを電子キーセンター鍵２３で復号することによって取得する電子キーＩＤの正否を見る検証である。電子キー２は、電子キーＩＤ検証が成立することを確認すると次ステップに移行し、電子キーＩＤ検証が成立しないことを確認すると開始状態に戻って、動作を終了する。

【0086】

照合ＥＣＵ４は、改竄検出判定及び車載器ＩＤ検証の成立を確認すると、内部センター２０から受け付けた秘密鍵１６の正否を確認するために、秘密鍵１６を用いたチャレンジレスポンス認証を開始する。このとき、まず照合ＥＣＵ４は、ステップＳ１３１に示すように、第３チャレンジを電子キー２に発信する。電子キー２は、照合ＥＣＵ４から第３チャレンジを受信すると、この第３チャレンジを自身の秘密鍵１６により演算し、ステップＳ１３２に示すように、その演算結果を第３レスポンスとして照合ＥＣＵ４に返信する。

【0087】

照合ＥＣＵ４は、電子キー２から第３レスポンスを受信すると、ステップＳ１３３に示すように、この第３レスポンスと、自身の秘密鍵１６を用いて自らも演算したレスポンスと比較してレスポンス検証を行う。即ち、車両側登録コード判定部４０は、レスポンス検証の正否を確認することにより電子キー２の認証を行う。照合ＥＣＵ４は、レスポンス検証が成立することを確認すると、次ステップに移行し、この検証が成立しないことを確認すると、動作を強制終了する。

【0088】

照合ＥＣＵ４は、ステップＳ１３３においてレスポンス検証が成立することを確認すると、登録の最終確認を行うべく、ステップＳ１３４に示すように、車載器センターｔｅｍｐ鍵５８に準じた暗号文データ６４を、登録ツール１９に発信する。登録ツール１９は、暗号文データ６４を受信すると、当該暗号文データ６４を照合ＥＣＵ４に転送する。この暗号文データ６４は、暗号アルゴリズムに、車載器センターｔｅｍｐ鍵５８と、車載器ＩＤ、電子キーＩＤ及び電子キー認証確認済み通知からなる平文とを入力することにより求まる暗号文によって構築されている。電子キー認証確認済み通知は、ステップＳ１３３のレスポンス認証の成立を確認することを以て出される通知である。なお、登録ツール１９は、暗号文データ６４を転送すると、登録モードを終了する。

【0089】

内部センター２０は、照合ＥＣＵ４から暗号文データ６４を受信すると、ステップＳ１３５に示すように、暗号文データ６４に含まれる車載器ＩＤと電子キー認証確認済み通知との検証を行う。即ち、ＩＤペア登録部３０は、照合ＥＣＵ４に電子キーＩＤが登録されたか否かを確認する。ＩＤペア登録部３０は、ステップＳ１３５の検証が成立することを確認すると、受け付けた車載器ＩＤと電子キーＩＤとをペアにして、メモリ２６に記憶する。これにより、内部センター２０には、車載器ＩＤと電子キーＩＤとがペア付けられて登録される。内部センター２０は、このペア登録が完了すると、登録モードを終了する。

【0090】

また、照合ＥＣＵ４は、ステップＳ１３３においてレスポンス検証の成立を確認すると、ステップＳ１３７に示すように、内部センター２０から受け付けた秘密鍵１６をメモリ１５に記憶するとともに、登録の際に電子キー２から受け付けた電子キーＩＤもメモリ１５に登録する。照合ＥＣＵ４は、メモリ１５への秘密鍵１６及び電子キーＩＤの登録を完了すると、登録モードを終了する。

【0091】

更に、電子キー２は、ステップＳ１３０において電子キーＩＤ検証の成立を確認すると、ステップＳ１３８に示すように、内部センター２０から受け付けた秘密鍵１６をメモリ１１に記憶するとともに、登録の際に照合ＥＣＵ４から受け付けた車載器ＩＤもメモリ１１に登録する。電子キー２は、メモリ１１への秘密鍵１６及び車載器ＩＤの登録を完了すると、登録モードを終了する。

【0092】

さて、本例の場合、車両１に秘密鍵１６を登録するには、まず書き込み器１８によって、車両１に車載器センター鍵２２を書き込むとともに、電子キー２に電子キーセンター鍵２３を書き込んでおく。そして、内部センター２０において生成された秘密鍵１６を、予め取り込んでおいた車載器センター鍵２２により暗号化して車載器登録コードＣｃｒに変換し、これを車両１に送り渡し、更に同じ秘密鍵１６を、予め取り込んでおいた電子キーセンター鍵２３により暗号化して電子キー登録コードＣｄｋに変換し、これを電子キー２に送り渡す。そして、車両１と電子キー２との各々で、登録コードＣｃｒ，Ｃｄｋを復号し、復号データを秘密鍵１６として各々登録する。

【0093】

よって、本例においては、車両１及び電子キー２へ秘密鍵１６を登録するに際して、書き込み器１８及び内部センター２０が協同することによって実行される。このため、もし仮に秘密鍵１６を盗み取ろうとしても、本例の場合は、書き込み器１８から鍵２２，２３を入手しつつ、更には内部センター２０から登録コードＣｃｒ，Ｃｄｋを入手しなければならなくなる。従って、秘密鍵１６の盗難は２つの情報を盗み取るという困難性の高いものとなるので、秘密鍵１６を盗難され難いものとすることが可能となる。

【0094】

なお、本例では、基本的な登録のプロセスが共通であることから、主に、初期登録用システム１７ａを説明したが、当該初期登録用システム１７ａと、追加登録用システム１７ｂとの違いは、登録ツール１９が、内部センター２０と無線通信するか外部センター２００と通信するかである。従って、追加登録用システム１７ｂの説明は、内部センター２０を外部センター２００に置き換えることにより完了するので、記載を省略する。なお、追加登録用システム１７ｂでは、外部センター２００と内部センター２０との無線通信は必要ない。追加登録用システム１７ｂでは、広域無線通信網を使用していることから、秘密鍵１６を配信する場所を問わない。このため、当該秘密鍵１６の登録作業をスムーズに行うことができる。

【0095】

本実施形態の構成によれば、以下に記載の効果を得ることができる。
（１）内部センター２０は、外部センター２００との間で定期的に（ここでは、１日１回）広域無線通信網を利用した無線通信を行い、工場内で行う秘密鍵１６の登録作業に必要な情報を取得する。従って、工場内で行う秘密鍵１６の登録作業（初期登録作業）に広域無線通信網を使用する必要がない。このため、第３者によって秘密鍵１６が盗難されてしまうおそれが低い。また、内部センター２０は、前述の無線通信を通じて自身のメモリ２６に記憶される車載器センター鍵２２及び電子キーセンター鍵２３の数が、製造工場で製造される車両１及び電子キー２の例えば１週間分に相当する数となるように、車載器センター鍵２２及び電子キーセンター鍵２３を取得する。車両１及び電子キー２への秘密鍵１６の登録には、内部センター２０のメモリ２６に記憶されている車載器センター鍵２２及び電子キーセンター鍵２３を使用する。すなわち、秘密鍵１６を登録する際に、製造工場の外部（外部センター２００）との通信は必要ない。このため、広域無線通信網が不安定となることに起因して、内部センター２０が外部センター２００から、車載器センター鍵２２及び電子キーセンター鍵２３を取得できないことがあっても、予め多めに取得している車載器センター鍵２２及び電子キーセンター鍵２３を使用して、車両１及び電子キー２へ秘密鍵１６を登録することができる。

【0096】

（２）車載器登録コードＣｃｒは、登録時の１度のみ有効な車載器センターｔｅｍｐ鍵５８により暗号化された情報を含んでいる。このため、車載器登録コードＣｃｒは登録の度に毎回値が変わるものとなるので、車載器登録コードＣｃｒを解析し難くすることができ、ひいては秘密鍵１６の耐盗難性も高くすることができる。

【0097】

（３）車両１及び電子キー２に秘密鍵１６を登録するには、登録ツール１９を用いて、車両１及び登録ツール１９の間と、登録ツール１９及び内部センター２０の間とで、チャレンジレスポンス認証を成立させて、これらを登録モードに切り換えなければならない。よって、秘密鍵１６の登録に際しては、登録モード移行への認証成立が条件となるので、秘密鍵１６の不正登録を発生し難くすることができる。

【0098】

（４）秘密鍵登録システム１７が登録モードに入った後、内部センター２０によりＭＡＣ認証が行われて登録ツール１９が認証されるので、秘密鍵１６の不正登録を一層生じ難くすることができる。

【0099】

（５）内部センター２０が登録先である車両１や電子キー２を認証する際、これらのＩＤが異常ＩＤに含まれるかどうかを見る異常ＩＤ検証が実行される。よって、車両１や電子キー２のＩＤが異常ＩＤ、即ち盗難車両のＩＤや他車両に登録済みのＩＤの場合には、秘密鍵１６の登録が不可とされるので、秘密鍵１６の不正登録を一層生じ難くすることができる。

【0100】

（６）車載器登録コードＣｃｒには、暗号文のみならず改竄検出符号が含まれているので、車載器登録コードＣｃｒを不正解析に対して耐性の強いものとすることができる。
（第２の実施形態）
次に、第２の実施形態を図１２〜図１６に従って説明する。なお、第２の実施形態は、登録ツール１９のＩＤも合わせて管理する点が第１の実施形態と異なっており、他の基本的な部分は同じである。よって、第１の実施形態と同一箇所は同一符号を付して詳しい説明を省略し、異なる部分についてのみ説明する。

【0101】

図１２に示すように、本例の秘密鍵登録システム１７は、車両１と電子キー２との秘密鍵１６を登録するに際して、登録作業に関わる情報（登録作業関連情報６５）の正否も確認し合い、この認証が成立することも登録を許可する条件としている。この登録作業関連情報６５には、例えばそれぞれの登録ツール１９が固有のＩＤとして持つ登録ツールＩＤとがある。登録ツールＩＤは、登録ツール１９の製造時においてそれぞれに付与される個体番号である。

【0102】

また、登録作業関連情報６５には、実際の各種登録作業を行うサービスマンが固有のＩＤとして持っているサービスマンＩＤとがある。サービスマンＩＤは、例えば秘密鍵登録システム１７の管理会社に属する社員の登録番号等である。このサービスマンＩＤは、単なる登録番号のみに限らず、例えば認証情報を加えてもよい。認証情報としては、例えば予め登録しておいた英数字の羅列からなるパスワードや、或いは指紋や音声等により個人認証を行う生体情報等がある。また、本例の場合、ツールセンター鍵２７は、登録ツール１９のそれぞれに対して割り振られる個別の鍵となっている。なお、サービスマンが作業者に相当する。

【0103】

図１３に示すように、ツール制御部５０には、登録ツールＩＤやサービスマンＩＤを登録ツール１９に登録するＩＤ登録管理部６６が設けられている。ＩＤ登録管理部６６は、入力部５２によって入力されたり、或いは無線通信によって取り込んだりした登録ツールやサービスマンＩＤを、メモリ５６に書き込むことによりＩＤ登録を行う。また、サービスマンＩＤに生体認証が含まれる場合、ＩＤ登録管理部６６は生体情報も取得可能な構成となっている。ツール制御部５０には、登録ツール１９に登録された登録ツールＩＤやサービスマンＩＤを、内部センター２０に発信可能な登録作業関連情報出力部６７が設けられている。

【0104】

内部センター２０には、登録ツール１９から受信した登録作業関連情報６５（登録ツールＩＤ、サービスマンＩＤ）の正否を検証する登録作業関連情報検証部６８が設けられている。また、内部センター２０のメモリ２６には、発行済みとなったサービスマンＩＤや登録ツールＩＤが予め登録されている。登録作業関連情報検証部６８は、登録ツール１９から登録作業関連情報６５として登録ツールＩＤ及びサービスマンＩＤを受信すると、受け付けたこれらＩＤがメモリ２６に存在するか否かを見ることにより、受け付けた登録ツールＩＤやサービスマンＩＤを認証する。

【0105】

また、内部センター２０のメモリ２６には、登録ツールＩＤうち異常として通知があったものを登録する異常ツールＩＤデータベース６９が設けられている。異常ツールＩＤデータベース６９には、盗難登録されたツールＩＤが異常ＩＤとして登録されている。登録作業関連情報検証部６８は、登録ツールＩＤを取得すると、受け付けたこの登録ＩＤが異常ツールＩＤに存在するか否かを見ることにより、異常ＩＤの有無を確認する。

【0106】

内部センター２０のメモリ２６には、登録ツールＩＤとサービスマンＩＤとがとるべき組み合わせが設定されたツールサービスマンＩＤ表７０が登録されている。ツールサービスマンＩＤ表７０は、図１４に示すように、どの番号群のサービスマンＩＤが、どの番号群の登録ツールＩＤに対応するのかを決めた一種の表である。登録作業関連情報検証部６８は、登録ツールＩＤとサービスマンＩＤとを取得すると、これらツールサービスマンＩＤ表７０を満たす関係をとるか否かを見ることにより、両ＩＤの組み合わせ異常の有無を確認する。

【0107】

図１３に示すように、内部センター２０には、登録モードに入った後に行う認証において、電子キーＩＤと車載器ＩＤとの組み合わせ異常の有無を確認する電子キー車載器ＩＤ組み合わせ異常確認部７１が設けられている。また、メモリ２６には、電子キーＩＤと車載器ＩＤとがとるべき組み合わせが設定された電子キー車載器ＩＤ組み合わせ表７２が登録されている。電子キー車載器ＩＤ組み合わせ表７２は、図１５に示すように、どの番号群の電子キーＩＤが、どの番号群の車載器ＩＤに対応するのかを決めた一種の表である。電子キー車載器ＩＤ組み合わせ異常確認部７１は、電子キーＩＤと車載器ＩＤとを取得すると、これらＩＤが電子キー車載器ＩＤ組み合わせ表７２を満たす関係をとるか否かを見ることにより、両ＩＤの組み合わせ異常の有無を確認する。

【0108】

次に、車両１及び電子キー２に秘密鍵１６を登録する手順を図１６に従って説明する。なお、図１６のフロー図では、第１の実施形態と異なる部分のみ図示する。
まずは前提として、サービスマンは、例えば登録ツール１９の入力部５２を手入力したり、登録ツール備え付けのセンサで生体認証を取り込ませたりすることにより、登録ツール１９にサービスマンＩＤを登録しておく。また、内部センター２０にも、サービスマンＩＤ及び登録ツールＩＤを予め登録しておく。このＩＤ登録は、登録ツール１９のＩＤ登録管理部６６によって実行される。

【0109】

登録ツール１９は、有線接続コマンドに応答して照合ＥＣＵ４が返してきた車載器ＩＤを入力すると、ステップＳ１０３ａに示すように、登録要求、登録ツールＩＤ及びサービスマンＩＤを発信する。即ち、登録作業関連情報出力部６７は、メモリ５６から登録ツールＩＤ及びサービスマンＩＤを読み出し、これらを登録要求とともにイントラネット通信により内部センター２０に発信する。

【0110】

内部センター２０は、登録要求の受け付けをトリガとして、ステップＳ１０３ｂに示すように、登録ツールＩＤ及びサービスマンＩＤのＩＤを検証する。このとき、まず登録作業関連情報検証部６８は、受け付けた登録ツールＩＤ及びサービスマンＩＤがメモリ２６に登録されているものかを確認する。また、登録作業関連情報検証部６８は、異常ツールＩＤデータベース６９を参照して、取得した登録ツールＩＤが異常ＩＤでないかどうかも確認する。更に、登録作業関連情報検証部６８は、ツールサービスマンＩＤ表７０を参照して、取得した登録ツールＩＤ及びサービスマンＩＤが正しい組み合わせをとるものかどうかも確認する。登録作業関連情報検証部６８は、これら検証が全て成立することを確認すると、ステップＳ１０４に移行して処理を継続し、検証が１つでも不成立であると、動作を強制終了する。

【0111】

また、内部センター２０は、ステップＳ１２３に示す異常ＩＤ検証の際、電子キーＩＤと車載器ＩＤの組み合わせ異常も確認する。即ち、電子キー車載器ＩＤ組み合わせ異常確認部７１は、電子キー車載器ＩＤ組み合わせ表７２を参照することにより、取得した電子キーＩＤ及び車載器ＩＤが正しい組み合わせをとるものかどうかを確認する。そして、ステップＳ１２３では、異常ＩＤ検証において両ＩＤの異常組み合わせがないことも確認すると、登録処理が継続される。

【0112】

本実施形態の構成によれば、第１の実施形態の（１）〜（６）に記載の効果に加え、以下の効果を得ることができる。
（７）秘密鍵１６の登録の実行条件に、登録ツールＩＤやサービスマンＩＤの認証成立を含ませたので、秘密鍵１６の不正登録を一層生じ難くすることができる。

【0113】

（８）秘密鍵１６の登録の際、登録ツールＩＤとサービスマンＩＤとの組み合わせを確認し、この組み合わせに異常がないことを条件に、秘密鍵１６の登録が許可される。このため、これらＩＤの組み合わせが不適当な際には、秘密鍵１６の登録が許可されないので、秘密鍵１６の不正登録を一層生じ難くすることができる。

【0114】

なお、実施形態はこれまでに述べた構成に限らず、以下の態様に変更してもよい。
・第１及び第２の実施形態において、内部センター２０と外部センター２００との間における通信は、広域無線通信網（例えばインターネット）に限らず、例えば専用の通信線を利用するといった種々の通信形式が採用可能である。

【0115】

・第１及び第２の実施形態において、内部センター２０は、メモリ２６に記憶される車載器センター鍵２２及び電子キーセンター鍵２３の数が、予定している車両１及び電子キー２の１週間分の製造数となるように、これら車載器センター鍵２２及び電子キーセンター鍵２３を外部センター２００から取得したが、取得数は、１週間分に限らない。すなわち、内部センター２０は、メモリ２６に記憶される車載器センター鍵２２及び電子キーセンター鍵２３の数が、予定している車両１及び電子キー２の製造数よりも多くなるように、外部センター２００から車載器センター鍵２２及び電子キーセンター鍵２３を取得するようにすればよい。このようにすれば、内部センター２０と外部センター２００との通信が不安定となった場合でも、メモリ２６に記憶されている車載器センター鍵２２及び電子キーセンター鍵２３を使用することで、車両１及び電子キー２に秘密鍵１６を登録することができるので、製造ラインを止める必要がない。

【0116】

・第１及び第２の実施形態において、登録ツール１９と内部センター２０とのネットワーク通信は、イントラネット通信等に限らず、種々の通信形式が採用可能である。また、通信周波数も適宜変更可能である。

【0117】

・第１及び第２の実施形態において、登録ツール１９と内部センター２０との通信は、車両１の通信装置３４を介したものとしてもよい。
・第１及び第２の実施形態において、ツールセンターｔｅｍｐ鍵５７や車載器センターｔｅｍｐ鍵５８を作成する際に用いる計算式は、必ずしもハッシュ関数に限らず、他の関数や暗号が使用可能である。

【0118】

・第１及び第２の実施形態において、秘密鍵登録システム１７が登録モードに入るときに実行する認証は、必ずしもチャレンジレスポンス認証の成立に限定されず、他の認証方式を採用してもよい。

【0119】

・第１及び第２の実施形態において、第１〜第３のチャレンジレスポンス認証は、それぞれ使用する鍵が異なることに限定されず、これらの間で同じ鍵を使用してもよい。
・第１及び第２の実施形態において、ステップＳ１２３で実行する認証は、必ずしもＭＡＣ認証に限らず、他の認証を採用してもよい。

【0120】

・第１及び第２の実施形態において、暗号文を生成するときに使用する暗号方式は、ＡＥＳ、ＤＥＳ等、種々の暗号形式を採用可能である。
・第１及び第２の実施形態において、システムが登録状態に入る際の条件は、必ずしも全員が全員の正否を確認できることに限定されず、例えば所定のものが他の所定のものの正否を確認できること、即ち任意の組み合わせで確認する形式を採用してもよい。

【0121】

・第１及び第２の実施形態において、電子キー登録コードＣｄｋは、暗号文のみにより構成されることに限らず、例えば車載器登録コードＣｃｒのように改竄検出符号を持つものでもよい。

【0122】

・第１及び第２の実施形態において、各登録コードＣｃｒ，Ｃｄｋは、必ずしも暗号文と改竄検出符号とからなるデータや、或いは暗号文のみからなるデータに限定されない。要は、登録コードＣｃｒ，Ｃｄｋは、暗号化（符号化）されるのであれば、その内容は特に問わない。

【0123】

・第１及び第２の実施形態において、制限鍵は、必ずしも車載器センターｔｅｍｐ鍵であることに限定されず、要は１度の登録時のみ有効な鍵であれば、その種類は特に問わない。

【0124】

・第１及び第２の実施形態において、登録モードに入る前に実行される通信相手認証は、必ずしもチャレンジレスポンス認証に限らず、これ以外の認証形式が採用可能である。
・第２の実施形態において、ＩＤ認証は、必ずしもツールＩＤとサービスマンＩＤの両方の正否を見ることに限らず、例えば一方のみを見る形式を採用してもよい。

【0125】

・第２の実施形態において、作業者に関連するＩＤは、必ずしも個々のサービスマンに割り当てられるサービスマンＩＤに限らず、作業者が区別できる情報であればよい。
・第１及び第２の実施形態において、車載器登録用鍵は、車載器センター鍵２２という名の通り、車両１と内部センター２０とに共有に登録される鍵であればよい。また、これは電キー登録用鍵も同様にいえる。

【0126】

・第１及び第２の実施形態において、書き込み器１８による書き込み動作は、必ずしも有線に限らず、無線により行ってもよい。また、この書き込み動作は、必ずしも製造ライン上で実行されることに限らず、実行時期はいつでもよい。なお、このことは、内部センター２０による登録コードＣｃｒ，Ｃｄｋの登録に関しても同様に言える。

【0127】

・第１及び第２の実施形態において、車載器センター鍵２２及び電子キーセンター鍵２３は、製造工場において生成され、それが、別途、外部センター２００に入手され、外部センター２００は、車載器センター鍵２２及び電子キーセンター鍵２３を保存したが、逆であってもよい。すなわち、外部センター２００が車載器センター鍵２２及び電子キーセンター鍵２３を生成し、当該生成した鍵を、製造工場に事前配布し、製造工場は、配布された鍵を電子キー２及び照合ＥＣＵ４に書き込む。このように構成した場合でも、上記実施形態と同様の効果を得ることができる。

【0128】

次に、上記各実施形態及び上記別例より想起される思想について追記する。
（イ）請求項８〜１０のうちいずれか一項に記載の電子キー登録方法において、前記登録モード後の各認証の際、通信相手のＩＤが異常ＩＤに含まれるものであれば、前記認証の成立を不可とすることを特徴とする電子キー登録方法。

【0129】

同構成によれば、初期認証鍵及び追加認証鍵の登録先である初期登録用及び追加登録用の電子キーや制御装置等のＩＤが異常ＩＤに含まれている場合には、認証が成立せず、初期認証鍵及び追加認証鍵の登録を行うことができない。よって、初期認証鍵及び追加認証鍵の不正登録を一層生じ難くすることが可能となる。なお、異常ＩＤとは、例えば盗難登録されたＩＤや既に登録済みのＩＤなど、認証成立として認めることができないＩＤのことをいう。

【0130】

（ロ）請求項８〜１０のうちいずれか一項，又は、上記（イ）に記載の電子キー登録方法において、前記初期認証鍵又は前記追加認証鍵の登録時において取得する各種ＩＤが、予め決められた組み合わせをとらない場合に、前記認証の成立を不可とすることを特徴とする電子キー登録方法。

【0131】

同構成によれば、ＩＤの組み合わせ異常がないことも登録実行の条件となるので、初期認証鍵又は追加認証鍵の不正登録を一層生じ難くすることが可能となる。

【符号の説明】

【0132】

１…車両、２…電子キー、３…電子キーシステム、４…照合ＥＣＵ、５…メインボディＥＣＵ、９…通信制御部、１０…ＣＰＵ、１１，１５…メモリ、１６…秘密鍵、１７…秘密鍵登録システム、１７ａ…初期登録用システム、１７ｂ…追加登録用システム、１８…書き込み器、１９…登録ツール、２０…内部センター、２２…車載器センター鍵、２３…電子キーセンター鍵、２４…車載器センター鍵書込部、２５…電子キーセンター鍵書込部、２８…センター側登録モード切換部、２９…センター側通信相手認証部、３１…乱数生成器、３２…暗号化処理部、３３…登録コード出力部、３５…車両側登録モード切換部、３６…車両側通信相手認証部、３８…車載器登録コード取得部、３９…車両側復号化処理部、４０…車両側登録コード判定部、４１…車両側秘密鍵登録部、４３…キー側登録モード切換部、４４…キー側通信相手認証部、４６…電子キー登録コード取得部、４７…キー側復号化処理部、４８…キー側登録コード判定部、４９…キー側秘密鍵登録部、５４…ツール側登録モード切換部、５５…ツール側通信相手認証部、５８…制限鍵としての車載器センターｔｅｍｐ鍵、６１…異常ＩＤデータベース、６８…登録作業関連情報検証部、６９…異常ツールＩＤデータベース、７０…ツールサービスマンＩＤ表、７１…電子キー車載器ＩＤ組み合わせ異常確認部、７３…電子キー車載器ＩＤ組み合わせ表、２００…外部センター、Ｃｃｒ…車載器登録コード、Ｃｄｋ…電子キー登録コード。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】