JP2001202129A

JP2001202129A - 車載制御ユニットの検査方法

Info

Publication number: JP2001202129A
Application number: JP2000012802A
Authority: JP
Inventors: Kiyonari Nakayama; 聖也中山; Kenji Kamiya; 健治神谷
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2000-01-21
Filing date: 2000-01-21
Publication date: 2001-07-27
Anticipated expiration: 2020-01-21
Also published as: JP4253979B2

Abstract

(57)【要約】【課題】車載制御ユニットを正しく検査し、ひいては不
正改造の防止を図る。【解決手段】第１及び第２ＥＣＵ１０，２０は多重通信
線Ｌ１を介して相互に通信可能に接続され、外部ツール
３０はシリアル通信線Ｌ２を介して各ＥＣＵ１０，２０
に接続されている。第１ＥＣＵ１０の正偽判定（検査）
に際し、外部ツール３０では先ず、サム値の算出指令を
含む送信データをシリアル通信線Ｌ２を介して各ＥＣＵ
１０，２０に送信する。第１ＥＣＵ１０では、サム値算
出指令を受けてフラッシュメモリ１３内のデータのサム
値を算出し、その後、そのサム値を多重通信線Ｌ１を介
して第２ＥＣＵ２０に送信する。第２ＥＣＵ２０では、
受信したサム値と真のサム値とを比較判定し、その判定
結果をシリアル通信線Ｌ２を介して外部ツール３０に送
信する。この判定結果により、第１ＥＣＵ１０が正規Ｅ
ＣＵか偽ＥＣＵかが判断される。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、車載制御ユニット
の検査方法に関するものである。

【０００２】

【従来の技術】この種の従来技術として、特開平１１−
１３２０９７号公報の「車両制御用メモリ書き換え装
置」がある。同公報の装置は、外部ツールにより電気的
に消去及び書き込み可能な制御メモリ（フラッシュメモ
リ）を搭載したＥＣＵ（車載制御ユニット）を備え、書
き換え許可された時にのみ前記制御メモリに対するデー
タ書き換えが実施される。また、この装置は、制御メモ
リが記憶するソフトウエア（制御プログラム）が正しい
ことを検査するものであり、その特徴として、・予め記憶しておいた制御メモリのサム値（真値）と、
ＥＣＵで算出したサム値とを共に表示し、それらを比較
することで正偽判定を行う。・上記サム値の比較は外部ツールの内部で行い、その結
果（正偽）のみを返信する。・イグニッションキースイッチのＯＦＦからＯＮへの切
換後にサム値の計算を行う。といった処理を実行する。

【０００３】

【発明が解決しようとする課題】上記公報の従来技術で
は、ＥＣＵで計算したサム値を外部ツールに対してその
まま送信する。そのため、ＥＣＵと外部ツールとの通信
データをモニタすることにより、ＥＣＵにより算出した
正しいサム値を容易に知り得ることができる。

【０００４】また、制御メモリのサム値は、ソフトウエ
アを書き換えなければ変化しないものであるため、外部
チェッカに対して正しいサム値を常に送信するような不
正なプログラムを不正改造者が作成し、それをＥＣＵに
組み込めば、正規のサム値算出アルゴリズムを知らなく
ても容易に正規ＥＣＵとしてなりすますことが可能とな
る。これは、ＥＣＵ側で正偽判定を行う構成でも同様で
ある。すなわち、モニタしたサム値を返答する偽プログ
ラムを不正改造者が作成することにより、不正改造され
た偽ＥＣＵであっても、外部ツールは正しいサム値（常
に同じ）が返答されたと認識し、正しいＥＣＵであると
判断してしまう。

【０００５】本発明は、上記問題に着目してなされたも
のであって、その目的とするところは、車載制御ユニッ
トを正しく検査し、ひいては不正改造の防止を図ること
ができる車載制御ユニットの検査方法を提供することで
ある。

【０００６】

【課題を解決するための手段】請求項１に記載の車載制
御ユニットの検査方法では、（１）サム値の算出指令を
外部ツールから第１の制御ユニットへ送信する第１のス
テップ、（２）第１の制御ユニット内のメモリのサム値
を算出し、該算出したサム値を第２の制御ユニットに送
信する第２のステップ、（３）第２の制御ユニットにお
いて受信したサム値を予め用意された真のサム値と比較
し、その比較判定の結果から第１の制御ユニットを検査
する第３のステップ、（４）前記検査結果を外部ツール
に送信する第４のステップ、といった各ステップを順に
実施する。それ故、仮に正規の制御ユニットが不正改造
され、メモリの正しいサム値を外部ツール側に返信でき
るような不正なプログラムが制御ユニットに組み込まれ
たとしても、第２の制御ユニットの改造又は置換を併せ
て実施しなければ、偽の制御ユニットが正規の制御ユニ
ットとしてなりすますことはできない。その結果、車載
制御ユニットを正しく検査し、ひいては不正改造の防止
を図ることができる。

【０００７】上記発明は特に、フラッシュメモリ等、電
気的に書き換え可能な不揮発性メモリにて第１の制御ユ
ニット内のメモリが構成される場合に有効である（請求
項２）。

【０００８】請求項３に記載の発明では、前記第２のス
テップにおいて、外部ツールが接続される通信線とは異
なる別の通信経路を用いて、第１の制御ユニットから第
２の制御ユニットへサム値を送信する。本発明によれ
ば、第１の制御ユニットから発信されるサム値の算出結
果が外部ツールで受信されることがないので、外部ツー
ル側で本来必要でないデータが受信され、それが原因で
処理が混乱するといった不都合が回避される。

【０００９】請求項４に記載の発明では、外部ツール
は、サム値算出指令の送信後、所定の応答待ち時間以内
に受信した受信データを無効とする。つまり、外部ツー
ルがサム値算出指令を送信すると、当該外部ツールは本
来、上記第２〜第４の各ステップが実施される処理時間
を経た後、サム値算出指令に応答するデータを受信す
る。こうした実状にも拘わらず、サム値算出指令の後、
直ぐに外部ツールがデータを受信した場合、制御ユニッ
トが不正改造された可能性が高い。それ故、規定に満た
ない時間で受信したデータを無効化すると共に、制御ユ
ニットが不正改造された旨を判断する。

【００１０】請求項５に記載の発明では、第２の制御ユ
ニットは、外部ツールがサム値算出指令を送信した後、
所定の制限時間以内に第１の制御ユニットからサム値が
送信されない場合、当該第１の制御ユニットが不正であ
る旨のコード情報を自身（第２の制御ユニット内）の不
揮発性メモリに書き込む。かかる場合にも、制御ユニッ
トが不正改造されたことが判定でき、更にその旨を不揮
発性メモリに格納することにより、後々の異常診断に役
立てることができる。なお、不揮発性メモリに書き込ま
れたコード情報は、外部ツールからの要求に従い第２の
制御ユニットから外部ツールに送信されれば良い。

【００１１】ところで、第２の制御ユニットにより第１
の制御ユニットを検査し、その結果を外部ツールに送信
する上記構成では、第１の制御ユニットが不正改造され
ていても、不正改造された当の制御ユニットが自身を正
規ＥＣＵであるとする偽データを送信すると、外部ツー
ルは不正改造された制御ユニットを正規なものと誤って
判断するおそれがある。

【００１２】そこで、請求項６に記載の発明では、第１
の制御ユニットが不正である旨が判定された状態で、第
１の制御ユニットから外部ツールへのデータ送信が行わ
れる場合、第２の制御ユニットは、第１の制御ユニット
と外部ツールとを結ぶ通信線にダミーデータを送出す
る。これにより、不正改造された制御ユニットから外部
ツールへ向けて偽データが送出したとしても、ダミーデ
ータで前記偽データが破壊（無効化）される。従って、
不正改造された制御ユニットを外部ツールが正規なもの
と判断するといった不都合が解消される。

【００１３】特に、請求項７に記載したように、第２の
制御ユニットは、データの送信ポートを論理ハイレベル
又はローレベルに保持することでダミーデータを送出す
ると良く、これにより簡易構成での実現が可能となる。

【００１４】

【発明の実施の形態】（第１の実施の形態）この発明を
具体化した本実施の形態では、エンジン制御等を司るＥ
ＣＵにて車載制御ユニットを構成しており、このＥＣＵ
に対して外部ツールを接続し、当該ＥＣＵの検査やデー
タの交換等を行うこととしている。以下、その詳細を図
面に従って説明する。

【００１５】図１は、制御システムの概略構成を示すブ
ロック図である。本システムでは、第１の制御ユニット
としての第１ＥＣＵ１０と、第２の制御ユニットとして
の第２ＥＣＵ２０とを備える。これら第１及び第２ＥＣ
Ｕ１０，２０は、多重通信線Ｌ１を介して相互に通信可
能に接続されている。第１ＥＣＵ１０は、燃料噴射制御
や点火時期制御等、エンジンの主要な制御を受け持つＥ
ＣＵであり、その内部のマイコン１１は、各種制御の中
枢をなすＣＰＵ１２、電気的に消去及び書き込み可能な
フラッシュメモリ１３、その他図示しないＲＡＭや入出
力回路等を備える。

【００１６】また、第２ＥＣＵ２０は、エアバッグ制御
やＡＢＳ制御等、補助的な制御を受け持つＥＣＵであ
り、その内部のマイコン２１は、各種制御の中枢をなす
ＣＰＵ２２、電源遮断時にも記憶内容を保持するＥＥＰ
ＲＯＭ２３、その他図示しないＲＡＭや入出力回路等を
備える。

【００１７】外部ツール３０も同様に、ＣＰＵ、メモ
リ、入出力回路等からなる周知のマイコン３１を備え
る。この外部ツール３０は、第１ＥＣＵ１０の正偽判定
等の検査や、同ＥＣＵ１０内のフラッシュメモリ１３の
データ書き換えに際し、シリアル通信線Ｌ２を介して第
１及び第２ＥＣＵ１０，２０に接続される。これによ
り、第１及び第２ＥＣＵ１０，２０と外部ツール３０と
の間でシリアル通信によるデータのやり取りが行われ
る。

【００１８】第１ＥＣＵ１０の正偽判定（検査）の概要
を、図２を用いて説明する。かかる場合、フラッシュメ
モリ１３内のデータのサム値と既知の正しいサム値とが
比較され、両者が一致すれば、第１ＥＣＵ１０が正規な
ものであると判断される。なお図２では、処理順序を表
すため、（１）〜（５）の連続番号を付している。

【００１９】先ず始めに、サム値の算出指令を含む送信
データをシリアル通信線Ｌ２を介して外部ツール３０か
ら各ＥＣＵ１０，２０に送信する（図の（１））。第１
ＥＣＵ１０側では、サム値算出指令を受けてフラッシュ
メモリ１３内のデータのサム値Ｘｓｕｍを算出し（図の
（２））、その後、そのサム値Ｘｓｕｍを多重通信線Ｌ
１を介して、すなわち外部ツール３０が接続されるシリ
アル通信線Ｌ２とは異なる別の通信経路を介して、第２
ＥＣＵ２０に送信する（図の（３））。

【００２０】第２ＥＣＵ２０では、受信したサム値Ｘｓ
ｕｍと、予め登録されている真のサム値Ｘｒｅｆとを比
較判定し、その判定結果をシリアル通信線Ｌ２を介して
外部ツール３０に送信する（図の（４），（５））。ま
た、この第２ＥＣＵ２０では、サム値不一致の場合に第
１ＥＣＵ１０が不正改造されたことを意味するダイアグ
コードを記憶する。

【００２１】そして、前記判定結果がサム値の一致（Ｘ
ｓｕｍ＝Ｘｒｅｆ）を表すものであれば、外部ツール３
０において第１ＥＣＵ１０が正規ＥＣＵであると判断
し、前記判定結果がサム値の不一致（Ｘｓｕｍ≠Ｘｒｅ
ｆ）を表すものであれば、外部ツール３０において第１
ＥＣＵ１０が偽ＥＣＵであると判断する。

【００２２】以下には、外部ツール３０による第１ＥＣ
Ｕ１０の正偽判定に際し、各ＥＣＵ１０，２０及び外部
ツール３０内の各マイコン１１，２１，３１により実施
される処理の流れを図３及び図４のフローチャートに従
い説明する。始めに、外部ツール３０の処理の流れを図
３のフローチャートで説明する。

【００２３】例えば修理工場等において作業者が外部ツ
ール３０を操作することで図３の処理がスタートし、先
ずステップ１０１では、コマンド送信処理によりサム値
算出指令を各ＥＣＵ１０，２０に送信する。また、ステ
ップ１０２ではタイマセットを行う。このステップ１０
１，１０２が通信前処理に相当する。

【００２４】その後、この外部ツール３０では、コマン
ド送信に対する第２ＥＣＵ２０からの受信確認を行う。
すなわち、タイムアウトしていないことを条件に（ステ
ップ１０３がＮＯ）、ステップ１０４では、前記ステッ
プ１０１のコマンド送信に対する応答を第２ＥＣＵ２０
から受信したか否かを判別する。

【００２５】応答が無いままタイムアウトした場合（ス
テップ１０３がＹＥＳ）、そのままステップ１０７に進
む。ステップ１０７では、通信異常に関するダイアグコ
ードを取り出し、その後、ＥＣＵ異常の旨を判断する。
なお、ステップ１０３がＹＥＳの場合、ステップ１０１
に戻り、コマンド送信を再度実施しても良い。この場
合、コマンド再送信の回数を予め制限しておき、例えば
タイムアウトが３回繰り返されると、通信異常であると
判断してステップ１０７に進む構成としても良い。

【００２６】コマンド送信に対する応答を第２ＥＣＵ２
０から受信すると、ステップ１０５に進み、その受信デ
ータ内に含まれるサム値の判定結果を取り出す。そし
て、その判定結果がサム値一致に該当するものであれ
ば、ステップ１０６を肯定判別し、ＥＣＵ正常である旨
を判断する。また、前記判定結果がサム値不一致に該当
するものであれば、ステップ１０６を否定判別し、ステ
ップ１０７でダイアグコードを取り出し、その後、ＥＣ
Ｕ異常の旨を判断する。

【００２７】次に、第１及び第２ＥＣＵ１０，２０の処
理の流れを図４のフローチャートに従い説明する。ここ
で、図４（ａ）は第１ＥＣＵ側１０の処理を示し、図４
（ｂ）は第２ＥＣＵ２０側の処理を示す。先ず、図４
（ａ）に従い、第１ＥＣＵ１０側の処理の流れを説明す
る。

【００２８】第１ＥＣＵ１０内のマイコン１１は、先ず
ステップ２０１において、外部ツール３０よりコマンド
を受信したか否かを判別し、ＹＥＳであればステップ２
０２に進み、算出式Ｘｓｕｍ＝ΣＤａｔａ（ｉ）により、サム値Ｘｓｕｍを算出する。すなわち、フラッ
シュメモリ１３内の規定されたアドレス領域についてア
ドレスｉのデータを全て加算し、その和をサム値Ｘｓｕ
ｍとする。その後、ステップ２０３では、前記算出した
サム値Ｘｓｕｍを多重通信線Ｌ１を介して第２ＥＣＵ２
０に送信し、本処理を一旦終了する。

【００２９】一方、第２ＥＣＵ２０内のマイコン２１
は、図４（ｂ）のステップ３０１において、第１ＥＣＵ
１０よりサム値Ｘｓｕｍを含むデータを受信したか否か
を判別し、ＹＥＳであればステップ３０２に進み、受信
データからサム値Ｘｓｕｍ（生データ）を取り出す。

【００３０】その後、ステップ３０３では、予め登録さ
れている真のサム値Ｘｒｅｆを取り出し、続くステップ
３０４では、サム値Ｘｓｕｍ（生データ）と真のサム値
Ｘｒｅｆとを比較する。

【００３１】両サム値が一致すれば、そのままステップ
３０６に進み、サム値の比較結果をシリアル通信線Ｌ２
を介して外部ツール３０に対して送信する。この場合、
前記図３の処理では、ＥＣＵ正常である旨が判断され
る。

【００３２】また、両サム値が不一致であれば、ステッ
プ３０５で第１ＥＣＵ１０が不正改造されたことを意味
するダイアグコードをＥＥＰＲＯＭ２３に登録した後、
ステップ３０６でサム値の比較結果をシリアル通信線Ｌ
２を介して外部ツール３０に対して送信する。この場
合、外部ツール３０による前記図３の処理では、ＥＥＰ
ＲＯＭ２３に登録したダイアグコードが取り出されると
共に、ＥＣＵ異常である旨が判断される。

【００３３】なお本実施の形態では、図３のステップ１
０１の処理が本発明の「第１のステップ」に、図４
（ａ）のステップ２０２，２０３の処理が「第２のステ
ップ」に、図４（ｂ）のステップ３０４の処理が「第３
のステップ」に、図４（ｂ）のステップ３０６の処理が
「第４のステップ」に、それぞれ該当する。

【００３４】以上詳述した本実施の形態によれば、以下
に示す効果が得られる。つまり、上記ＥＣＵの検査方法
によれば、仮に第１ＥＣＵ１０（正規のＥＣＵ）が不正
改造され、フラッシュメモリ１３の正しいサム値（算出
したサム値Ｘｓｕｍ）を外部ツール３０側に返信できる
ような不正なプログラムがＥＣＵに組み込まれたとして
も、第２ＥＣＵ２０の改造又は置換を併せて実施しなけ
れば、偽のＥＣＵが正規のＥＣＵとしてなりすますこと
ができない。その結果、第１ＥＣＵ１０を正しく検査
し、ひいては不正改造の防止を図ることができる。

【００３５】また、外部ツール３０が接続されるシリア
ル通信線Ｌ２とは異なる別の通信経路（多重通信線Ｌ
１）を用いて、第１ＥＣＵ１０から第２ＥＣＵ２０へサ
ム値Ｘｓｕｍを送信するので、サム値Ｘｓｕｍが外部ツ
ール３０で受信されることはない。それ故、外部ツール
３０側で本来必要でないデータが受信され、それが原因
で処理が混乱するといった不都合が回避される。

【００３６】（第２の実施の形態）次に、本発明におけ
る第２の実施の形態を説明する。但し、本実施の形態で
は、上述した第１の実施の形態と同等であるものは説明
を簡略化し、第１の実施の形態との相違点を中心に説明
する。

【００３７】上記第１の実施の形態では、第２ＥＣＵ２
０でサム値の比較判定が行われ、その判定結果のみがシ
リアル通信線Ｌ２を介して外部ツール３０に送信される
ため、この第２ＥＣＵ２０の代わりに正規ＥＣＵである
との偽データをシリアル通信線Ｌ２に流すことで、偽の
ＥＣＵが正規ＥＣＵになりすますことが考えられる。す
なわち、図５に示すように、第１ＥＣＵ１０（正規ＥＣ
Ｕ）の代わりに偽ＥＣＵ４０が組み込まれた場合、偽Ｅ
ＣＵ４０自身が「正規ＥＣＵ」である旨の偽データをシ
リアル通信線Ｌ２を介して外部ツール３０に送信する
と、外部ツール３０は偽ＥＣＵ４０が正規なものである
と誤判定するおそれがある。

【００３８】そこで、その対策として本実施の形態で
は、第１ＥＣＵ１０が不正である旨が判定された場合
に、第２ＥＣＵ２０よりシリアル通信線Ｌ２にダミーデ
ータを送出し、偽ＥＣＵが「正規ＥＣＵ」である旨の偽
データが通信されることを妨害する。以下、第２ＥＣＵ
２０並びに外部ツール３０による監視機能について、詳
しく説明する。

【００３９】本実施の形態において、外部ツール３０
は、前記図３の処理に代えて図６の処理を実施し、第２
ＥＣＵ２０は、前記図４（ｂ）の処理に代えて図７の処
理を実施する。但し、各図において変更の無い処理は同
じステップ数を付すと共に、重複する説明を簡素化す
る。なお、第１ＥＣＵ１０の処理は前記図４（ａ）をそ
のまま流用するため、図示及び説明は省略する。

【００４０】図６において、外部ツール３０は、ステッ
プ１０１，１０２で通信前処理を行い、その後、ステッ
プ１０３，１０４で第２ＥＣＵ２０からの受信確認を行
う。このとき、タイムアウトしておらず且つ、コマンド
送信に対する応答を第２ＥＣＵ２０から正常に受信する
と、ステップ４０１に進む。

【００４１】ステップ４０１では、コマンド送信（サム
値算出指令）から所定の応答待ち時間Ｔ１が経過したか
否かを判別する。この応答待ち時間Ｔ１は、コマンド送
信の後、各ＥＣＵ１０，２０で行われる処理の所要時間
を考慮して設定される時間であり、本来は応答データを
受信する筈のない時間である。但し、このＴ１は勿論、
受信タイムアウトを判定する時間よりも短い時間であ
る。

【００４２】データを正常に受信した時に所定の応答待
ち時間Ｔ１が経過していれば、第２ＥＣＵ２０からの受
信データが正規データであるとみなし、後続のステップ
１０５に進む。そして、受信データ内に含まれるサム値
の判定結果により、第１ＥＣＵ１０が正常か異常かを判
断する（ステップ１０５〜１０７）。

【００４３】また、応答待ち時間Ｔ１前にデータ受信し
た場合は、受信データが偽データであるとみなして当該
データを無効とする。そして、直ぐにステップ１０７に
進み、ダイアグコードの取り出し、第１ＥＣＵ１０の異
常判定を行う。

【００４４】つまり、サム値算出指令の後、応答待ち時
間Ｔ１を待たずに直ぐに外部ツール３０がデータを受信
した場合、第１ＥＣＵ１０が不正改造された可能性が高
いと言える。それ故、規定に満たない時間で受信したデ
ータを無効化する。

【００４５】一方、図７において、第２ＥＣＵ２０は、
外部ツール３０からのコマンド受信の旨を判別すると、
ステップ５０１からステップ５０２に進み、タイマセッ
トを行う。

【００４６】その後、コマンド受信からの経過時間が所
定の制限時間Ｔ２以内であることを条件に（ステップ５
０３がＮＯ）、ステップ５０４では、外部ツール３０か
らのコマンド送信（サム値算出指令）に応答して第１Ｅ
ＣＵ１０からサム値を受信したか否かを判別する。

【００４７】こうした受信確認の処理において、第１Ｅ
ＣＵ１０からサム値を受信できないまま、コマンド受信
からの経過時間が制限時間Ｔ２を超える場合（ステップ
５０３がＹＥＳ）、ステップ５０８に進み、異常ダイア
グコードをＥＥＰＲＯＭ２３に登録する。すなわちこの
場合、第１ＥＣＵ１０が偽ＥＣＵであるとみなし、不正
改造が行われたことを意味するダイアグコードを第２Ｅ
ＣＵ２０内のＥＥＰＲＯＭ２３に書き込む。

【００４８】また、制限時間Ｔ２以内にサム値を受信す
ると、後続のステップ５０５に進む。ステップ５０５〜
５０７では、受信データに含まれるサム値Ｘｓｕｍと、
登録済みの真のサム値Ｘｒｅｆとを取り出すと共に、そ
れら両サム値を比較する。そして、両サム値が一致すれ
ば、ステップ５１１に進み、サム値の比較結果（この場
合は正常判定の結果）を外部ツール３０に対して送信す
る。

【００４９】また、両サム値が不一致であれば、ステッ
プ５０８で異常ダイアグコードをＥＥＰＲＯＭ２３に登
録した後、ステップ５０９に進む。ステップ５０９で
は、所定の受信有効時間Ｔ３（ステップ５１０がＹＥＳ
の期間）内においてＥＣＵ異常時における通信線モニタ
処理を実施する。なお、受信有効時間Ｔ３とは、外部ツ
ール３０が受信データを有効とする時間であって、シリ
アル通信線Ｌ２上の偽データを、外部ツール３０が正規
データとしてとり違える可能性がある時間帯に該当す
る。

【００５０】通信線モニタ処理に際し、第２ＥＣＵ２０
は図８の処理を実施する。すなわち、シリアル通信線Ｌ
２をモニタし、第１ＥＣＵ１０から外部ツール３０に対
して送信されるコマンドがあるかどうかを判別する（ス
テップ６０１）。そして、コマンド送信が確認される
と、シリアル通信線Ｌ２上のコマンドを無効化すべく、
送信ポートＴｘからダミーデータを出力する（ステップ
６０２）。なお、簡易構成を実現する上では、送信ポー
トＴｘを論理ハイレベル又はローレベルに保持すること
でダミーデータを送出すると良い。

【００５１】通信線モニタ処理をＴ３期間内で継続した
後、ステップ５１１では、サム値の比較結果（この場合
は異常判定の結果）を外部ツール３０に対して送信し、
その後本処理を一旦終了する。

【００５２】ここで、通信線モニタ処理について、図９
のタイムチャートを参照してより具体的に説明する。つ
まり、第１ＥＣＵ１０が偽ＥＣＵに置換され、その偽Ｅ
ＣＵの送信ポートＴｘから図示のような偽データが送信
される場合、第２ＥＣＵ２０は、自身の送信ポートＴｘ
を論理ローレベルに保持する。この場合、外部ツール３
０では、シリアル通信線Ｌ２を介して受信されるデータ
に関し、ストップビットを検出できないことからエラー
発生であると判定され、結果的に受信データが無効化さ
れることとなる。これにより、偽ＥＣＵが正規ＥＣＵで
あるようになりすますことが防止できる。

【００５３】なお本実施の形態では、上記第１の実施の
形態との違いとして、図７のステップ５０７の処理が
「第３のステップ」に、図７のステップ５１１の処理が
「第４のステップ」に、それぞれ該当する。

【００５４】以上第２の実施の形態によれば、上記第１
の実施の形態における効果に加え、以下の特徴的な効果
を奏する。（イ）外部ツール３０は、サム値算出指令の送信後、所
定の応答待ち時間Ｔ１以内に受信した受信データを無効
とするでで、第１ＥＣＵ１０が不正改造された旨が好適
に判断できる。

【００５５】（ロ）サム値算出指令の後、所定の制限時
間Ｔ２以内に第１ＥＣＵ１０からサム値が送信されない
場合、第２ＥＣＵ２０は第１ＥＣＵ１０が不正改造され
たとみなし、その旨のダイアグコードをＥＥＰＲＯＭ２
３に書き込むので、異常判定の履歴が記憶保持できる。
また、外部ツール３０からの要求に応じてダイアグコー
ドを取り出すことにより、後々の異常診断に役立てるこ
とができる。

【００５６】（ハ）第１ＥＣＵ１０が不正改造された旨
が判定された状態で、第１ＥＣＵ１０から外部ツール３
０へのデータ送信が行われる場合、第２ＥＣＵ２０はシ
リアル通信線Ｌ２にダミーデータを送出するので、不正
改造されたＥＣＵから外部ツール３０へ向けて偽データ
が送出したとしても、ダミーデータで前記偽データが破
壊（無効化）される。従って、不正改造されたＥＣＵを
外部ツール３０が正規なものと誤って判断するといった
不都合が解消される。

【００５７】なお本発明は、上記以外に次の形態にて具
体化できる。上記各実施の形態では、第１の制御ユニッ
トとして、燃料噴射制御や点火時期制御等、エンジンの
主要な制御を受け持つ第１ＥＣＵ１０を設け、第２の制
御ユニットとして、エアバッグ制御やＡＢＳ制御等、補
助的な制御を受け持つ第２ＥＣＵ２０を設けたが、その
構成は任意で良い。要は、少なくとも２つのＥＣＵ（制
御ユニット）を備え、検査対象ではない方のＥＣＵによ
りサム値の比較判定を行う構成であれば良い。

【００５８】上記各実施の形態では、第１及び第２ＥＣ
Ｕ１０，２０を多重通信線Ｌ１で接続すると共に、外部
ツール３０と各ＥＣＵ１０，２０とをシリアル通信線Ｌ
２で接続したが、この通信システムの構成を適宜変更し
ても良い。要は、サム値算出指令及びサム値比較結果が
外部ツール３０で送受信される通信経路と、サム値の算
出結果が送信される通信経路とが別々に設けられる構成
であればよい。

【図面の簡単な説明】

【図１】発明の実施の形態における制御システムの概略
構成を示すブロック図。

【図２】ＥＣＵの正偽判定の様子を示す説明図。

【図３】外部ツールの処理の流れを示すフローチャー
ト。

【図４】第１ＥＣＵ及び第２ＥＣＵの処理の流れを示す
フローチャート。

【図５】第２の実施の形態の説明のための概略図。

【図６】第２の実施の形態において外部ツールの処理の
流れを示すフローチャート。

【図７】第２の実施の形態において第２ＥＣＵの処理の
流れを示すフローチャート。

【図８】通信線モニタ処理を示すフローチャート。

【図９】通信線モニタ処理の動作を説明するためのタイ
ムチャート。

【符号の説明】

１０…第１の制御ユニットとしての第１ＥＣＵ、１１…
マイコン、１２…ＣＰＵ、１３…フラッシュメモリ、２
０…第２の制御ユニットとしての第２ＥＣＵ、２１…マ
イコン、２２…ＣＰＵ、２３…ＥＥＰＲＯＭ、３０…外
部ツール、Ｌ１…多重通信線、Ｌ２…シリアル通信線。

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁷ 識別記号ＦＩテーマコート゛(参考）Ｂ６０Ｓ 5/00 Ｂ６０Ｓ 5/00 ９Ａ００１Ｆターム(参考） 3D026 BA22 BA28 3G084 BA00 DA32 EB06 EB22 5B001 AA14 AB01 AC01 AD03 AE01 5B018 GA03 GA06 GA10 HA13 HA31 JA26 KA12 NA06 RA11 RA12 5H223 AA10 CC08 DD03 EE11 EE19 9A001 BB03 HZ34 JJ77 LL06

Claims

【特許請求の範囲】

【請求項１】チェックサムの対象となるメモリを備える
第１の制御ユニットと、それとは別の第２の制御ユニッ
トとを備え、前記第１の制御ユニットのメモリについて
データのサム値を求め、該サム値により当該第１の制御
ユニットを検査する車載制御ユニットの検査方法におい
て、サム値の算出指令を外部ツールから第１の制御ユニット
へ送信する第１のステップと、第１の制御ユニット内のメモリのサム値を算出し、該算
出したサム値を第２の制御ユニットに送信する第２のス
テップと、第２の制御ユニットにおいて受信したサム値を予め用意
された真のサム値と比較し、その比較判定の結果から第
１の制御ユニットを検査する第３のステップと、前記検査結果を外部ツールに送信する第４のステップ
と、からなることを特徴とする車載制御ユニットの検査方
法。
【請求項２】第１の制御ユニット内のメモリは、電気的
に書き換え可能な不揮発性メモリである請求項１に記載
の車載制御ユニットの検査方法。
【請求項３】前記第２のステップでは、外部ツールが接
続される通信線とは異なる別の通信経路を用いて、第１
の制御ユニットから第２の制御ユニットへサム値を送信
する請求項１又は２に記載の車載制御ユニットの検査方
法。
【請求項４】外部ツールは、サム値算出指令の送信後、
所定の応答待ち時間以内に受信した受信データを無効と
する請求項１〜３の何れかに記載の車載制御ユニットの
検査方法。
【請求項５】第２の制御ユニットは、外部ツールがサム
値算出指令を送信した後、所定の制限時間以内に第１の
制御ユニットからサム値が送信されない場合、当該第１
の制御ユニットが不正である旨のコード情報を自身の不
揮発性メモリに書き込む請求項１〜３の何れかに記載の
車載制御ユニットの検査方法。
【請求項６】第１の制御ユニットが不正である旨が判定
された状態で、第１の制御ユニットから外部ツールへの
データ送信が行われる場合、第２の制御ユニットは、第
１の制御ユニットと外部ツールとを結ぶ通信線にダミー
データを送出する請求項１〜３の何れかに記載の車載制
御ユニットの検査方法。
【請求項７】請求項６に記載の車載制御ユニットの検査
方法において、第２の制御ユニットは、データの送信ポートを論理ハイ
レベル又はローレベルに保持することでダミーデータを
送出する車載制御ユニットの検査方法。