JP2007524149A - プログラム制御される機器の遠隔プログラミング - Google Patents

Abstract

プログラミング制御される機器（３）を遠隔プログラミングする方法および，プログラムデータと資格証明を受信するためのインターフェイス（４）と遠隔プログラミング可能な，プログラム制御される機器（３）を備えた配置が記載され，前記機器はプロセッサ（１２）とプログラムメモリ（８）を有している。方法において，プログラムデータがコントロール箇所（９）からインターフェイス（４）へ遠隔伝送されて，そこでバッファメモリ（７）に一時記憶される。次に，資格証明がコントロール箇所（９）からインターフェイス（４）へ，そしてそこから機器（３）へ伝送される。機器（３）は，資格証明を検査して，結果が肯定された場合に，バッファメモリ（７）からプログラムデータを引き継ぐ。
【選択図】図１

Description

本発明は，プログラム制御される機器を遠隔プログラミングする方法，並びに，プログラムデータおよび資格証明を受信するためのインターフェイスと遠隔プログラミング可能なプログラム制御される機器とを有する配置に関するものであって，その機器はプロセッサとプログラムメモリを有している。

最近の車両には，車両の種々の機能を開ループ制御および閉ループ制御するための電子制御ユニットが，ますます使用されるようになってきている。特に，車両エンジンの駆動は，この種の制御ユニットによって制御される。電子制御ユニットは，その機能を実施するために，コンピュータ情報処理（ＥＤＶ：Elektronische Datenverarbeitung）プログラムを必要とする。しばしばこのＥＤＶプログラムを後から変更しなければならない。すなわち，プログラムエラーが発見されるか，あるいはまた制御ユニットによって制御される装置の駆動パラメータのための予め定められた値が更新され，あるいはＥＤＶプログラムの機能が拡張または制限されるからである。この目的のために，制御ユニットはインターフェイスを有しているので，ＥＤＶプログラムの該当する修正を制御ユニットへ入力して，そこでプログラムメモリに格納することができる。しかしそのために，車両は，修理工場を訪れなければならず，そこでいわゆる修理工場テスターによって新しいプログラムデータが制御装置にインポートされる。プログラムは，通常，内密の性質のものであって，制御ユニットの動かし方のいかなる不当な操作も−たとえば義務および／または車両の駆動安全性の理由から−阻止されなければならにので，プログラムデータの伝送は，車両メーカーによって特殊化された暗号化メカニズムまたはキーを使用して行われる。秘密のキーは，メーカーによって修理工場テスターに格納され，制御ユニットの新プログラミングの前に，修理工場テスターによって制御ユニットに対して資格証明として使用される。その場合に制御ユニットは，直接的な操作に対して保護されているので，制御ユニットへの不当なアクセスによって，資格証明のためのその認識アルゴリズムに達して，そこから資格証明を導き出すことも不可能である。面倒で時間のかかる修理工場訪問を回避するために，制御ユニットを遠隔地からプログラミングすることができ，しかしその場合に操作信頼性における削減（低下）を甘受しなくても済むことが望ましい。

ＤＥ１０００１１３０Ａ１からは，車両のエンジンを制御する，遠隔プログラミング可能な制御ユニットを遠隔プログラミングする配置と方法が知られている。配置に属するのは，離れたコントロール箇所からワイヤレスのリモート接続を介してプログラムデータを受信するためのインターフェイスである。車両の制御ユニットへ伝送すべきプログラムデータは，インターフェイスにおいてバッファメモリに一時的に記憶されて，次に制御ユニットのプログラムメモリへ伝送される。プログラムデータのバッファは，ワイヤレスの遠隔接続がしばしば不安定なために，必要であって，ワイヤレスの遠隔接続においては，たとえばエラーのあるデータ伝送あるいは接続の中断のような障害がしばしば生じる可能性がある。プログラムデータが完全に受信された場合に初めて，それを制御ユニットのメモリへ入力することができる。というのは，制御ユニットのメモリへプログラムデータを入力するプロセスの間，車両の駆動は中断されているからである。プログラムデータが，一時記憶することなしに，直接制御ユニットのメモリへ入力される場合には，コントロール箇所からバッファメモリへプログラムデータを遠隔伝送するために必要とされる全時間長さの間，車両の駆動が中断されることになり，それが，遠隔操作における障害によって時には極端に長く続いてしまう。

しかしその場合に，制御ユニットが，バッファメモリから制御ユニットへ伝送されるプログラムデータを受け入れるために，制御ユニットへ伝送されなければならない資格証明に関して，問題が生じる。メーカーによっては，この資格証明を車両自体に永久に物理的に記憶させることは望まれない。というのは，それによってメーカーは資格証明の機密保持，また，資格証明の流布に関する管理を手放すことになるからである。

発明の利点

請求項１，２および１０に定義されるように，本発明によって，プログラム制御される機器のプログラム変更を，そのノーマル駆動のできる限り短い中断において可能にし，かつ資格証明の機密保持が保証される，プログラム制御される機器を遠隔プログラミングする方法とそのための配置が提供される。

請求項１に記載の本発明に基づく方法においては，秘密の資格証明が管理されずに流布されることは，コントロール箇所からインターフェイスへ遠隔伝送された資格証明がプログラムデータのようにインターフェイスによって一時記憶されず，遅滞なく機器へ伝送され，その機器において資格証明がその有効性について検査されることによって，阻止される。プログラムデータの場合のように，資格証明をインターフェイスまたは他の箇所に物理的に記憶することは，本方法の機能のためには，必要とされない。従って資格証明はインターフェイスと機器の間で，どんな時にも，資格証明への不当なアクセスが可能となるようには存在しない。

請求項２に示す本発明に基づく方法においては，資格証明はプログラムデータのようにインターフェイスにおいて一時記憶されるが，その有効性が時間的に制限されている。その場合に有効期間は，資格証明に不当にアクセスされた場合に，その資格証明によって機器の不当なプログラミングを実施できる以前に経過してしまうように，短く選択される。

特に好ましくは，資格証明および／またはプログラムデータは，遠隔接続を介してワイヤレスで伝送される。これが機器に，原理的に制限されない可動性を許す。ワイヤレス伝送の間にしばしば発生する障害の作用を最小限に抑えるために，本方法は，この種の障害が発生した場合に繰り返され，従ってプログラムデータのエラーのない伝送が保証されている。

インターフェイスから，プログラムデータおよび／または資格証明が，好ましくは配線された接続を介して機器へ伝送される。インターフェイスと機器の間の配線された接続は，特に，インターフェイスと機器がたとえば両者とも，たとえば車両またはロボットのような可動の装置内に配置されている場合に，有意義である。

プログラムデータをコントロール箇所からインターフェイスへ伝送する前に，第２のデータを機器のメモリ，たとえばプログラムメモリから読み出して，コントロール箇所へ伝送することが可能である。このようにして，コントロール箇所は，機器内に存在するデータの実際の状態について報告される。その場合に，第２のデータのこの実際の状態に基づいて，コントロール箇所はそれに応じて新しいプログラムデータをまとめることができる。たとえば，変更しないままにしておく駆動パラメータの値またはプログラム部分は，プログラムデータと共にコントロール箇所からインターフェイスへ伝送される必要はない。このようにして伝送すべきプログラムデータのデータ量が削減され，それがプログラムデータの遠隔伝送を促進し，かつそれによって遠隔伝送の障害の発生しやすさが減少する。コントロール箇所へ遠隔伝送する前に，第２のデータは，好ましくはインターフェイスにおいて一時記憶される。一時記憶は，伝送すべき第２のデータをまず，最も低い優先順位で，すなわち機器によって同時にそのノーマル駆動のために実施すべき課題を損なうことなしに，インターフェイスに集めて，その後それらを短時間で連続的に伝送することを許す。すなわち，ノーマル駆動を制御するための有効なプログラムが存在しないために，機器のノーマル駆動が中断されなければならない期間が，できる限り短く抑えられる。

プログラムデータがバッファメモリへ引き継がれた後に，遠隔プログラミングの成功を検査し，検査の結果が肯定された場合に初めて，プログラムデータによって制御される，機器の駆動を開始すると，効果的である。それによってエラーのあるプログラムデータは，早期に認識され，それが遠隔プログラミング可能な機器のエラーのある駆動をもたらす前に，補正することができる。

本発明に基づく配置における，遠隔プログラミング可能な，プログラム制御される機器のプログラムメモリは，たとえばＥＥＰＲＯＭまたはフラッシュメモリのような，電気的に上書き可能な任意の永久的なメモリタイプとすることができる。フラッシュメモリは，それぞれ完全に上書きすることしかできないので，プログラム変更する場合に記憶されているプログラムデータの一部を変更せずに残しておこうとし，従ってコントロール箇所からインターフェイスへ伝送されない，上記で考察した場合において，この種のメモリを使用する場合には，これらの部分はフラッシュメモリからインターフェイスのバッファへ伝送されて，次に新しいプログラムデータと共にフラッシュメモリへ書き戻される。

本発明に基づく配置においては，インターフェイスはワイヤレスの遠隔接続を介してコントロール箇所と接続可能である。ワイヤレスの遠隔接続は，たとえば，セルラーのモバイル無線接続とすることができる。その場合に遠隔プログラミング可能な機器は，インターフェイスにおいてコントロール箇所からプログラムデータと資格証明を受信し，その資格証明は，有効期限付きの資格証明とすることができる。インターフェイスは，資格証明を遅滞なく，かつ一時記憶なしでフラッシュメモリへさらに送るか，あるいは資格証明の有効性に期限がある場合には，その資格証明をプログラムデータのようにバッファメモリに一時記憶してから，資格証明をフラッシュメモリへさらに送る。このようにして，権限のない者が配置のどこかの箇所において，資格証明へアクセスすることができて，その資格証明によって後の時点でプログラムデータを操作できることが，防止される。

好ましくは，機器は，装置を制御する制御ユニットである。その場合に，装置は，たとえば自動車のエンジンまたは他の部分とすることができる。

特に好ましくは，配置は，車両内に配置される。

以下，図面を参照して，本発明を詳細に説明する。

図１は，遠隔プログラミング可能な機器１を概略的に図示しており，その機器は車両である。車両１は，エンジン２，制御ユニット３，インターフェイス４，アンテナ５，および，制御ユニット３とインターフェイス４の間のワイヤ接続６を有している。インターフェイス４は，バッファメモリ７を有しており，制御ユニット３はフラッシュメモリ８とプロセッサ１２を有している。アンテナ５を介して車両１は，コントロール箇所９とワイヤレスで接続可能である。コントロール箇所９は，大体において，コンピュータ１０とアンテナ１１を有している。コンピュータ１０は，たとえばパーソナルコンピュータのような固定の計算機であっても，あるいはとえばラップトップのような，モバイル機器であってもよい。

車両１の駆動中，そのエンジン２は制御ユニット３によって制御される。そのために，制御ユニット３のフラッシュメモリ８に，エンジン２を制御するためのＥＤＶプログラムと駆動パラメータのための予め定められた値とが格納されている。このＥＤＶプログラムと駆動パラメータは，時々修正されなければならない。これは，コントロール箇所９を介して行われる。そのためにアンテナ５，１１によって，車両１とコントロール箇所９との間にワイヤレスの接続が形成される。このワイヤレスの接続を介して，新しいプログラムデータがコントロール箇所９から車両１へ伝送されて，インターフェイス４のバッファメモリ７に一時的に記憶される。次に，コントロール箇所９が資格証明をインターフェイス４に伝送し，そして資格証明はそこから制御ユニット３へ伝送される。制御ユニット３のプロセッサ１２によって資格証明の検査が成功した後に，フラッシュメモリ８がバッファメモリ７内に一時的に記憶されているプログラムデータを受け取る。この短い時間の間，車両は駆動されていない。フラッシュメモリ８の遠隔プログラミングのために，２つの方法が効果的であって，以下でそれらをそれぞれフローチャートを用いて詳細に説明する。

図２は，第１の好ましい本発明に基づく方法のフローチャートを示している。まず，第１のステップ１３において，アンテナ５，１１を介してコントロール箇所９と車両１の間でワイヤレスの接続が形成される。接続の形成後に，ステップ１４においてフラッシュメモリ８からデータが読み出されて，接続６を介してバッファメモリ７へ伝送されて，そこで一時的に記憶される。次のステップ１５において，このデータがバッファメモリ７からインターフェイス４とアンテナ５，１１間のワイヤレスの接続とを介して車両からコントロール箇所９へ遠隔伝送される。データは，本来のプログラムデータの他に，プログラムデータから計算された１つまたは複数のチェックサムを有しており，ステップ１６において，そのチェックサムを用いて，この遠隔伝送の成功が，コントロール箇所９のコンピュータ１０によってチェックされる。

データの遠隔伝送の間に，遠隔伝送がたとえば中断され，あるいはエラーを含んで行われることによって，障害が発生している限りにおいて，ステップ１５と１６が繰り返される。遠隔伝送が成功した場合に，ステップ１７において，コントロール箇所９は，コンピュータ１０によって，得られたデータに基づいてフラッシュメモリ８内に新しくプログラミングすべきプログラムデータを形成する。特に，コンピュータ１０は，どの駆動データが変更されなければならないか，あるいはフラッシュメモリ８のＥＤＶプログラムが拡張されなければならないのか，補正されなければならないのか，を検査する。

新しいプログラムデータの形成後に，このプログラムデータとそれから計算されたチェックサムが，アンテナ５，１１間のワイヤレスの接続を介して，ステップ１８においてコントロール箇所９から車両１のインターフェイス４へ伝送される。そこでプログラムデータとチェックサムが，ステップ１９においてバッファメモリ７に一時的に記憶される。

ステップ２０において，インターフェイス４がチェックサムを用いて伝送されたデータのインテグリティをチェックする。インターフェイスが，プログラムデータ内のエラーを検出した場合には，新しい伝送を行わせるために，ステップ１８へ戻る。

バッファメモリ７内のプログラムデータがエラーなしと判定されると，ステップ２１においてコントロール箇所９がアンテナ５，１１のワイヤレス接続を介して資格証明をインターフェイス４へ伝送する。ステップ２２において，インターフェイス４から資格証明が遅滞なく，かつ一時記憶されずに，配線された接続６を介して制御ユニット３へ伝送される。資格証明を得た後に，制御ユニット３のプロセッサ１２は，ステップ２３において資格証明の有効性をチェックする。資格証明は，どの箇所においても，プロセッサ１２がその有効性を決定するのに必要な以上に長く記憶されない。それによって資格証明への不当なアクセスが阻止される。

ステップ２３において資格証明が有効でないことが証明された場合には，処理の中断（ステップ２４）へ至る。資格証明の有効性が確認された場合には，ステップ２５においてフラッシュメモリ８が，バッファ７に一時的に記憶されているプログラムデータを受け取る。

ステップ２６において，フラッシュメモリ８に記憶されている，更新されたプログラムを用いて，制御ユニット３と，それに伴って車両１のノーマル駆動が再び開始される。ステップ２７において，コントロール箇所９へのそれに応じたフィードバックが行われる。それに従ってステップ２８において，車両１とコントロール箇所９の間のワイヤレスの接続が打ち切られて，方法が終了される。

フラッシュメモリ８を遠隔プログラミングするための他の本発明に基づく方法が，図３のフローチャートに見られる。この方法は，上述した方法と同一のステップ１３から２１によって導入されるので，ここでは図３の処理ステップ１３から２１を説明するために，図２の処理ステップ１３から２１の該当する説明を参照するように指示することができる。ステップ２１においてコントロール箇所９からインターフェイス４へ資格証明を伝送した後に，図３に示す第２の方法は，次のステップ２９において第１の方法から離れて，ステップ２９において資格証明がバッファメモリ７に一時的に記憶されるようにする。すなわち，インターフェイス４は，プログラムデータと資格証明とを区別できる必要はない。従ってインターフェイスは，図２の場合よりも簡単に構成することができる。図２の方法とは異なり，図３の方法では，時間的に制限された有効性を有する資格証明が扱われる。これは，資格証明が制御ユニット３のプロセッサ１２によって，所定の予め定められたタイムインターバル内でのみ有効であると認知されることを意味している。この理由から，バッファメモリ７に資格証明を物理的に一時記憶させることも，操作に対する安全性を著しく損なうことはない。というのは，権限のない者が，資格証明を見出すことに成功した場合でも，彼が操作を試みた場合に，プロセッサ１２がその間の時間に期限が経過してしまった資格証明をもはや有効であると認知しないことで，失敗してしまうからである。

ステップ３０において，資格証明がインターフェイス４から制御ユニット３へ伝送されて，ステップ３１においてプロセッサユニット１２によってその有効性がチェックされる。すでに説明したように，この有効性チェックは，資格証明の時間的有効性に関するチェックも含んでいる。資格証明の有効性の判断がネガティブな結果になり，資格証明が無効であると分類された場合に，ステップ２４で処理の中断が行われる。資格証明が有効であると認知された場合には，ステップ２５から２８が続行され，それらのステップは図２のフローチャートのステップ２５から２８に相当し，ここでもその説明は，図２の説明を参照するよう指示される。

紹介した方法は，特に好ましい，本発明に基づく方法である。さらに，本発明理念を逸脱することなしに，方法のバリエーションも可能である。たとえば，図３に示す第２の方法において，資格証明を伝送するためのステップ２１を，プログラムデータを伝送するためのステップ１８から２０の前に実施することも可能であるので，次にすべての受信されたデータがその受信の順序においてインターフェイスによって機器に伝送される場合には，資格証明がまず到着して，プロセッサ１２によってチェックされることが可能である。

それぞれ機器によってデータを受け継ぐステップ２５とノーマル駆動を再開するステップ２６の間に，プログラムデータと共に機器へ伝送されるチェックサムのチェックがプロセッサ１２によって行われ，エラーが確認された場合にステップ２５が繰り返される場合には，付加的な安全確保を得ることができる。

また，インターフェイス４に専用の資格証明を対応づけることができ，その資格証明は機器の各新プログラミングの際にコントロール箇所の資格証明と同様に，機器が新プログラミングを許可する前に，機器へ伝送されなければならない。

遠隔プログラミング可能な機器を概略的に示している。 本発明に基づく第１の方法のフローチャートである。 本発明に基づく第２の方法のフローチャートである。

Claims (16)

1. プログラム制御される機器（３）を遠隔プログラミングする方法であって，次のステップを有する：
   （ａ）コントロール箇所（９）から遠隔接続を介して，前記機器（３）と接続されたインターフェイス（４）へプログラムデータを遠隔伝送し；
   （ｂ）前記プログラムデータを，前記インターフェイス（４）に一時的に記憶し；
   （ｃ）前記コントロール箇所（９）から前記インターフェイス（４）へ資格証明を遠隔伝送し；
   （ｄ）前記資格証明を一時的に記憶しないで前記機器（３）へさらに伝え；
   （ｅ）前記資格証明を前記機器（３）によって検査し；
   （ｆ）前記資格証明が肯定された場合に，前記プログラムデータを前記機器（３）のプログラムメモリ（８）へ入力する，
   プログラム制御される機器を遠隔プログラミングする方法。
2. プログラム制御される機器（３）を遠隔プログラミングする方法であって，次のステップを有する：
   （ａ）コントロール箇所（９）から遠隔接続を介して，前記機器（３）と接続されているインターフェイス（４）へプログラムデータを遠隔伝送し；
   （ｂ）前記プログラムデータを前記インターフェイス（４）に一時記憶し；
   （ｃ）前記コントロール箇所（９）から前記インターフェイス（４）へ資格証明を遠隔伝送し；
   （ｄ）前記資格証明を前記機器（３）へさらに伝え；
   （ｅ）前記資格証明を前記機器（３）によって検査し，その場合に検査が，前記資格証明の有効期間の検査を含んでおり；
   （ｆ）前記資格証明が肯定された場合に，前記プログラムデータを前記機器（３）のプログラムメモリ（８）へ入力する，
   プログラム制御される機器を遠隔プログラミングする方法。
3. 前記資格証明および／または前記プログラムデータが，遠隔接続を介してワイヤレスで伝送されることを特徴とする請求項１または２に記載の方法。
4. ワイヤレス伝送の障害が発生した場合に，前記方法が繰り返されることを特徴とする請求項３に記載の方法。
5. 前記プログラムデータおよび／または前記資格証明が，配線された接続（６）を介して前記インターフェイス（４）から前記機器（３）へ伝送されることを特徴とする請求項１から４のいずれか１項に記載の方法。
6. 前記プログラムデータを前記インターフェイス（４）へ伝送する前に，第２のデータが前記機器（３）のメモリ（８）から読み出されて，前記コントロール箇所（９）へ伝送されることを特徴とする請求項１から５のいずれか１項に記載の方法。
7. 前記第２のデータは，前記コントロール箇所（９）へ伝送される前に，前記インターフェイス（４）に一時的に記憶されることを特徴とする請求項６に記載の方法。
8. 前記コントロール箇所（９）が，前記第２のデータに基づいて前記プログラムデータを作成することを特徴とする請求項６または７のいずれか１項に記載の方法。
9. 前記プログラムデータがプログラムメモリ（８）へ引き継がれた後に，遠隔プログラミングの成功が検査され，検査の結果が肯定であった場合に，前記プログラムデータによって制御される，前記機器（３）の駆動が開始されることを特徴とする請求項１から８のいずれか１項に記載の方法。
10. プログラムデータと資格証明を受信するためのインターフェイス（４）と，遠隔プログラミング可能な，プログラム制御される機器（３）とを有し，前記機器がプロセッサ（１２）とプログラムメモリ（８）を有している，請求項１から９のいずれか１項に記載の方法を実施するための，配置において，
    前記インターフェイス（４）が，受信した前記プログラムデータを一時的に記憶し，受信した前記資格証明を前記機器（３）へさらに伝え，前記機器（３）による資格データの検査が肯定された後に，一時的に記憶されている前記プログラムデータを前記機器（３）へ伝送するように，形成されていることを特徴とする配置。
11. 前記プログラムメモリ（８）が，フラッシュメモリまたはＥＥＰＲＯＭであることを特徴とする請求項１０に記載の配置。
12. 前記インターフェイス（４）が，ワイヤレスの遠隔接続を介してコントロール箇所（９）と接続可能であることを特徴とする請求項１０または１１に記載の配置。
13. 前記インターフェイス（４）が，コントロール箇所（９）から前記資格証明を受信して，一時的に記憶せずに前記機器（３）へさらに伝えることを特徴とする請求項１０から１２のいずれか１項に記載の配置。
14. 前記機器（３）が，装置（２）を制御する制御ユニットであることを特徴とする請求項１０から１３のいずれか１項に記載の配置。
15. 前記装置（２）が，自動車，自動車の一部，または，エンジンのように自動車の一部として使用可能な装置であることを特徴とする請求項１４に記載の配置。
16. 請求項１０から１５のいずれか１項に記載の配置を有する自動車。
    

Images