JP2008052618A - 電子制御装置 - Google Patents

Abstract

【課題】不正書換えの有無を判断し、不正書換え経路の追跡を行えるようにし、不正書換えの防止を図ることができる電子制御装置を提供する。
【解決手段】外部接続される書換装置４０により制御情報を電気的に書換え可能な不揮発性メモリ１２を有する電子制御装置にあって、前記書換装置４０によって前記不揮発性メモリ１２の制御情報を書換える際、当該書換えの識別情報（固体識別情報Ａ、作業者識別情報Ｂ）を前記書換装置４０より取り込み、当該識別情報をログ情報として記憶する識別情報記憶用不揮発性メモリ１４を有する。
【選択図】図１

Description

本発明は、電気的にデータを書換え可能な不揮発性メモリを有する電子制御装置に係り、特に、不揮発性メモリに記憶された制御プログラムや制御データと云った制御情報の不正な書換えを追跡・防止する電子制御装置に関する。

従来より、自動車のエンジン等を制御する電子制御装置（以下、ＥＣＵと云う）には、フラッシュメモリ等、電気的にデータを書換え可能な不揮発性メモリに制御情報を格納したものがある。この種のＥＣＵは、市場への供給後でも、制御情報を書換えることができ、容易にアップデートできるメリットがある。

この種のＥＣＵは、通常時には、不揮発性メモリに格納された制御情報に従ってエンジン等の制御対象を制御するための制御処理を実行するが、別途用意された外部接続の書換装置が接続されて、その書換装置から書換指令が送信されて来ると、所定の通信処理を踏んだ後に、不揮発性メモリの内容を書換えるように構成されている。

不揮発性メモリの内容の書換えは、不揮発性メモリに格納されている制御情報の一部又は全部を消去し、その消去したメモリ領域に書換装置から送信されてくる制御情報を変更データとして書き込むことにより行われる。

このようなＥＣＵでは、不揮発性メモリに格納される制御情報を書換装置を用いて新たな情報に書換えることができ、制御内容を任意に変更することができるという点で有利である。特に、市場供給後に車両用制御情報を変更する必要が生じた場合にも迅速に対応できることになり、ＥＣＵのアップデートに関するメンテナンス性がよい。

しかし、その反面、利用者が快適性や興味などで、ＥＣＵ内の不揮発性メモリに格納されている制御情報を故意に不正に書換える可能性が否定できず、実際に、不正書換えを実施しためにＥＣＵが動作不良もしくは破損し、部品メーカへ返却されるケースが散見している。このようなことから、様々な不正書換え防止手段が提案されている。

ＥＣＵ内の不揮発性メモリの不正書換防止手段として、ＥＣＵは外部機器から送信される固体識別情報を受信し、ＥＣＵ内のＲＯＭに予め記憶されている識別情報と一致するかどう否かを判定し、一致すると、制御情報の書換えを実施するものが提案されている（例えば、特許文献１）。

また、書換え要求があった時点で定まる識別データから計時手段を用いて暗証コードを作成し、外部機器で同様に作成された暗証コードと一致するかどう否かを判定し、一致すると制御情報の書換えを実施するものが提案されている（例えば、特許文献２）。

特開平１１−１７５３３１号公報 特開２００４−５１０５６号公報

従来、様々な不正書換え防止策を講じて書換え時のセキュリティを向上させてきたが、市場での不正書き換えを防止できていなのが現状である。これは、書換装置の盗難や書換えに関する情報の漏洩など、制御情報の書換えに関する情報が利用者に流出し、それを追跡することができず、流出拡大や今後の流出防止のための対策を取り難いと云う問題がある。

本発明は、前記解決しようとする課題に鑑みてなされたものであって、その目的とするところは、不正書換えの有無を判断し、不正書換え経路の追跡を行えるようにし、不正書換えの防止を図ることができる電子制御装置を提供することにある。

前記目的を達成するために、本発明による電子制御装置は、外部接続される書換装置により制御情報を電気的に書換え可能な不揮発性メモリを有する電子制御装置にあって、前記書換装置によって前記不揮発性メモリの制御情報を書換える際、当該書換えの識別情報を前記書換装置より取り込み、当該識別情報をログ情報として記憶する識別情報記憶用不揮発性メモリを有する。

本発明による電子制御装置の前記識別情報は、好ましくは、前記書換装置に割り当てられている装置固有の固体識別情報、あるいは前記書換装置よって書換えを行う作業者を特定する書換作業者識別情報である。

本発明による電子制御装置は、好ましくは、前記書換装置より取り込んだ前記識別情報が、予め設定された書換えを許可された識別情報である場合にのみ書換えを許可して前記識別情報の書き込みを行い、許可された識別情報でない場合には書換えを禁止して前記識別情報の書き込みを行わない。

また、前記目的を達成するために、本発明による電子制御装置は、外部接続される書換装置により制御情報を電気的に書換え可能な不揮発性メモリを有する電子制御装置にあって、前記書換装置によって前記不揮発性メモリの制御情報を書換える際、当該書換えに使用する書換装置に割り当てられている装置固有の固体識別情報と当該書換えを行う作業者を特定する書換作業者識別情報を前記書換装置より取り込み、前記固体識別情報と前記書換作業者識別情報の双方を関連付けてログ情報として記憶する識別情報記憶用不揮発性メモリを有する。

本発明による電子制御装置は、好ましくは、前記書換装置より取り込んだ前記固体識別情報と前記書換作業者識別情報の双方が、予め設定された書換えを許可された識別情報である場合にのみ書換えを許可して前記識別情報の書き込みを行い、前記固体識別情報と前記書換作業者識別情報の少なくとも一方が許可された識別情報でない場合には書換えを禁止して前記識別情報の書き込みを行わない。

本発明による電子制御装置によれば、盗難や情報漏洩等により書換えに関する情報が流出し、正当な手段で不正な制御情報の書換えが行われた場合であっても、書換えを行っている書換装置及び書換作業者を特定する履歴（ログ情報）が残り、電子制御装置が市場より部品メーカへ返却された際に、不揮発性メモリ内に記憶された書換装置の識別情報、または書換作業者の情報、もしくはその両方を確認することができ、書換装置、書換作業者を特定することができる。

これにより、電子制御装置の返却理由が、不正書換えによるものかどうかの解析が可能となり、不正書換えと判断される場合、書換装置、書換作業者の識別情報から、書換え情報、書換え装置の流出経路の解明に役立てることができ、ついては不正書換え防止が可能となる。

本発明による電子制御装置の実施形態を、図面を参照して説明する。
図１は、本発明による電子制御装置の一つの実施形態を示している。電子制御装置（ＥＣＵ）１０は、マイクロコンピュータ式のものであり、ＣＰＵ１１、各種制御プログラムや制御データを格納する不揮発性メモリ１２、通信手段（通信インターフェイス装置）１３、識別情報記憶用不揮発性メモリ１４を有する。識別情報記憶用不揮発性メモリ１４は、ＥＣＵ１０内の不揮発性メモリ１２の書換処理で消去／書き換えを行わない領域の一部や、マイコン外部のＥＥＰ−ＲＯＭのような不揮発性メモリである。

ＥＣＵ１０は、自動車等の車両１００に搭載され、車両１００に用意された車両ダイアグコネクタ２０を介して書換装置４０をデータ通信可能に外部接続される。不揮発性メモリ１２は、このように外部接続された書換装置４０により、制御情報を電気的に書換え可能な不揮発性メモリである。

書換装置４０は、ＣＰＵ４１、書換情報メモリ４２、固体識別情報メモリ４３、通信手段（通信インターフェイス装置）４４を有し、書換作業者による操作に基づき、ＥＣＵ１０とデータ通信を行う。書換装置４０は、装置固有の識別情報として固体識別情報Ａを割り当てられており、固体識別情報Ａを固体識別情報メモリ４３に格納している。固体識別情報Ａは、例えば、書換装置４０に内蔵された通信手段４４のアドレス等の固体認識のユニークなデータであり、書換作業者には察知することができないデータである。

書換装置４０は、書換作業者識別情報Ｂの入力する書換作業者識別情報入力手段４５を備えている。書換作業者識別情報Ｂは、ＩＤカードのＩＤや暗証番号等、書換えを行う作業者を特定するデータであり、書換装置４０内のＣＰＵ４１で所定の処理を行った後に、データの特定を行うことによって、平易に察知することができないデータである。

書換装置４０は、書換装置４０の通信手段４４とＥＣＵ１０の通信手段１３とにより、所定の通信プロトコルのもとに、ＥＣＵ１０とデータ通信を行い、書換情報メモリ４２に書き込まれている書換情報をＥＣＵ１０に送信し、ＥＣＵ１０の不揮発性メモリ１２に書き込まれている制御情報の書換えを行う。

この不揮発性メモリ１２の制御情報書換えの際に、ＥＣＵ１０は、書換えに使用する書換装置４０の固体識別情報メモリ４３に格納されている固体識別情報Ａと、書換作業者識別情報入力手段４５より書換装置４０に入力された作業者識別情報Ｂを、書換装置４０より取り込み、書換装置４０より取り込んだ固体識別情報Ａと作業者識別情報Ｂの双方が、予めＥＣＵ１０に設定されている書換えを許可された識別情報であるか否かを判別する。

ＥＣＵ１０は、書換装置４０より取り込んだ固体識別情報Ａと作業者識別情報Ｂの双方が、予めＥＣＵ１０に設定された書換えを許可された識別情報である場合にのみ書換えを許可し、許可された識別情報でない場合には書換えを禁止する。これにより、広域な不正書換えのアクセスを排除できる。

そして、ＥＣＵ１０は、書換えを許可した場合には、書換装置４０より取り込んだ固体識別情報Ａと作業者識別情報Ｂの双方を関連付けて、改ざんできないログ情報として識別情報記憶用不揮発性メモリ１４に書き込み記憶する。

なお、書換えを禁止した場合には、書換装置４０より取り込んだ固体識別情報Ａと作業者識別情報Ｂを識別情報記憶用不揮発性メモリ１４に書き込まず、識別情報記憶用不揮発性メモリ１４には、書換え許可のもとに書換を実行した固体識別情報Ａと作業者識別情報Ｂのみが書き込まれる。これにより、識別情報記憶用不揮発性メモリ１４のメモリ容量を削減でき、ログ情報の解析作業性がよくなる。

識別情報記憶用不揮発性メモリ１４に書き込まれた書換装置４０の固体識別情報Ａと作業者識別情報Ｂは、部品メーカへ返却された際に、ログ情報として読み出すことができる。これにより、書換えを行った書換装置４０の識別情報、書換作業者の情報（履歴）を確認することができ、書換装置、書換作業者を特定することができる。

本実施形態のＥＣＵ１０による書換処理ルーチンを、図２に示されているフローチャートを参照して説明する。

まず、書換識別情報取得処理として、外部接続された書換装置４０より、固体識別情報Ａと作業者識別情報Ｂを取得する（ステップＳ１０１）。

つきに、取得した固体識別情報Ａと作業者識別情報Ｂの双方が、予めＥＣＵ１０に設定された書換えを許可された識別情報であるか否かを判別する（ステップＳ１０２）。

取得した固体識別情報Ａと作業者識別情報Ｂの何れか一つでもが、予めＥＣＵ１０に設定された書換えを許可された識別情報でない場合には（ステップＳ１０２否定）、直ちに当該書換処理ルーチンを終了し、書換えを禁止する。

取得した固体識別情報Ａと作業者識別情報Ｂの双方が、予めＥＣＵ１０に設定された書換えを許可された識別情報である場合には（ステップＳ１０２肯定）、不揮発性メモリ１２の書換処理を実行する（ステップＳ１０３）。

書換処理が終了すれば、取得した固体識別情報Ａと作業者識別情報Ｂを、関連付けて識別情報記憶用不揮発性メモリ１４に書き込む（ステップＳ１０４、ステップＳ１０５）。

識別情報記憶用不揮発性メモリ１４は、図３に示されているように、１からｍの登録番号によるデータフィールドを有し、各登録番号のデータフィールド毎に、固体識別情報Ａ（Ａａ、Ａｂ…）と、作業者識別情報Ｂ（Ｂａ、Ｂｂ…）を対にして記憶する。この識別情報の記憶は、１からｍまで書換えを実施する毎に行い、ｍを超えた時は、新たに１から記憶を行う事により、最後に書換えを実施した際から、過去ｍ回分の識別情報をログ情報として記憶する事ができる。

識別情報記憶用不揮発性メモリ１４に記憶された書換識別情報（固体識別情報Ａ、作業者識別情報Ｂ）は、部品メーカ等へ返却された際に、ＥＣＵ１０に接続されるデータ通信機器によってログ情報として読み出すことができ、書換えを行った書換装置４０の識別情報、書換作業者の情報（履歴）を確認することができる。

これにより、書換えを行った書換装置、書換作業者を特定することができ、これに基づいて返却理由が、不正書換えによるものかどうかの解析が可能となり、不正書換えと判断される場合、書換装置、書換作業者の識別情報から、書換え情報、書換え装置の流出経路の解明、追跡に役立てることができ、ついては不正書換え防止が可能となる。

また、上述した実施形態では、書換装置４０より取り込んだ固体識別情報Ａと作業者識別情報Ｂの双方が、予めＥＣＵ１０に設定された書換えを許可された識別情報である場合にのみ書換えを許可し、許可された識別情報でない場合には書換えを禁止するから、広域な不正書換えのアクセスを排除できる。書換えを禁止した場合には、書換装置４０より取り込んだ固体識別情報Ａと作業者識別情報Ｂが識別情報記憶用不揮発性メモリ１４に書き込まれず、識別情報記憶用不揮発性メモリ１４には、書換えを実行した固体識別情報Ａと作業者識別情報Ｂのみが書き込まれるから、識別情報記憶用不揮発性メモリ１４のメモリ容量を削減でき、ログ情報解析の作業性もよくなる。

なお、上述した実施形態では、固体識別情報Ａと作業者識別情報Ｂの双方を記憶して書換えを行った書換装置と書換作業者の双方を特定するが、本発明による電子制御装置は、これに限られることはなく、固体識別情報Ａと作業者識別情報Ｂのいずれか一方だけを記憶して特定するものであってもよく、要求されるセキュリティのレベルに応じて定められればよい。

本発明による電子制御装置の一つの実施形態を示すブロック図。 本発明による電子制御装置の書換処理ルーチンの一つの実施形態を示すフローチャート。 本発明による電子制御装置の識別情報の記録構成を示す図。

符号の説明

１０ 電子制御装置（ＥＣＵ）
１１ ＣＰＵ
１２ 不揮発性メモリ
１３ 通信手段
１４ 識別情報記憶用不揮発性メモリ
２０ 車両ダイアグコネクタ
４０ 書換装置
４１ ＣＰＵ
４２ 書換情報メモリ
４３ 固体識別情報メモリ
４４ 通信手段
４５ 書換作業者識別情報入力手段

Claims (6)

1. 外部接続される書換装置により制御情報を電気的に書換え可能な不揮発性メモリを有する電子制御装置にあって、
   前記書換装置によって前記不揮発性メモリの制御情報を書換える際、当該書換えの識別情報を前記書換装置より取り込み、当該識別情報をログ情報として記憶する識別情報記憶用不揮発性メモリを有することを特徴とする電子制御装置。
2. 前記識別情報は、前記書換装置に割り当てられている装置固有の固体識別情報であることを特徴とする請求項１に記載の電子制御装置。
3. 前記識別情報は、前記書換装置よって書換えを行う作業者を特定する書換作業者識別情報である請求項１に記載の電子制御装置。
4. 前記書換装置より取り込んだ前記識別情報が、予め設定された書換えを許可された識別情報である場合にのみ書換えを許可して前記識別情報の書き込みを行い、許可された識別情報でない場合には書換えを禁止して前記識別情報の書き込みを行わないことを特徴とする請求項１から３の何れか一項に記載の電子制御装置。
5. 外部接続される書換装置により制御情報を電気的に書換え可能な不揮発性メモリを有する電子制御装置にあって、
   前記書換装置によって前記不揮発性メモリの制御情報を書換える際、当該書換えに使用する書換装置に割り当てられている装置固有の固体識別情報と当該書換えを行う作業者を特定する書換作業者識別情報を前記書換装置より取り込み、前記固体識別情報と前記書換作業者識別情報の双方を関連付けてログ情報として記憶する識別情報記憶用不揮発性メモリを有することを特徴とする電子制御装置。
6. 前記書換装置より取り込んだ前記固体識別情報と前記書換作業者識別情報の双方が、予め設定された書換えを許可された識別情報である場合にのみ書換えを許可して前記識別情報の書き込みを行い、前記固体識別情報と前記書換作業者識別情報の少なくとも一方が許可された識別情報でない場合には書換えを禁止して前記識別情報の書き込みを行わないことを特徴とする請求項５に記載の電子制御装置。

Images