JP2008276749A - プログラミング可能なデータ処理装置用の保護ユニット - Google Patents

Abstract

【課題】自動車，航空機，船舶等の制御装置のようなプログラミング可能なデータ処理装置の信頼性及び安全な動作を保証できるようにする。
【解決手段】データ処理装置は、少なくとも１つの動作メモリ（ＢＳ）を有し、このデータ処理装置を動作するため、動作データ（ＢＤ）が、この動作メモリ内に記憶され得るか又は記憶されている。保護ユニット（ＰＵ）は、無許可のアクセスから保護された実行環境内に少なくとも１つの監視論理部（ＵｅＬ）及び少なくとも１つの保護論理部（ＳＬ）を有する。動作メモリ内に記憶された動作データの無許可の変更，アクセス又は類似の保護違反を監視するため、監視論理部（ＵｅＬ）は、動作メモリにアクセスし、任意の保護違反の場合に保護論理部（ＳＬ）に通知する。保護違反の場合のデータ処理装置の動作つまり代替動作に対して、保護論理部は、置換データを出力する。
【選択図】図１

Description

本発明は、（プログラミング可能な）データ処理装置用の保護ユニットに関する。このデータ処理装置は、少なくとも１つの動作メモリを有する。このデータ処理装置を動作するため、動作データが、この動作メモリ内に記憶され得るか又は記憶されている。プログラミング可能なデータ処理装置は、自動車，航空機，船舶，組立ラインの機械又は遠隔管理される工場内の特に制御ユニット又は制御装置を意味する。プログラミング可能な制御装置のようなこれらのデータ処理装置は、現在では最新の車両内に多くかつ多様に組み込まれている。特に「インフォテインメント」つまり交通探知システムの分野が益々より重要になりつつあるので、これらのデータ処理装置は、これらのデータ処理装置の環境に対して益々相互リンクされる。

コンピュータネットワーク、例えばインターネットに接続されているパーソナルコンピュータのようなデータ処理装置をアンチウィルスソフトウェア又はその他のプログラムによってウィルス又は攻撃から保護することが一般に知られている。このような進展は、例えば自動車内のデータ処理装置の信頼性又は安全性に関しては全く影響を及ぼしていない。
米国特許第6 571 191号明細書 ヨーロッパ特許出願公開第1 441 264号明細書 国際特許出願公開第2004/109411号明細書 ヨーロッパ特許出願公開第1 521 148号明細書 ドイツ連邦共和国特許出願公開第102 05 809号明細書

それ故に本発明の課題は、データ処理装置の信頼できかつ安全な動作を保証する、自動車の制御装置のような（プログラミング可能な）データ処理装置用の（プログラミング可能な）保護ユニットを提供することにある。

この課題を達成するため、本発明は、自動車等の制御装置のような（プログラミング可能な）データ処理装置用の保護ユニットを提供する。この場合、データ処理装置は、少なくとも１つの動作メモリを有する。データ処理装置を動作するため、動作データが、この動作メモリ内に記憶され得るか又は記憶されている。

この場合、この保護ユニットは、無許可のアクセスに対して保護された実行環境内に少なくとも１つの監視論理部及び少なくとも１つの保護論理部を有する。

この場合、動作メモリ内に記憶された動作データの無許可の変更，アクセス又は類似の保護違反を監視するため、監視論理部は、動作メモリにアクセスし、任意の保護違反の場合に保護論理部に通知する。

この場合、保護違反の場合のデータ処理装置の代替動作に対して、この保護論理部は、未感染の置換データを出力する。データ（一方では動作データ及び他方では置換データ）は、本発明の範囲内ではこのようなデータ処理装置の動作を決定し又はこの動作に影響するデータ，プログラム，メモリ領域等を意味する。保護違反は、本発明の範囲内では特に動作メモリつまり動作データに対する無許可のアクセス及び動作データに対する無許可の変更を意味する。

したがって本発明の範囲内では、自動車の制御装置のようなプログラミング可能なデータ処理装置用の保護ユニットが設けられている。この保護ユニットは、データ処理装置を動作データの無許可のアクセス又は無許可の変更に対して保護する。データの無許可の変更つまりデータ処理装置の保護違反が、保護ユニットの監視論理部によって連続的又は周期的に確定され得る。対応するテストプログラム（監視論理部）が、保護ユニット内に改竄できない方法で記憶されていて、改竄できない方法で実行される。特に保護ユニットが、これらのプログラムによって無許可の読み取り又は書き込みに対して保護される。監視論理部が、保護違反を検出した場合、この監視論理部は、保護論理部に通知する。次いでこの保護論理部は、データ処理装置の動作つまり代替動作に対して未感染の置換データを出力する。したがってこの置換データつまり置換データ動作は、「緊急実効命令」を生成する。これに関しては、本発明は、改竄つまり動作メモリに対する無許可のアクセスを検出することだけが重要ではなくて、このような保護違反にもかかわらずデータ処理装置のエラーのない動作つまり少なくとも「緊急実行動作」つまり「代替動作」を保証する必要があるという認識に基づいている。このことは、例えば自動車では、少なくとも１つの緊急実行動作つまり緊急動作が無許可の改竄操作の場合に提供されることを保証する。その結果、自動車の主要な運転機能の革新的な電子化つまり自動化（ドライブバイワイヤ技術）が安全性に対して高まる要求を満たすことを特に可能にする。関与する制御装置が、仕様書にしたがって作動すること、及び、緊急実行命令が、フェイルセイフ時に迅速に復帰され得ることを常に保証する必要がある。したがって本発明の安全装置は、安全信頼アンカーを構成する。自動車の制御装置の改竄操作によって引き起こされるこの自動車の危険な挙動を阻止するため、この安全信頼アンカーは、十分な効率を保護手段に与え、保護動作を適切な時点で迅速に実施できる。

以下に、本発明の有利なさらなる実施の形態を説明する。安全装置が少なくとも１つの監視メモリを有することが提供されている。この監視メモリは、検出された１つ以上の保護違反に関する情報を記憶する。さらに情報インターフェースが好ましく設けられている。この情報インターフェースは、保護違反及び／又はその他の状態情報に関する情報を保護ユニットから読み取りできる。監視論理部によって検出された保護違反に関する情報及び監視メモリからの緊急実行命令つまり置換データの開始に関する情報が、この情報インターフェースによって許可されて読み取られ、ユーザに通知するために関連する装置に提供される。読み取りに対して要求される許可情報が、実行環境内に記憶される。この目的のため、いろいろな許可情報が、実行環境内に記憶され得る。その結果、いろいろなメモリ領域が、情報インターフェースに提供された許可情報に応じて読み取られ得る。したがって、ロールモデルが、監視モデルにアクセスするために提供され得る。

本発明の別の実施の形態によれば、保護ユニットが、管理インターフェースを有する。実行環境の許可情報が、この管理インターフェースによって交換され得る。この目的のため、実行環境が、最初の許可情報の少なくとも一部を受信する。この方法で、成功した外部許可後に、新しい許可情報が、新しい監視論理部及び／又は保護論理部と同様に実行環境内に組み込まれ得る。

保護ユニットの実行論理部用の実行環境は、好ましくはハードウェアつまりハードウェアの形態である。この実行環境は、上述した論理部及びメモリに対する実行時間環境を構成し、無許可の書き込み及び読み取りのアクセスに対して保護される。つまり許可が成功して、緊急実行命令つまり代替動作を安全に実行するため、この実行環境は、許可情報を有する。変更された保護論理部及び／又は監視論理部を保護ユニット内に許可されて再ロードできるようにするため、実行環境は、許可情報をさらに有する。これらの論理部は、例えば暗号鍵でもよい。この暗号鍵は、これらの論理部の署名をチェックできるつまり論理部を場合によってはデコードできる。

さらに、監視論理部が実行環境の一部でもよく、それ故に基礎になるハードウェアの一部でもよいことが、本発明の範囲内である。この場合、したがって監視論理部が、ハードウェア内に構成つまり組み込まれる。しかしながら監視論理部は、好ましくはソフトウェアである。本発明の範囲内のソフトウェアは、ＦＰＧＡのようなプログラミング可能なモジュールに対して実行可能なコードも意味する。ソフトウェアとして実現されたこのような監視論理部は、好ましくは実行の時間まで実行環境内にロードされない。記憶は、保護ユニット内で又はデータ処理装置のメモリ領域内で実行される。監視論理部が実行される前に、実行環境は、監視論理部が実行に対して許可されているかどうかをこの実行環境内に記憶された許可情報によって確認する。監視論理部は、実行時間中にデータ処理装置と共にインターフェースを構成する。対応するデータ（つまりプログラム／メモリ領域）が、その正確さに対してこのインターフェースによって、それぞれの論理ユニットによって「常時」確認され得る。このことは、例えば暗号機構を介したデータ（つまりプログラム／メモリ領域）の電子署名を確認することによって又は実行される任意のプログラムから外れてはならないメモリ閾値を監視することによって実施され得る。例えば、ウィルス，トロイの木馬，バッファ・オーバーフロー等によるコードに対する悪意のある変更が、この方法で確認され得る。

保護論理部は、実行環境つまり基礎になるハードウェアの一部でもよい。それ故にこの保護論理部は、ハードウェアでもよい。しかしながら保護論理部は、好ましくはソフトウェアでもある。この場合、ソフトウェアは、ＦＰＧＡのようなプログラミング可能なモジュールに対して実行可能なコードも有する。したがって保護論理部は、実行時間まで実行環境内にロードされなくてもよい。記憶は、保護ユニット内でつまりデータ処理装置のメモリ領域内で実施される。

監視メモリ，情報インターフェース，管理インターフェース及び／又は動作データ若しくは動作メモリが、ソフトウェアつまりプログラミング可能なモジュール（ＦＰＧＡ）に対するコードであることも、本発明の範囲内である。

本発明の別の対象は、上述した種類の少なくとも１つの保護ユニットを有する自動車等用の制御装置のようなデータ処理装置でもある。したがって本発明は、保護の範囲内では一方ではデータ処理装置と他方では保護ユニットつまりデータ処理装置との組み合わせも含む。少なくとも１つの処理ユニットが、このデータ処理装置内に組み込まれている。

本発明のさらなる対象は、上述した種類の少なくとも１つの保護ユニットによってデータ処理装置を監視する方法である。この場合、監視論理部が、動作メモリにアクセスし、起こりうる保護違反を確定する。この場合、この監視論理部は、保護違反の場合に保護論理部に通知する。この場合、この保護論理部は、保護違反の場合にデータ処理装置の動作に対してつまり代替動作に対して置換データを出力する。検出された保護違反に関する情報が、監視メモリ内に記憶される。この目的のため、監視論理部が、連続的に又は好ましくは（ほぼ連続的なように）周期的に動作メモリに所定のクロック周波数でアクセスできる。あらゆる保護違反を確認するため、例えば動作データの電子署名の確認が実行される。

したがってデータ処理装置のメモリが、本発明の範囲内の監視論理部によって「常に」チェックされる。このチェックは、例えば暗号機構によって又は実行されるプログラムから外れてはならないメモリ閾値を監視することによってデータの電子署名を確認して実施できる。ウィルス，トロイの木馬，バッファ・オーバーフローによるあらゆる悪意のある変更が、この方法で確認され得る。サンプリング速度つまりデータの正確さが監視論理部によってチェックされる時の周波数が、管理インターフェースを通じて確定され得る。監視論理部が、保護違反を確認した場合、この監視論理部は、保護論理部に保護違反の種類を通知する。保護論理部が実行される前に、実行環境は、この保護論理部が実行に対して許可されているかどうかをこの実行環境に記憶された許可情報によってチェックする。保護論理部は、実行環境によって許可された監視論理部からだけのデータを受け取る。この保護論理部は、実行時間中にデータ処理装置に対するインターフェースを構成する。保護違反によって影響されたデータに対するデータ処理装置によるアクセスが、このインターフェースによって阻止される。

いろいろな置換データが、保護違反の種類に応じて提供され得ることが非常に重要である。したがって保護論理部が、一組の記憶された置換データつまり緊急実行命令をフェイルセイフの方法で起動する。この目的のため、適切な緊急実行命令が、実行環境内に記憶された許可情報によって確認され、確認の成功時は実行される。許可が失敗した時は、最初の緊急実行命令が、保護論理部自体内に記憶される。次いで、この保護論理部が実行される。このとき保護ユニットは、保護論理部の特性に応じて緊急実行命令を実行する。保護論理部が、緊急実行命令の実行を制御しない時は、これらの緊急実行命令は、例えばデータ処理装置に転送され、保護論理部のインターフェースを通じてデータ処理装置の実行時間環境内で開始される。その後に監視論理部が、保護違反によって監視されたデータの代わりに緊急実行命令を実行する。

したがって「緊急実行命令」とも呼ばれる本発明の範囲内で説明した置換データは、好ましくは論理データつまり多重論理データである。これらの論理データは、データ処理装置内で入手できる動作データの代わり、つまり代替として保護ユニット内で実行されるか又はデータ処理装置内の保護ユニットの外部でも保護論理部によって実施される。各場合で、各組の緊急実行命令が、電子署名のような許可情報を受信する。この許可情報は、実行環境内の保護論理部によって緊急実行命令の許可の安全な確認を可能にする。これらの緊急実行命令は、許可が成功した後にだけ常に実行される。緊急実行命令つまり置換データの記憶は、保護ユニットによって制御される。この代わりに、置換データつまり緊急実行命令は、データ処理装置のメモリ領域内に記憶されてもよく、次いで保護論理部によって安全にロードされる。対応する置換データつまり緊急実行命令が、実行環境内の許可情報によって許可されて保護ユニット又はデータ処理装置内に再ロードされ得る。

以下に、本発明をただ１つの実施の形態を示す図によってさらに詳しく説明する。

データ処理装置ＤＥが、図中に示されている。このデータ処理装置ＤＥは、エアバッグの制御装置，モータの制御装置，変速機の制御装置等のような自動車の制御装置でもよい。このデータ処理装置つまり制御装置ＤＥは、動作メモリＢＳを有する。この制御装置を動作するため、動作データＢＤが、この動作メモリＢＳ内に記憶されている。この動作データＢＤは、動作プログラム等を意味してもよい。

この図は、本発明の保護ユニットＰＵが本発明にしたがってこのデータ処理装置つまり制御装置ＤＥ内に組み込まれていることを示す。この保護ユニットは、無許可のアクセスから保護されている実行環境ＡＵを提供する。この実行環境ＡＵは、例えばハードウェアモジュールとして構成されている。

一方では監視論理部ＵｅＬ及び他方では保護論理部ＳＬが、保護ユニット内に組み込まれている。これらの論理部はそれぞれ、例えばプログラミングモジュール（ＦＰＧＳ）又はＦＰＧＡのようなそれぞれのコードによって構成されている。監視メモリＵｅＳも設けられている。保護ユニットＰＵの通信が、情報インターフェースＩＳによって、同様に管理インターフェースＡＳによって接続される。

本発明の保護ユニットは、好ましくは以下のように動作する：
エアバッグの制御のようなそれぞれの制御装置ＤＥの動作が要求された時に、動作データＢＤ又は動作プログラム等が、動作メモリＢＳ内に記憶される。このような制御装置ＤＥの安全な動作を保証するため、このような動作データの無許可のアクセス又は無許可の変更が、本発明の保護ユニットによって常に監視される。したがって、無許可の保護違反が確認又は監視される。

監視論理部ＵｅＬが、このような保護違反を確定した時に、この保護違反の種類に関する情報及び保護情報の時間のようなその他の情報が、監視メモリＵｅＳ内に記憶される。さらに監視論理部ＵｅＬが、保護論理部ＳＬに保護違反の種類を通知する。制御装置ＤＥの代替動作のため、この保護論理部ＳＬは、保護違反の種類に応じて置換データＥＤを提供できる。したがってこのような置換データＥＤは、緊急実行動作つまり制御装置ＤＥの緊急動作のための緊急実行命令を構成する。図は、確定すべき保護違反の種類に応じて、保護論理部ＳＬがいろいろな置換データＥＤつまりいろいろな緊急実行命令を提供できることを示す。したがって本発明の範囲内で、準備された適切な緊急実行命令ＥＤが、それぞれの場合ごとに起動されるので、フレキシブルな応答が、それぞれの保護違反の種類又は程度に対して提供され得る。

監視論理部ＵｅＬによってユーザに通知するため、保護違反に関する情報及び代替動作（つまり緊急実行命令）の開始に関する情報が、監視メモリＵｅＳから許可されて読み取られ、関連する装置に提供され得る。これに関する読み取りのために要求される許可情報が、実行環境ＡＵ内に記憶される。

実行環境の特別な許可情報が、図中にも示された管理インターフェースＡＳによって交換されてもよい。したがって、保護論理部ＳＬ自体がハードウェアではなくて、代わりに例えばＦＰＧＡコードである場合、（管理者によるような）外部からの許可が成功した後に、新しい許可情報が入力されてもよく、そして監視論理部ＵｅＬ及び／又は保護論理部ＳＬが、管理インターフェースＡＳによって実行環境内に再ロードされてもよい。示された実行環境ＡＵだけが、上述した論理部及びメモリに対する無許可の書き込み及び読み取りのアクセスに対して保護された実行時間環境を意味する。この実行環境ＡＵは、許可情報つまり暗号鍵を有する。説明した論理部のそれぞれの署名が、これらの暗号鍵によって確認され得るか又は論理部が場合によってはデコードされ得る。

以上により、本発明の保護ユニットは、例えば自動車の制御装置等の安全な動作を保証する。このことは、このような自動車が常に「オンライン」になくても達成される。例えばアンチウィルスソフトウェアの連続的なオンライン更新が必要でない。バスシステムを通じた安全に関連する機能に対する無許可のアクセスに起因した特別な危険が、乗客を危うくするかもしれないので、複数の自動車の相互リンクする制御装置によるオンラインアクセスを通じた改竄又はオンラインアクセスの失敗が特に危険である。本発明は、自動車内に安全保障手段を新設することによってこの点を改善する。この安全保証手段は、例えば自動車メーカ単独の管理の下で設置されてもよい。したがって十分な効力が、保護手段に対して与えられる。保護動作が迅速に実行され、制御装置の改竄操作による自動車の危険な挙動が適切な時点で阻止される。

本発明の組み込まれた保護ユニットを有するデータ処理装置を極端に簡略化して示す。

符号の説明

ＤＥ データ処理装置
ＩＳ 情報インターフェース
ＡＳ 管理インターフェース
ＰＵ 保護ユニット
ＡＵ 実行環境
ＵｅＬ 監視論理部
ＵｅＳ 監視メモリ
ＳＬ 保護論理部
ＢＳ 動作メモリ
ＢＤ 動作データ
ＥＤ 置換データ

Claims (17)

1. 自動車，航空機，船舶等の制御装置のような（プログラミング可能な）データ処理装置（ＤＥ）用の保護ユニット（ＰＵ）において、
   データ処理装置（ＤＥ）は、少なくとも１つの動作メモリ（ＢＳ）を有し、このデータ処理装置を動作するため、動作データ（ＢＤ）が、この動作メモリ内に記憶され得るか又は記憶されていること、
   保護ユニット（ＰＵ）は、無許可のアクセスから保護された実行環境（ＡＵ）内に少なくとも１つの監視論理部（ＵｅＬ）及び少なくとも１つの保護論理部（ＳＬ）を有すること、
   動作メモリ内に記憶された動作データの無許可の変更，アクセス又は類似の保護違反を監視するため、監視論理部（ＵｅＬ）は、動作メモリ（ＢＳ）にアクセスし、任意の保護違反の場合に保護論理部（ＳＬ）に通知すること、及び
   保護違反の場合のデータ処理装置（ＤＥ）の動作つまり代替動作に対して、保護論理部（ＳＬ）は、置換データ（ＥＤ）を出力する保護ユニット。
2. 保護ユニットは、少なくとも１つの監視メモリ（ＵｅＳ）をさらに有し、確認された１つ以上の保護違反に関する情報が、この監視メモリ（ＵｅＳ）内に記憶される請求項１に記載の保護ユニット。
3. 保護ユニットは、少なくとも１つのインターフェース（ＩＳ）をさらに有し、このインターフェース（ＩＳ）は、保護違反に関する情報及び／又はその他の状態情報をこの保護ユニット（ＰＵ）から読み取りできる請求項１又は２に記載の保護ユニット。
4. 保護ユニットは、少なくとも１つの管理インターフェース（ＡＳ）をさらに有し、この管理インターフェース（ＡＳ）は、許可情報，コンフィグレーション，監視論理部，保護論理部又はその他のデータ／プログラムをこの保護ユニット（ＰＵ）に対して書き込み又は読み取りできる請求項１〜３のいずれか１項に記載の保護ユニット。
5. 実行環境（ＡＵ）は、ハードウェアである請求項１〜４のいずれか１項に記載の保護ユニット。
6. 監視論理部（ＵｅＬ），保護論理部（ＳＬ），監視メモリ（ＵｅＳ），情報インターフェース（ＩＳ），管理インターフェース（ＡＳ）及び／又は置換データ（ＥＤ）は、プログラミング可能なモジュールのようなソフトウェアである請求項１〜５のいずれか１項に記載の保護ユニット。
7. 自動車等の制御装置のようなデータ処理装置は、請求項１〜６のいずれか１項に記載の少なくとも１つの保護ユニット（ＰＵ）を有するデータ処理装置。
8. 請求項１〜６のいずれか１項に記載の少なくとも１つの保護ユニットを有するデータ処理装置を監視する方法において、
   監視論理部が、動作データにアクセスし、保護違反を検出し、
   任意の保護違反の場合に、この監視論理部が、保護論理部に通知し、
   任意の保護違反の場合に、データ処理装置のそれぞれの動作つまり緊急動作に対して、この保護論理部が、置換データを出力する方法。
9. 保護違反に関する情報が、監視メモリ内に記憶される請求項８に記載の方法。
10. 監視論理部は、連続的に又は周期的又はほぼ連続的に動作データつまり動作メモリに所定のクロック周波数でアクセスする請求項８又は９に記載の方法。
11. クロック周波数は、管理インターフェースによって特定される請求項１０に記載の方法。
12. 保護違反を確認するため、動作データの少なくとも１つの電子署名が、確認される請求項８〜１１のいずれか１項に記載の方法。
13. 任意の保護違反の場合に、保護論理部は、データ処理装置の動作メモリ内の動作データに対するアクセスを阻止する請求項８〜１２のいずれか１項に記載の方法。
14. 異なる置換データが、保護違反の種類に応じて提供される請求項８〜１３のいずれか１項に記載の方法。
15. 置換データは、実行環境内に記憶された許可情報によって確認される請求項８〜１４のいずれか１項に記載の方法。
16. データ処理装置の代替動作のための置換データが、保護ユニットによって及び／又はデータ処理装置によって処理される請求項８〜１５のいずれか１項に記載の方法。
17. １つの保護違反後に、提供された置換データが、監視論理部（ＵｅＬ）によって起こりうる任意の保護違反に対してチェックされる請求項８〜１６のいずれか１項に記載の方法。

Images