JP2015032075A - 電子制御装置 - Google Patents

Abstract

【課題】組み込まれた暗号処理回路が故障しても、必要最小限のユーザの利便性を確保する電子制御装置を提供する。
【解決手段】データの暗号化および暗号化されたデータの復号を含む暗号処理を行う暗号処理回路と、暗号処理回路の動作状態を監視する監視部と、暗号処理を行う暗号処理ソフトを記憶する記憶部と、暗号処理回路が正常動作しているときは、暗号処理回路に暗号処理を行わせ、暗号処理回路の動作状態に異常が生じたとき、暗号処理回路に代えて暗号処理ソフトに暗号処理を実行させる演算部を備える。
【選択図】図１

Description

本発明は、電子制御装置に関し、特に車両に搭載され、データの暗号化および復号を行う回路を備えた電子制御装置に関する。

車両に搭載される電子機器の数および種類は年々増大する傾向にあり、機能も多くなるとともに多様化している。また、電子機器の低コスト化や高性能化に伴い、複数車種間でのシステム共用や各システム間での機能連携が一般化している。システムのハードウェアおよびソフトウェアを階層化し、システム間での連携制御を可能とした階層型システムアーキテクチャが提案されている。

上述の構成を採り入れた車載電子機器制御システムにおいて、不具合をきたしている機能部分の悪影響の伝播が構造的に生じにくく、かつ、仮に不具合が発生しても、その不具合をきたしている機能層をハードウェア的に容易に分離ないし隔離でき、ひいては専用の監視装置を追加することなく不具合に打ち勝って自律的に基本機能を維持できるものが考案されている（特許文献１参照）。

特開２００９−０５６８１７号公報 特開２００６−０６９２９６号公報

「２０１１年度 自動車の情報セキュリティ動向に関する調査」、独立行政法人 情報処理推進機構 編（２０１２年５月３１日 公開、http://www.ipa.go.jp/security/fy23/reports/emb_car/index.html）、平成２５年６月２７日検索。 「ＡＵＴＯＳＡＲのレイヤードアーキテクチャ」、（http://japan.renesas.com/applications/automotive/technology/autosar/peer/autosar_layerdarch.jsp）、平成２５年７月２５日検索。

情報通信技術の進展に伴い、一台の自動車に搭載される電子制御装置（ECU：Electronic Control Unit）の増加、車載機器・部品のメーカ共通化（汎用化）、ネットワーク機能の拡大などが進んでいる。これにより、車載機器・部品の脆弱性を解析し、ネットワーク経由で外部から攻撃することが容易になりつつあると想定される。そのため、自動車においても、パソコン同様に情報セキュリティ上の脅威に備える必要性が高まっているといえる。

特許文献１の構成では、不具合の発生した機能を分離することはできるが、車載情報システムへの攻撃についての備えについては開示されていない。

２０１０年度は自動車の車載情報システムやタイヤの空気圧監視システムに対する攻撃手法が論文として報告されていた。また、自動車のテレマティクスサーバを不正に使用して数十台の自動車を一斉に停止させる事件も発生しており、車載情報システムへの攻撃の動機が具体的に存在していることが明らかになった（非特許文献１参照）。

そこで、車両の情報システムと利用手順から、特定の利用環境において発生が予測される脅威の分析と特定を行った上で、車載情報システムのセキュリティ仕様の標準化の動きが進み、これに基づいた、通信データを暗号化／復号するためのハードウェア（以下、「暗号処理回路」）を組み込んだ電子制御装置の実用化も進んでいる。

しかし、暗号処理回路が故障したときの対策については開示されていない。例えば、車両に搭載される車載装置と、利用者が携帯する携帯機と、を含み、車載装置と携帯機との間で無線通信を行い、車載装置が携帯機の照合を行うことで、車両における予め定められた機能の動作制御を行うシステム（キーレスエントリーシステムともいう）で、無線通信を暗号化したときに、車載装置の暗号処理回路が故障すると、正常な照合シーケンスが実現できなくなり、携帯機によるドアの施錠／解錠ができなくなる。この結果、ユーザは、車両をディーラーまで搬送し、修理（例えば、ＥＣＵ交換）を受けるまで、携帯機による操作ができなくなり、利便性が阻害される。

上記問題点を背景として、本発明は、組み込まれた暗号処理回路が故障しても、必要最小限のユーザの利便性を確保する電子制御装置を提供することを目的とする。

課題を解決するための手段および発明の効果

上記課題を解決するための電子制御装置は、データの暗号化および暗号化されたデータの復号を含む暗号処理を行う暗号処理回路と、暗号処理回路の動作状態を監視する監視部と、暗号処理を行う暗号処理ソフトを記憶する記憶部と、暗号処理回路が正常動作しているときは、暗号処理回路に暗号処理を行わせ、暗号処理回路の動作状態に異常が生じたとき、暗号処理回路に代えて暗号処理ソフトに暗号処理を実行させる演算部を備える。

上記構成によって、組み込まれた暗号処理回路が故障しても、暗号処理を暗号処理ソフトで代行することにより、必要最小限のユーザの利便性を確保することが可能となる。

本発明の電子制御装置の構成例を示す図。 車載装置制御プログラムの構造の一例を示す図。 復号時の各モジュールにおける処理の流れを示す図。 ＳＨＥに故障が発生したときの処理の流れを示す図。 動作モードにおけるアプリの動作の可否を示す図。

以下、本発明の電子制御装置について、上述した車両のキーレスエントリーシステムに適用したものを、図面を用いて説明する。図１に、電子制御装置１の全体構成を示す。電子制御装置１は、車両に搭載された車載装置１０、およびユーザが所持する携帯機２０を含む。

車載装置１０は、演算部１１（本発明の演算部、監視部）、演算部１１に接続されたＳＨＥ１３（本発明の暗号処理回路、詳細は後述）、および信号入出力回路あるいはドライバ回路を含むＩ／Ｏ１５、車内ＬＡＮ３０の通信インターフェースであるＬＡＮ Ｉ／Ｆ１４（本発明のバッテリ電圧取得部）、およびＳＨＥ１３に接続された無線通信部１２を備える。

演算部１１は、周知のマイコン１１ａ、各種プログラム（「車載装置制御プログラム」と総称する）が格納されたメモリ１１ｂ（本発明の記憶部）、演算部１１にクロック信号を供給するクロック回路１１ｃや、ＲＡＭおよび周辺回路（いずれも図示せず）等を含む。そして、マイコン１１ａが車載装置制御プログラムを実行することで、車載装置１０としての各種機能を実現する。

無線通信部１２は、ＬＦ送信部１２ａおよびＵＨＦ受信部１２ｂを含む。ＬＦ送信部１２ａは、携帯機２０に対し、例えば、ＬＦ帯あるいはＶＬＦ帯の電波にて無線信号を送信する。ＬＦ送信部１２ａから送信される無線信号は、例えばドアに備えられたドアアンテナと、室内アンテナ、トランク内アンテナ、およびトランク外アンテナを介して、それぞれ、ドア近傍（車室外）、車室内、トランク内、トランク外近傍の、限られた通信エリア内に対してのみ到達するようになっている。また、ＵＨＦ受信部１２ｂは、携帯機２０から、例えば、ＵＨＦ帯の電波にて送信される無線信号を受信する。これにより、携帯機２０の出力レベルが比較的微弱でも相応に通信距離が得られ、車載装置１０へより確実に応答信号を伝達できる。

ＳＨＥ１３は、ＳＨＥ（Secure Hardware Extension：ドイツautomotive HISコンソーシアムのセキュリティ仕様）に基づく、データの暗号化および暗号化されたデータの復号を含む暗号処理を行う回路である。無論、他のセキュリティ仕様に基づくものでもよい。暗号化および復号は、例えば、共通鍵暗号方式である周知のＡＥＳ（Advanced Encryption Standard）に基づくアルゴリズムを用いる。無論、他のアルゴリズムを用いてもよい。

演算部１１は、Ｉ／Ｏ１５を介して、ドア４０、イルミ装置５０、シート装置６０、エアコンユニット７０と接続され、これらに含まれるアクチュエータの動作制御および状態の取得を行う。これらの装置は、ボデー系装置ともいわれる。制御の詳細は、例えば、以下のとおりである（各アプリ（アプリケーションソフトの略称）については、図２参照）。

・ドア４０：ドアの施錠／解錠を行うドアロック装置、窓の開閉を行うパワーウインドウ装置の動作制御（照合アプリ１１１が実行）。

・イルミ装置５０：ヘッドランプ、フォグランプ、コーナリングランプ、テールランプ、バックアップランプ、ストップランプなどの室外照明、および、ルームランプ、読書灯、カーテシランプ、コンソール照明、メータ照明などの室内照明の点灯・消灯制御（イルミアプリ１１２が実行）。

・シート装置６０：シーポジションの調整、シートの空調を行うシート空調装置（例えば、特開２０１０−０２３５４４号公報参照）の動作制御（シートアプリ１１３が実行）。
・エアコンユニット７０：風量（ブロワ）の調整、吹出口の選択、設定温度の調整（エアコンアプリ１１４が実行）。

車載装置１０が、上述の装置を直接制御する方法の他に、車内ＬＡＮ３０を介して、車載装置１０から装置に対して制御コマンドを送信し、装置に含まれる制御部（いわゆる、ＥＣＵ）が、該制御コマンドに基づいて動作制御を行うようにしてもよい。

携帯機２０は、制御部２１、無線通信部２２、操作部２３を備える。制御部２１は、例えば、周知のＣＰＵ，各種プログラム（「携帯機制御プログラム」と総称する）が格納されたＲＯＭやＲＡＭ，および信号入出力回路（いずれも図示せず）等を含むコンピュータとして構成される。そして、ＣＰＵが携帯機制御プログラムを実行することで、携帯機２０としての各種機能を実現する。

無線通信部２２は、ＬＦ受信部２２ａおよびＵＨＦ送信部２２ｂを含む。ＬＦ受信部２２ａは、車載装置１０からＬＦ帯あるいはＶＬＦ帯の電波にて送信される無線信号を受信する。ＵＨＦ送信部２２ｂは、車載装置１０に対しＵＨＦ帯の電波にて無線信号を送信する。

操作部２３は、例えば、主にリモートキーレスエントリー機能を利用するためのトリガーとなるプッシュスイッチ群として構成され、ドアの施錠／解錠、トランクハッチの解錠を行うことができる。

図１の構成が、「車両に搭載される車載装置と、利用者が携帯する携帯機と、を含み、車載装置と携帯機との間で無線通信を行い、車載装置が携帯機の照合を行うことで、車両における予め定められた機能の動作制御を行うキーレスエントリーシステムにおいて、電子制御装置は車載装置に含まれ、暗号処理において、携帯機に送信するデータの暗号化を行い、携帯機から受信するデータの復号を行う」ものである。

上記構成によって、キーレスエントリーシステムにおいて、暗号処理回路が動作しなくなっても暗号処理ソフトを実行することで、携帯機の照合、予め定められた機能の動作（ドアの解錠、エンジンの始動）を行うことができるので、ユーザの利便性を確保できる。

図２に、メモリ１１ｂに記憶された車載装置制御プログラムの構造の一例を示す。図２の例では、ソフトウェア・アーキテクチャとして、車載ソフトウェアの標準規格であるＡＵＴＯＳＡＲ（The Automotive Open System Architecture：オートザー）を用いている。無論、他のソフトウェア・アーキテクチャを用いてもよい。

ＡＵＴＯＳＡＲは、階層化されたソフトウェア・アーキテクチャであり、上位層からアプリケーション層１１０、ランタイム環境１２０、基本ソフトウェアＢＳＷからなる。基本ソフトウェアＢＳＷはさらに，サービス層１３０、ＥＣＵ抽象化層１４０、ＭＰＵ抽象化層１５０、複合ドライバ１６０からなる。なお、ＡＵＴＯＳＡＲの構成については、非特許文献２に記載されているので、ここでの詳細な説明は割愛する。

アプリケーション層１１０は、車両の機能動作を実行するアプリケーションソフトを含む。本実施例では、照合アプリ１１１、イルミアプリ１１２、シートアプリ１１３、エアコンアプリ１１４を含む。無論、他の制御系（エンジン制御系、走行系など）のアプリケーションソフトを含んでもよい。

サービス層１３０は、ＯＳ機能を備え、車内ＬＡＮ３０の通信と管理などを行うとともに、暗号化・復号化処理の管理を行うＣＳＭ（Crypt Service Manager）１３１、ＣＳＭ＿Ｕｔｉｌｉｔｙ Ｍｏｄｕｌｅ（以下、「ＣＳＭ＿Ｕ」と略称）１３２、ＣＳＭ１３１の指示に基づいて実行される暗号化・復号化ソフト（本発明の暗号処理ソフト）１３３を含む。

ＣＳＭ１３１は、ＭＰＵ抽象化層１５０に含まれるＳＰＩ（Serial Peripheral Interface）ドライバ１５１を介して、ＳＨＥ１３に暗号化・復号化処理の指示を行い、暗号化情報の出力や復号化情報の取得を行う（詳細は後述）。

マイコン１１ａは、ＳＨＥ１３の動作状態を常時モニタしている。そして、モニタ結果をＣＳＭ１３１に出力する。ＣＳＭ１３１は、該モニタ結果をＣＳＭ＿Ｕ１３２に出力する。

上述のような構成によって、電子制御装置１は、車載装置１０のＬＦ送信部１２ａを介して、予め定められたタイミングあるいは周期で、ＳＨＥ１３で暗号化した信号（例えば、応答要求信号）を、携帯機２０に対して上述のアンテナを用いて順次送信する。そして、携帯機２０からの応答信号をＵＨＦ受信部２２ｂが受信し、この応答信号（例えば、ＩＤコード）をＳＨＥ１３で復号する。

そして、照合アプリ１１１の処理で、応答信号（ＩＤコード）とメモリ１１ｂに記憶されたマスターコードとを照合し、その照合結果に基づいてドアのアンロックやエンジン始動の許可、照合処理のリトライなどが行われる。これらは本発明に直接関係しないため、詳細は割愛する。

このように、車外の機器との通信において、データを暗号化することで、セキュリティを強化することができる。

また、イルミアプリ１１２、シートアプリ１１３、エアコンアプリ１１４は、本来の機能動作を実行する他に、ユーザの自動車への接近時または乗り込み時における、該ユーザを乗り込みの誘導あるいは補助、または、乗り込み時または乗り込んだ後のユーザへのサービスを行うもてなし機能を実行する。

もてなし機能は、例えば、ユーザと車両との距離およびユーザの生体状態（例えば、気分）に基づいて、イルミアプリ１１２は、照明装置の点滅パターンを変更し、シートアプリ１１３は、シートの高さ・角度およびシート温度の調整を行い、エアコンアプリ１１４は、車室内の温度の調整を行う。なお、もてなし機能については、特許文献２に詳細が記載されている。また、もてなし動作部として、ホーンなどの音波発生装置、オーディオ装置を用いてもよい。

図３に、復号時の各モジュールにおける処理の流れを示す。まず、「通常時」すなわち、ＳＨＥ１３が正常動作しているときの復号の流れについて説明する。例えば、携帯機２０からの応答信号を受信したときの受信データ照合処理Ａ１のように、照合アプリ１１１でデータ（ＩＤコード）の復号が必要となったとき、ＣＳＭ＿Ｕ１３２へ復号依頼を出力する（Ｑ１０１）。復号が必要なデータはメモリ１１ｂの所定領域に記憶され、復号依頼には記憶領域のアドレスも含まれる。

ＣＳＭ＿Ｕ１３２は、処理Ｂ１において、照合アプリ１１１から復号依頼を取得すると、ＣＳＭ１３１に、正常動作しているＳＨＥ１３においてデータの復号を行う旨を含む復号依頼を出力する（Ｑ１０２）。ＣＳＭ１３１は、処理Ｃ１において、ＣＳＭ＿Ｕ１３２から復号依頼を取得すると、ＳＨＥ１３に復号依頼を出力する（Ｑ１０３）。

ＳＨＥ１３は、ＣＳＭ１３１から復号依頼を取得すると、該当データの復号を行い（Ｄ１）、ＣＳＭ１３１にその結果（復号情報）を出力する（Ｑ１０４）。ＣＳＭ１３１は、処理Ｃ１において、ＳＨＥ１３から復号情報を取得すると、ＣＳＭ＿Ｕ１３２に復号情報を出力する（Ｑ１０５）。

ＣＳＭ＿Ｕ１３２は、処理Ｂ１において、ＣＳＭ１３１から復号情報を取得すると、照合アプリ１１１に復号情報を出力する（Ｑ１０６）。照合アプリ１１１は、処理Ａ１において、ＣＳＭ＿Ｕ１３２から復号情報を取得すると、復号情報に含まれるＩＤコードをマスターコードとの照合を行う。そして、上述のように、照合結果に基づく処理を実行する。

次に、「ＳＨＥ故障発生時」すなわち、ＳＨＥ１３が正常動作していないときの復号の流れについて説明する。後述のように、マイコン１１ａにおいて、以下の状態うちの少なくとも一つが発生したとき、ＳＨＥ１３が正常動作していないと判定する。
・ＳＨＥ１３に復号依頼を出力してから所定時間を経過しても復号情報を取得できない。もしくは、復号情報が正しくない（例えば、パリティエラー）。
・ＣＳＭ１３１から定期的に出力される状態問い合わせ信号に対して、所定時間内に応答がない。もしくは、応答に故障を示す内容を含む。

照合アプリ１１１の受信データ照合処理Ａ２でデータ（ＩＤコード）の復号が必要となったとき、ＣＳＭ＿Ｕ１３２へ復号依頼を出力する（Ｑ１１１）。ＣＳＭ＿Ｕ１３２は、処理Ｂ２において、照合アプリ１１１から復号依頼を取得すると、ＣＳＭ１３１に、暗号処理ソフトを用いてデータの復号を行う旨を含む復号依頼を出力する（Ｑ１１２）。

ＣＳＭ１３１は、処理Ｃ２において、ＣＳＭ＿Ｕ１３２から復号依頼を取得すると、暗号処理ソフトに復号依頼を出力する（Ｑ１１３）。暗号処理ソフトは、復号依頼を出力すると、復号処理Ｅ１を実行して該当データの復号を行い、ＣＳＭ１３１にその結果（復号情報）を出力する（Ｑ１１４）。ＣＳＭ１３１は、処理Ｃ２において、暗号処理ソフトから復号情報を取得すると、ＣＳＭ＿Ｕ１３２に復号情報を出力する（Ｑ１１５）。

ＣＳＭ＿Ｕ１３２は、処理Ｂ２において、ＣＳＭ１３１から復号情報を取得すると、照合アプリ１１１に復号情報を出力する（Ｑ１１６）。照合アプリ１１１は、処理Ａ２において、ＣＳＭ＿Ｕ１３２から復号情報を取得すると、復号情報に含まれるＩＤコードをマスターコードとの照合を行う。そして、上述のように、照合結果に基づく処理を実行する。

図３の例は、暗号化データの復号を例示したが、データの暗号化についても同様に行う。つまり、ＳＨＥ１３が正常時には、照合アプリ１１１において、携帯機２０に応答要求信号を送信するタイミングが到来したとき、照合アプリ１１１→ＣＳＭ＿Ｕ１３２→ＣＳＭ１３１→ＳＨＥ１３の順に暗号化依頼が送られる。生成した暗号は、ＳＨＥ１３から無線通信部１２に送られ、無線通信部１２から携帯機２０に向けて送信される。生成した暗号を、逆の順で照合アプリ１１１（すなわち、マイコン１１ａ）に送り、マイコン１１ａから無線通信部１２を介して送信してもよい。

また、ＳＨＥ１３が異常時には、照合アプリ１１１→ＣＳＭ＿Ｕ１３２→ＣＳＭ１３１→暗号化・復号化ソフトの順に暗号化依頼が送られる。暗号化・復号化ソフトで生成した暗号は、逆の順で照合アプリ１１１まで送り、マイコン１１ａから無線通信部１２を介して送信する。

図４に、ＳＨＥ１３に故障が発生したときの処理の流れを示す。マイコン１１ａは、ＯＳに含まれる処理Ａ１１において、ＳＨＥ１３の動作状態を常時モニタしている。そして、故障が発生したと判定すると、故障発生通知をＣＳＭ１３１に出力する（Ｑ２０１）。ＣＳＭ１３１は、処理Ｂ１１において、マイコン１１ａから故障発生通知を取得すると、ＣＳＭ＿Ｕ１３２に故障発生通知を出力する（Ｑ２０２）。

ＣＳＭ＿Ｕ１３２は、処理Ｃ１１において、ＣＳＭ１３１から故障発生通知を取得する。続いて実行する処理Ｃ１２において、故障発生処理Ｃ１３を実行する（Ｑ２０３）。まず、暗号化・復号化手段を切り替える処理Ｃ１４を実行する（Ｑ２０４、Ｃ１４）。すなわち、ＳＨＥ１３の代わりに暗号処理ソフトを用いるように設定を変更する。

次に、マイコン１１ａに対して、動作モード切替指示を出力する（Ｑ２０５）。マイコン１１ａは、ＯＳに含まれる処理Ａ１２において、例えば、設定レジスタ値を変更するなどして、クロック回路１１ｃから供給されるクロック信号の周波数を高くする。

上述の構成が、「暗号処理ソフトに暗号処理を実行させる際、演算部は、自身の演算速度を、暗号処理回路が正常動作しているときよりも高速にする」ものである。本構成によって、そのアルゴリズムの複雑さにより処理に時間を要する暗号処理の実行時間を短縮できるとともに、他のアプリケーションソフトの処理に対する影響を低減することができる。

次に、アプリケーション層１１０（図２参照）のアプリに対し、状態移行通知を出力する（Ｑ２０６）。これは、動作モードの切り替えを行うもので、動作モードは以下のとおりである。
・通常モード：ＳＨＥ１３が故障していないときの動作モード。
・縮退モード：ＳＨＥ１３が故障したときの動作モード。
・異常モード：ＳＨＥ１３が故障し、かつ、バッテリ電圧が閾値を下回ったときの動作モード。バッテリ電圧は、車内ＬＡＮ３０およびＬＡＮ Ｉ／Ｆ１４を介して、ＣＳＭ＿Ｕ１３２が定期的に取得する。

図５に、各動作モードにおける各アプリの実行の可否を示す。本構成が「暗号処理ソフトに暗号処理を実行させる際、演算部は、予め定められた機能動作を行うアプリケーションソフトの実行を制限する」ものである。本構成によって、暗号処理を実行する演算部の負荷を低減することができる。なお、「制限」とは、「一部または全ての機能動作を停止する」ものである。図４の処理Ｆ１１では、処理自体を実行しないか、処理の一部のみを実行する。

・通常モード：全てのアプリ（照合アプリ１１１、イルミアプリ１１２、シートアプリ１１３、エアコンアプリ１１４）の実行が可能である。暗号化・復号化ソフトは実行する必要はない。

・縮退モード：照合アプリ１１１のみ実行する。暗号化・復号化ソフトを実行するため、負荷低減の目的により、イルミアプリ１１２、シートアプリ１１３、エアコンアプリ１１４の実行を制限する（×印）。すなわち、上述のようなもてなし動作は行わない。また、シート空調、車室内空調も行わない。灯火については法規を満たす動作のみ行う。クロック信号の周波数は、通常モードよりも高い。
快適性は確保できないが、少なくとも乗車・運転は可能である。

上述の照合アプリ１１１のみ実行する構成が、「ユーザが車両に乗り込むための機能動作を行うアプリケーションソフトを制限の対象に含まない」ものである。本構成によって、ユーザは車両に乗車でき、車両に何らかの異常が発生していることを認識することができる。また、ユーザに、異常に対する処置（例えば、ディーラーへの連絡等）を講ずるよう促すこともできる。

また、上述の構成が、「ユーザの快適性を確保するための機能動作を行うアプリケーションソフトを制限の対象に含む」ものである。本構成によって、暗号処理を実行することによる処理負荷の増大を抑制できるとともに、少なくともユーザの快適性を確保するための機能以外については、動作を継続することができる。また、ユーザに、車両の何処か（電子制御装置）に異常が発生していることを、間接的に報知することができる。

・異常モード：全てのアプリ、および暗号化・復号化ソフトの実行を制限する（×印）。すなわち、キーレスエントリー機能を利用できなくなる。ユーザは、メカキーを用いて乗車・運転する。

上述の構成が「車両のバッテリ電圧を取得するバッテリ電圧取得部を備え、バッテリ電圧が予め定められた閾値を下回るとき、ユーザが車両に乗り込むための機能動作を行うアプリケーションソフトおよび暗号処理ソフトの少なくとも一方を制限の対象に含める」ものである。本構成によって、バッテリへの負担を低減することができ、車両全体に影響を及ぼすことを防止できる。ユーザの、車両への乗り込み、車両の運転は可能である。

図５のように、縮退モードおよび異常モードにおいて、エンジン制御系、走行系のアプリケーションソフトは制限の対象としない。ユーザの、車両の運転が可能な構成が、「車両のエンジンの回転制御を行うアプリケーションソフトを制限の対象に含まない」、および「車両の走行制御を行うアプリケーションソフトを制限の対象に含まない」ものである。本構成によって、ユーザは、異常発生に対して適切な処置（例えば、ディーラーへの車両の持ち込み等）を講ずることができる。

以上、本発明の実施の形態を説明したが、これらはあくまで例示にすぎず、本発明はこれらに限定されるものではなく、特許請求の範囲の趣旨を逸脱しない限りにおいて、当業者の知識に基づく種々の変更が可能である。

１ 電子制御装置
１０ 車載装置
２０ 携帯機
１１ 演算部（演算部、監視部）
１１ａ マイコン
１１ｂ メモリ（記憶部）
１１ｃ クロック回路
１３ ＳＨＥ（暗号処理回路）
１４ ＬＡＮ Ｉ／Ｆ（バッテリ電圧取得部）

Claims (9)

1. データの暗号化および暗号化されたデータの復号を含む暗号処理を行う暗号処理回路と、
   前記暗号処理回路の動作状態を監視する監視部と、
   前記暗号処理を行う暗号処理ソフトを記憶する記憶部と、
   前記暗号処理回路が正常動作しているときは、前記暗号処理回路に前記暗号処理を行わせ、
   前記暗号処理回路の動作状態に異常が生じたとき、前記暗号処理ソフトに前記暗号処理を実行させる演算部を備えることを特徴とする電子制御装置。
2. 前記暗号処理ソフトに前記暗号処理を実行させる際、
   前記演算部は、自身の演算速度を、前記暗号処理回路が正常動作しているときよりも高速にする請求項１に記載の電子制御装置。
3. 前記暗号処理ソフトに前記暗号処理を実行させる際、
   前記演算部は、予め定められた機能動作を行うアプリケーションソフトの実行を制限する請求項１または請求項２に記載の電子制御装置。
4. ユーザの快適性を確保するための機能動作を行うアプリケーションソフトを前記制限の対象に含む請求項３に記載の電子制御装置。
5. ユーザが車両に乗り込むための機能動作を行うアプリケーションソフトを前記制限の対象に含まない請求項３または請求項４に記載の電子制御装置。
6. 車両のバッテリ電圧を取得するバッテリ電圧取得部を備え、
   前記バッテリ電圧が予め定められた閾値を下回るとき、前記ユーザが車両に乗り込むための機能動作を行うアプリケーションソフトおよび前記暗号処理ソフトの少なくとも一方を前記制限の対象に含める請求項５に記載の電子制御装置。
7. 車両のエンジンの回転制御を行うアプリケーションソフトを制限の対象に含まない請求項３ないし請求項６のいずれか１項に記載の電子制御装置。
8. 車両の走行制御を行うアプリケーションソフトを制限の対象に含まない請求項３ないし請求項７のいずれか１項に記載の電子制御装置。
9. 車両に搭載される車載装置と、利用者が携帯する携帯機と、を含み、前記車載装置と前記携帯機との間で無線通信を行い、前記車載装置が前記携帯機の照合を行うことで、前記車両における予め定められた機能の動作制御を行うキーレスエントリーシステムにおいて、
   前記電子制御装置は前記車載装置に含まれ、
   前記暗号処理において、前記携帯機に送信するデータの暗号化を行い、前記携帯機から受信するデータの復号を行う請求項１ないし請求項８のいずれか１項に記載の電子制御装置。

Images