JP2019098759A - 車両用電子装置 - Google Patents

Abstract

【課題】データ改ざんに対する耐性と、特定の事象が発生した際の迅速なデータ書き込みとを、両立させる技術を提供する。【解決手段】車両に搭載される電子制御装置には、ＣＰＵによるメモリへのアクセスを制御するアクセス制御部が備えられる。アクセス制御部は、ＣＰＵから書き込み要求が与えられた際に、Ｓ１１０にて、車両衝突が検出されていないと判定した場合には、Ｓ１２０〜Ｓ１４０の認証用処理を行い、該認証用処理によって認証に成功したならば、Ｓ１５０にてメモリへのデータ書き込みを行う。また、アクセス制御部は、上記Ｓ１１０にて、車両衝突が検出されたと判定した場合には、認証用処理を行うことなく、Ｓ１５０にてメモリへのデータ書き込みを行う。【選択図】図３

Description

本開示は、車両に搭載される電子装置に関する。

例えば、下記特許文献１には、車両に搭載される電子装置として、センサにより車両の衝突が検出されると、所定のデータを記憶部に記憶するように構成された電子装置が記載されている。

一方、最近のマイクロコンピュータにおいては、データ改ざんを目的としたメモリへの書き込みを防止するための機能として、認証機能が搭載されている。この認証機能は、所定の認証用処理によって認証に成功しないと、メモリへの書き込みが実施されないという機能である。

特開２０１２−１１７２９７号公報

メモリへの書き込みに関して、上記認証用処理が行われることにより、データ改ざんに対する耐性が向上する。しかし、車両衝突のような特定の事象が発生したことに伴い所定のデータをメモリに記憶する場合には、上記認証用処理が行われることにより、データの記憶に要する時間が長くなってしまうという欠点がある。

そこで、本開示の１つの局面は、データ改ざんに対する耐性と、特定の事象が発生した際の迅速なデータ書き込みとを、両立させる技術を提供する。

本開示の１つの態様による車両用電子装置は、データを記憶するように構成された記憶部（２１）と、演算部（１１）と、アクセス制御部（３１）と、検出部（１３）と、を備える。検出部は、特定の事象を検出する。演算部からアクセス制御部には、書き込み要求と、該書き込み要求に対応する書き込み対象データとが与えられる。

そして、アクセス制御部は、演算部から書き込み要求が与えられた際に、検出部により特定の事象が検出されていない場合には、所定の認証用処理（Ｓ１２０〜Ｓ１４０）を行い、該認証用処理によって認証に成功したならば書き込み対象データを記憶部に書き込む。また、アクセス制御部は、演算部から書き込み要求が与えられた際に、検出部により特定の事象が検出された場合には、認証用処理を行うことなく書き込み対象データを記憶部に書き込む。

このような構成によれば、検出部により特定の事象が検出されていない場合には、アクセス制御部が認証用処理を行うため、データ改ざんに対する耐性を高めることができる。また、検出部により特定の事象が検出された場合には、アクセス制御部が認証用処理を行わない分、迅速なデータ書き込みが実現される。よって、データ改ざんに対する耐性と、特定の事象が発生した際の迅速なデータ書き込みとを、両立させることができる。

尚、この欄及び特許請求の範囲に記載した括弧内の符号は、一つの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、本開示の技術的範囲を限定するものではない。

実施形態の電子制御装置の構成を示すブロック図である。 ＩＤテーブルを説明する説明図である。 書込制御処理を表すフローチャートである。

以下、図面を参照しながら、本開示の実施形態を説明する。
［１．構成］
図１に示す実施形態の電子制御装置（以下、ＥＣＵ）１は、本開示の車両用電子装置の一例であり、例えば、車両のエンジンを制御するＥＣＵである。ＥＣＵは、「Electronic Control Unit」の略である。

ＥＣＵ１は、当該ＥＣＵ１の動作を司る制御部として、マイクロコンピュータ（以下、マイコン）３を備える。また、ＥＣＵ１には、衝突検出センサ５が接続されている。衝突検出センサ５は、車両の他の物体への衝突（以下、車両衝突）を検出して、衝突検出信号を出力する。

マイコン３は、ＣＰＵ１１と、データの書き換えが可能な不揮発性メモリ（以下、メモリ）２１と、ＣＰＵ１１によるメモリ２１へのアクセスを制御するアクセス制御部３１と、を備える。メモリ２１は、例えばフラッシュメモリであるが、ＥＥＰＲＯＭ等、他の種類の書き換え可能なメモリであっても良い。

ＣＰＵ１１は、メモリ２１またはメモリ２１とは別のＲＯＭに記憶されたプログラムを実行することにより演算処理を行う。ＥＣＵ１の各機能は、ＣＰＵ１１が非遷移的実体的記録媒体に格納されたプログラムを実行することにより実現される。この例では、メモリ２１または上記ＲＯＭが、プログラムを格納した非遷移的実体的記録媒体に該当する。また、このプログラムが実行されることで、プログラムに対応する方法が実行される。ＣＰＵ１１は、演算部に相当する。

ＣＰＵ１１は、当該ＣＰＵ１１がプログラムを実行することで実現される機能部として、検出部１３を備える。検出部１３は、衝突検出センサ５から衝突検出信号が出力されたか否かを判定することにより、車両衝突の有無を判定する。検出部１３が、「車両衝突が発生した」と判定することは、車両衝突を検出したことに相当する。そして、検出部１３は、衝突検出信号に基づき車両衝突を検出すると、アクセス制御部３１に、車両衝突の発生を通知する。車両衝突は、特定の事象に相当する。

尚、検出部１３の機能を実現する手法はソフトウェアに限るものではなく、その一部又は全部の機能は、一つあるいは複数のハードウェアを用いて実現されても良い。例えば、検出部１３の機能がハードウェアである電子回路によって実現される場合、その電子回路は、デジタル回路、又はアナログ回路、あるいはこれらの組合せによって実現されても良い。この場合、検出部１３は、ＣＰＵ１１とは別々に設けることができる。

メモリ２１は、ＩＤ認証部２３と、ＣＰＵ１１によってデータが書き込まれる書込領域２５と、を備える。メモリ２１は、記憶部に相当する。以下の説明において、メモリ２１にデータを書き込むことは、書込領域２５にデータを書き込むことを意味する。

メモリ２１のＩＤ認証部２３には、当該メモリ２１へのライトアクセスが正当なアクセスであることを確認するための認証キー（即ち、認証用の鍵）が記憶されている。
アクセス制御部３１は、電子回路及びメモリによって実現されている。そして、アクセス制御部３１は、ＣＰＵ１１により認証キーが設定されるＩＤ認証部３３と、テーブル記憶部３５と、を備える。尚、アクセス制御部３１の機能は、例えば、ＣＰＵ１１とは別のＣＰＵがプログラムを実行することによって実現されても良い。

アクセス制御部３１には、ＣＰＵ１１から、少なくとも、書き込み要求と、該書き込み要求に対応する書き込み対象データとが、与えられる。アクセス制御部３１は、ＣＰＵ１１から書き込み要求が出力されると、書き込み対象データをメモリ２１に書き込むための処理として、後述の認証用処理が含まれる書込制御処理を実行する。

ＣＰＵ１１からメモリ２１に書き込まれる複数種類の各データには、データ毎のＩＤが定められている。ＩＤは、データの種類を示す識別子としての役割を持つ。このため、ＣＰＵ１１からアクセス制御部３１に出力される書き込み要求には、書き込み対象データのＩＤが含まれる。また、メモリ２１のＩＤ認証部２３には、データのＩＤ毎に異なる認証キーが記憶されている。

アクセス制御部３１のテーブル記憶部３５には、図２に示すように、１つ以上のＩＤが記録されたＩＤテーブル３７が記憶されている。ＩＤテーブル３７に記録されるＩＤは、ＣＰＵ１１からメモリ２１に書き込まれるデータのうち、認証用処理が行われずにメモリ２１に書き込むことが可能なデータのＩＤ（即ち、データの種類）である。また、ＩＤテーブル３７に記録されるＩＤは、車両衝突が発生した場合に、メモリ２１への迅速な書き込みが要求されるデータのＩＤである。車両衝突が発生した場合には、ＥＣＵ１への長時間の電源供給が保証されないため、メモリ２１へのデータ書き込みは迅速に実施されることが望ましい。ＩＤテーブル３７に記録されるＩＤとしては、例えば、車両衝突が発生したことを示すデータのＩＤや、車両衝突が発生したときの安全装備（例えばエアバッグ）の作動状態を示すデータのＩＤ等がある。尚、テーブル記憶部３５は、アクセス制御部３１の外部に備えられていても良い。

［２．処理］
ＣＰＵ１１から書き込み要求が出力された場合に、アクセス制御部３１が行う書込制御処理について、図３のフローチャートを用いて説明する。

図３に示すように、アクセス制御部３１は、書込制御処理を開始すると、Ｓ１１０にて、検出部１３により車両衝突が検出されたか否かを判定する。
そして、アクセス制御部３１は、Ｓ１１０にて、車両衝突が検出されていないと判定した場合には、Ｓ１２０に進む。

アクセス制御部３１は、Ｓ１２０では、当該アクセス制御部３１のＩＤ認証部３３に、誤った認証キーを設定することにより、当該アクセス制御部３１を施錠状態にする。ここで言う施錠状態とは、メモリ２１へのデータ書き込みを禁止する状態である。

その後、ＣＰＵ１１は、当該ＣＰＵ１１が出力した書き込み要求に含まれるＩＤであって、書き込み対象データのＩＤ（以下、書き込み対象ＩＤ）に対応する認証キーを、アクセス制御部３１に出力する。

そして、アクセス制御部３１は、Ｓ１３０にて、ＣＰＵ１１からの認証キーを、当該アクセス制御部３１のＩＤ認証部３３に再設定する。
アクセス制御部３１は、次のＳ１４０では、メモリ２１のＩＤ認証部２３において、書き込み対象ＩＤについて記憶されている認証キー（以下、メモリ側認証キー）と、上記Ｓ１３０でＩＤ認証部３３に再設定した認証キー（以下、ＣＰＵ側認証キー）とを比較する。そして、アクセス制御部３１は、メモリ側認証キーとＣＰＵ側認証キーとに、予め定められた特定の関係があれば、認証に成功したと判断してＳ１５０に進む。特定の関係としては、例えば「一致している」という関係であって良い。また、特定の関係としては、例えば「ＣＰＵ側認証キーに対して所定の演算を行った結果と、メモリ側認証キーとが一致している」という関係でも良い。

アクセス制御部３１は、Ｓ１５０では、ＣＰＵ１１からの書き込み対象データを、メモリ２１に書き込み、その後、当該書込制御処理を終了する。
ＣＰＵ１１からの書き込み対象データは、例えば、書き込み要求とともにアクセス制御部３１へ出力されても良いし、上記Ｓ１５０の書き込み処理が開始される直前に、アクセス制御部３１へ出力されても良い。

また、アクセス制御部３１は、上記Ｓ１４０にて、メモリ側認証キーとＣＰＵ側認証キーとに特定の関係がないと判断した場合、即ち、認証に失敗したと判断した場合には、Ｓ１５０をスキップして、そのまま当該書込制御処理を終了する。このため、Ｓ１４０で認証に失敗したと判断された場合には、アクセス制御部３１が施錠状態のままとなり、書き込み対象データのメモリ２１への書き込みが実施されない。つまり、ＣＰＵ１１からの書き込み要求が無効化される。Ｓ１２０〜Ｓ１４０の処理は、メモリ２１にデータを書き込むための認証用処理に相当する。

一方、アクセス制御部３１は、上記Ｓ１１０にて、検出部１３により車両衝突が検出されていると判定した場合には、Ｓ１６０に進む。
アクセス制御部３１は、Ｓ１６０では、ＣＰＵ１１からの書き込み要求に含まれる書き込み対象ＩＤが、前述のＩＤテーブル３７に登録（即ち、記録）されているか否かを判定し、書き込み対象ＩＤがＩＤテーブル３７に登録されていれば、Ｓ１７０に進む。

アクセス制御部３１は、Ｓ１７０では、所定条件が成立しているか否かを判定し、所定条件が成立していなければ、そのままＳ１５０に進む。
このため、車両衝突が検出された場合に、書き込み対象ＩＤがＩＤテーブル３７に登録されおり、且つ、所定条件が成立していなければ、Ｓ１２０〜Ｓ１４０の認証用処理が行わることなく、アクセス制御部３１が開錠状態となる。ここで言う開錠状態とは、メモリ２１へのデータ書き込みを実施する状態である。

本実施形態において、Ｓ１７０で判定される所定条件は、下記の第１条件と第２条件との、何れかが成立した、という条件である。
第１条件は、検出部１３により車両衝突が検出され始めてから所定時間が経過した、という条件である。

第２条件は、Ｓ１２０〜Ｓ１４０の認証用処理が行われることなくメモリ２１にデータが書き込まれた回数が、所定値を超えた、という条件である。
また、アクセス制御部３１は、上記Ｓ１６０にて、書き込み対象ＩＤがＩＤテーブル３７に登録されていないと判定した場合には、前述のＳ１２０に進む。よって、この場合には、Ｓ１２０〜Ｓ１４０の認証用処理が行われ、その認証用処理によって認証に成功した場合、即ち、Ｓ１４０で認証に成功したと判定された場合に限り、ＣＰＵ１１からの書き込み対象データがメモリ２１に書き込まれる。

また、アクセス制御部３１は、上記Ｓ１７０にて、所定条件が成立していると判定した場合にも、Ｓ１２０に進む。よって、車両衝突が検出され、且つ、書き込み対象ＩＤがＩＤテーブル３７に登録されていても、前述の第１条件と第２条件との何れかが成立していれば、Ｓ１２０〜Ｓ１４０の認証用処理が行われる。そして、その認証用処理によって認証に成功した場合に限り、ＣＰＵ１１からの書き込み対象データがメモリ２１に書き込まれる。

アクセス制御部３１は、以上のような書込制御処理を行うため、ＣＰＵ１１から書き込み要求が与えられた際に、認証用処理（即ち、Ｓ１２０〜Ｓ１４０）を伴う書き込みと、認証用処理を伴わない書き込みとの、何れかを実施する。認証用処理を伴う書き込みとは、認証用処理を行い、その認証用処理によって認証に成功したならば書き込み対象データをメモリ２１に書き込むことである。認証用処理を伴わない書き込みとは、認証用処理を行うことなく書き込み対象データをメモリ２１に書き込むことである。

［３．作用例］
車両衝突が発生していない通常時において、ＣＰＵ１１が、「ＩＤ＝ｎ」の書き込み要求を出力すると、アクセス制御部３１は、図３のＳ１１０で「ＮＯ」と判定することにより、認証用処理を伴う書き込みを行う。つまり、アクセス制御部３１は、認証用処理を行い、認証用処理によって認証に成功すれば、ＣＰＵ１１からの書き込み対象データ、即ち「ＩＤ＝ｎ」のデータを、メモリ２１に書き込む。尚、ｎは、ＩＤの値である。また、「ＩＤ＝ｎ」の書き込み要求とは、「ＩＤ＝ｎ」を含む書き込み要求のことである。

一方、車両衝突が発生した場合に、ＣＰＵ１１が、例えば「ＩＤ＝４」の書き込み要求を出力したとする。この場合、アクセス制御部３１は、図３のＳ１１０で「ＹＥＳ」と判定する。また、図２に示すように、ＩＤテーブル３７にはＩＤとして、少なくとも「４」が記録されているため、アクセス制御部３１は、図３のＳ１６０にて「ＹＥＳ」と判定する。そして、前述の所定条件が成立していなければ、即ち、第１条件と第２条件との両方が成立していなければ、アクセス制御部３１は、図３のＳ１７０で「ＮＯ」と判定して、認証用処理を伴わない書き込みを行う。つまり、アクセス制御部３１は、認証用処理を行うことなく開錠状態となり、ＣＰＵ１１からの書き込み対象データ、即ち「ＩＤ＝４」のデータを、メモリ２１に書き込む。

また、車両衝突が発生した場合に、ＣＰＵ１１が、例えば「ＩＤ＝７」の書き込み要求を出力したとする。図２に示すように、ＩＤテーブル３７にはＩＤとして、少なくとも「７」が記録されているため、アクセス制御部３１は、図３のＳ１６０にて「ＹＥＳ」と判定する。しかし、前述の所定条件が成立していれば、即ち、第１条件と第２条件との何れかが成立していれば、アクセス制御部３１は、図３のＳ１７０で「ＹＥＳ」と判定して、認証用処理を伴う書き込みを行う。

また、車両衝突が発生した場合に、ＣＰＵ１１が、例えば「ＩＤ＝３」の書き込み要求を出力したとする。図２に示すように、ＩＤテーブル３７にはＩＤとして「３」が登録されていないため、アクセス制御部３１は、図３のＳ１６０にて「ＮＯ」と判定して、認証用処理を伴う書き込みを行う。

［４．効果］
以上詳述した第１実施形態によれば、以下の効果を奏する。
（１ａ）検出部１３により車両衝突が検出されていない場合には、アクセス制御部３１が認証用処理を行うため、データ改ざんに対する耐性を高めることができる。ここで言うデータ改ざんとは、メモリ２１内のデータを改ざんすることである。また、検出部１３により車両衝突が検出された場合には、アクセス制御部３１が認証用処理を伴わない書き込みを行う。このため、認証用処理が行われない分、迅速なデータ書き込みが実現される。よって、データ改ざんに対する耐性と、車両衝突が発生した際の迅速なデータ書き込みとを、両立させることができる。

（１ｂ）アクセス制御部３１は、検出部１３により車両衝突が検出されていても、図３のＳ１７０で所定条件が成立していると判定すると、認証用処理を伴う書き込みを行う。このため、車両衝突が発生した場合に、認証用処理が行われないままになって、データ改ざんに対する耐性が低下してしまう可能性を低くすることができる。

（１ｃ）図３のＳ１７０で判定される所定条件には、前述の第１条件が含まれる。このため、認証用処理が実施されずにメモリ２１に書き込むことができる時間を、所定時間に制限することができ、その結果、データ改ざんに対する耐性が低下してしまう可能性を低くすることができる。

（１ｄ）図３のＳ１７０で判定される所定条件には、前述の第２条件が含まれる。このため、認証用処理が実施されずにメモリ２１に書き込むことができる回数を、所定値（即ち、所定回数）に制限することができ、その結果、データ改ざんに対する耐性が低下してしまう可能性を低くすることができる。

（１ｅ）アクセス制御部３１は、検出部１３により車両衝突が検出されていても、ＩＤテーブル３７にＩＤが記録されていないデータについては、認証用処理を伴う書き込みを行う。このため、車両衝突が検出された場合に、メモリ２１への迅速な書き込みが不要なデータについては、認証用処理を実施することができる。よって、データ改ざんに対する耐性が低下してしまう可能性を低くすることができる。

尚、上記実施形態では、ＩＤテーブル３７が種類記録部に相当する。そして、ＩＤテーブル３７に記録されるＩＤは、認証用処理なしでメモリ２１に書き込むことが可能なデータの種類に相当する。

［５．他の実施形態］
以上、本開示の実施形態について説明したが、本開示は上述の実施形態に限定されることなく、種々変形して実施することができる。

例えば、ＩＤテーブル３７に記録されるＩＤが、ＥＣＵ１と通信可能な外部装置によって変更可能になっていていても良い。この構成によれば、特定の事象に相当する車両衝突が検出された場合に認証用処理なしでメモリ２１に書き込むことが可能なデータの種類と数を、任意に変更することができる。

また、特定の事象としては、車両衝突に限らず、例えば、イグニッションスイッチのオン期間中におけるエンジンストール（即ち、エンスト）や、エアバッグが作動したこと等でも良い。また、アクセス制御部３１は、図３のＳ１６０とＳ１７０との一方又は両方が削除された書込制御処理を行うように構成されても良い。

また、図３のＳ１７０で判定される所定条件は、前述の第１条件と第２条件とのうち、何れか一方だけであっても良いし、第１条件及び第２条件とは異なる条件であっても良い。

また、メモリ２１のＩＤ認証部２３に記憶される認証キーと、図３のＳ１３０でアクセス制御部３１のＩＤ認証部３３に設定されるＣＰＵ１１からの認証キーは、ＩＤ毎ではなく、全てのＩＤについて共通の認証キーであっても良い。

また、上記実施形態における１つの構成要素が有する複数の機能を、複数の構成要素によって実現したり、１つの構成要素が有する１つの機能を、複数の構成要素によって実現したりしても良い。また、複数の構成要素が有する複数の機能を、１つの構成要素によって実現したり、複数の構成要素によって実現される１つの機能を、１つの構成要素によって実現したりしても良い。また、上記実施形態の構成の一部を省略しても良い。尚、特許請求の範囲に記載した文言から特定される技術思想に含まれるあらゆる態様が本開示の実施形態である。

また、上述したＥＣＵ１の他、当該ＥＣＵ１を構成要素とするシステム、当該ＥＣＵ１としてコンピュータを機能させるためのプログラム、このプログラムを記録した半導体メモリ等の非遷移的実態的記録媒体、データ書き込み方法など、種々の形態で本開示を実現することもできる。

１１…ＣＰＵ、１３…検出部、２１…メモリ、３１…アクセス制御部

Claims (6)

1. データを記憶するように構成された記憶部（２１）と、
   演算部（１１）と、
   前記演算部から、書き込み要求と該書き込み要求に対応する書き込み対象データとが与えられるアクセス制御部（３１）と、
   特定の事象を検出するように構成された検出部（１３）と、を備え、
   前記アクセス制御部は、
   前記演算部から前記書き込み要求が与えられた際に、前記検出部により前記特定の事象が検出されていない場合には、所定の認証用処理（Ｓ１２０〜Ｓ１４０）を行い、該認証用処理によって認証に成功したならば前記書き込み対象データを前記記憶部に書き込み、前記検出部により前記特定の事象が検出された場合には、前記認証用処理を行うことなく前記書き込み対象データを前記記憶部に書き込むように構成されている、
   車両用電子装置。
2. 請求項１に記載の車両用電子装置であって、
   前記アクセス制御部は、
   前記検出部により前記特定の事象が検出されていても、所定条件が成立すると、前記認証用処理を行い、該認証用処理によって認証に成功したならば前記書き込み対象データを前記記憶部に書き込むように構成されている、
   車両用電子装置。
3. 請求項２に記載の車両用電子装置であって、
   前記所定条件には、
   前記検出部により前記特定の事象が検出され始めてから所定時間が経過した、という条件が含まれる、
   車両用電子装置。
4. 請求項２又は請求項３に記載の車両用電子装置であって、
   前記所定条件には、前記認証用処理が行われることなく前記記憶部にデータが書き込まれた回数が所定値を超えた、という条件が含まれる、
   車両用電子装置。
5. 請求項１ないし請求項４の何れか１項に記載の車両用電子装置であって、
   前記認証用処理が行われずに前記記憶部に書き込むことが可能なデータの種類が記録された種類記録部（３７）を、更に備え、
   前記アクセス制御部は、
   前記検出部により前記特定の事象が検出されていても、前記書き込み対象データの種類が前記種類記録部に記録されていない場合には、前記認証用処理を行い、該認証用処理によって認証に成功したならば前記書き込み対象データを前記記憶部に書き込むように構成されている、
   車両用電子装置。
6. 請求項１ないし請求項５の何れか１項に記載の車両用電子装置であって、
   前記特定の事象は、
   当該車両用電子装置が搭載された車両の他の物体への衝突である、
   車両用電子装置。

Images