JP2020135829A - 車両用電子制御ユニットのリプログラミング方法 - Google Patents

Abstract

【課題】従来の車両の電子制御ユニットでは、車両が市場に供給される前に、認証コードが電子制御ユニットに記憶されており、何らかの不正手段により第三者に取得されるおそれがある、という課題があった。【解決手段】本発明の車両用電子制御ユニットのリプログラミング方法では、車両１０が市場に供給された後、リプログラミングを開始する前に、自動車メーカー２１にて認証コードを発行し、ユーザー２３へと送付する。そして、ユーザー２３は、認証コードを車両１０の外部からリプログラミングを行う電子制御ユニット１１にのみ送信し、記憶させた後、車両１０の外部から認証コードを入力し、リプログラミングを行う電子制御ユニット１１を判別する。このリプログラミング方法により、車両１０が市場に供給された後においても、第三者が、車両１０の電子制御ユニット１１から認証コードを不正取得することを防止できる。【選択図】図２

Description

本発明は、車両用電子制御ユニットのリプログラミング方法に関し、特に、対象となる電子制御ユニットのリプログラミング時に認証コードを発行し、その電子制御ユニットに認証コードを設定することで、市場での認証コードの不正取得を防止する車両用電子制御ユニットのリプログラミング方法に関する。

特許文献１には、車両に搭載される電子制御ユニットのソフトウエアが不正に書き換えられることを防止する車載通信システムが開示されている。車両には、複数の電子制御ユニットが、車両に設けられた通信線と接続し、相互に通信しながら、車両を電子制御している。そして、電子制御ユニットでは、車両を市場へ供給した後においても、リコール等の所望のタイミングにて、電子制御ユニットに記憶されたソフトウエアを外部から正式に書換えできるようにしたもの、所謂、オンボード書換えが可能なものが流通している。

作業者が、電子制御ユニットのソフトウエアの書換え作業を行う際には、最初に、車両の外部接続コネクトを介して書換えツールを車両の通信線に接続する。その後、作業者は、書換えツールの操作部を操作し、上記通信線を介して書換え対象の電子制御ユニットに対して書換開始通知を送信する。一方、車両では、書換え対象の電子制御ユニットにて上記書換開始通知を受信した後、自身の品番要求を書換えツールへと送信する。ここで、電子制御ユニットの上記品番は、車両の製造工程時において、電子制御ユニット内の記憶領域の中の書換不能領域に記憶されている。

その後、車両では、書換え対象の電子制御ユニット以外の車両統合電子制御ユニット等を用いて、書換え対象の電子制御ユニットが、上記書換ツールにより正規にソフトウエアを書換えられる対象であるか、否かの判定作業を繰り返す。そして、車両では、上記繰り返しの判定作業をクリアーした後、書換えツールが正規の書換えツールであることを判定するため、書換えツールから所定規則の暗号通信を何度か行い、その暗号通信が全て正常に完了した際に、通信相手を正規の書換えツールであると判定する。

特開２０１２−２３４４３７号公報

上述したように、従来の車両では、何通りにも渡る書換え対象の電子制御ユニットの判定作業を行い、上記判定作業が全て正常にクリアーされた際には、書換え対象の電子制御ユニットが正規にソフトウエアを書換えられる対象であると判定する。つまり、車両を市場に供給する前の製造工程時において、書換え対象の電子制御ユニット内の書換不能領域に、予め上記品番等、上記判定作業に必要な認証番号等を記憶させておくことで、不正による電子制御ユニットのソフトウエアの書換えを防止している。

しかしながら、上記判定作業に必要な認証番号等が、電子制御ユニット等の記憶領域に予め記憶された状態にて、車両が市場に供給されるため、何らかの不正手段により第三者に上記認証番号等が取得された際には、不正に電子制御ユニットのソフトウエアが書換えられてしまう恐れがある、という課題があった。

本発明は、上記の事情に鑑みてなされたものであり、対象となる電子制御ユニットのリプログラミング時に認証コードを発行し、その電子制御ユニットに認証コードを設定することで、市場での認証コードの不正取得を防止する車両用電子制御ユニットのリプログラミング方法を提供することにある。

本発明の車両用電子制御ユニットのリプログラミング方法では、車両に設けられた通信線に接続し、前記車両を制御する複数の電子制御ユニットをリプログラミングする車両用電子制御ユニットのリプログラミング方法であって、前記車両が市場に供給された後、前記リプログラミングを開始する前に発行された認証コードを前記車両の外部から前記通信線を介して前記リプログラミングを行う前記電子制御ユニットにのみ送信し、記憶させた後、前記車両の外部から前記認証コードを入力し、前記通信線を介して前記リプログラミングを行う前記電子制御ユニットを判別することを特徴とする。

また、本発明の車両用電子制御ユニットのリプログラミング方法では、前記リプログラミングを行う前記電子制御ユニットでは、前記リプログラミングが終了した後、前記認証コードを消去することを特徴とする。

また、本発明の車両用電子制御ユニットのリプログラミング方法では、前記車両の施錠及び開錠を行うスマートキーに前記認証コードを記憶させた後、前記スマートキーの操作に連動して、前記スマートキーから前記リプログラミングを行う前記電子制御ユニットへと前記認証コードを送信し、記憶させることを特徴とする。

また、本発明の車両用電子制御ユニットのリプログラミング方法では、前記車両と脱着自在に接続する記憶媒体に前記認証コードを記憶させた後、前記記憶媒体を前記車両に接続させ、前記記憶媒体から前記リプログラミングを行う前記電子制御ユニットへと前記認証コードを送信し、記憶させることを特徴とする。

また、本発明の車両用電子制御ユニットのリプログラミング方法では、前記車両の外部から前記通信線と接続する外部装置または前記車両のディスプレイ装置から前記車両へと前記認証コードを手入力することを特徴とする。

本発明の車両用電子制御ユニットのリプログラミング方法では、車両が市場に供給された後、リプログラミングを開始する前に発行された認証コードを車両の外部からリプログラミングを行う電子制御ユニットにのみ送信し、記憶させた後、車両の外部から認証コードを入力し、リプログラミングを行う電子制御ユニットを判別する。このリプログラミング方法により、車両が市場に供給された後においても、悪意の第三者が、車両の電子制御ユニットから認証コードを不正取得することを防止できる。その結果、車両の電子制御ユニットのソフトウエアが、勝手にリプログラミングされることはなく、車両の安全性を高めることができる。

また、本発明の車両用電子制御ユニットのリプログラミング方法では、リプログラミングを行う電子制御ユニットでは、リプログラミングが終了した後、認証コードを消去する。このリプログラミング方法により、車両の電子制御ユニットには、リプログラミング作業の期間のみ認証コードが記憶され、上記リプログラミング作業期間以外では、認証コードが記憶されていない。その結果、悪意の第三者が、車両の電子制御ユニットから認証コードを不正取得することを防止することができる。

また、本発明の車両用電子制御ユニットのリプログラミング方法では、車両の施錠及び開錠を行うスマートキーに認証コードを記憶させた後、スマートキーの操作に連動して、スマートキーからリプログラミングを行う電子制御ユニットへと認証コードを送信し、記憶させる。このリプログラミング方法により、リプログラミング作業のタイミングに合わせて、電子制御ユニットに認証コードを記憶させることができ、悪意の第三者が、車両の電子制御ユニットから認証コードを不正取得し難くなる。

また、本発明の車両用電子制御ユニットのリプログラミング方法では、車両と脱着自在に接続する記憶媒体に認証コードを記憶させた後、記憶媒体を車両に接続させ、記憶媒体からリプログラミングを行う電子制御ユニットへと認証コードを送信し、記憶させる。このリプログラミング方法により、リプログラミング作業のタイミングに合わせて、電子制御ユニットに認証コードを記憶させることができ、悪意の第三者が、車両の電子制御ユニットから認証コードを不正取得し難くなる。

また、本発明の車両用電子制御ユニットのリプログラミング方法では、車両の外部から通信線と接続する外部装置または車両のディスプレイ装置から車両へと認証コードを手入力する。このリプログラミング方法により、認証コードを電子制御ユニットへ送信し、記憶させる方法とは別の方法によって、認証コードを入力し、電子制御ユニットの判定作業を行うことができる。その結果、認証コードが外部に漏れる可能性を低減させ、車両の安全性を高めることができる。

本発明の一実施形態である車両用電子制御ユニットのリプログラミング方法が施される車両を説明するブロック図である。 本発明の一実施形態である車両用電子制御ユニットのリプログラミング方法を説明する概念図である。 本発明の一実施形態である車両用電子制御ユニットのリプログラミング方法を説明するフローチャートである。

以下、本発明の一実施形態に係る車両用電子制御ユニット（以下、「電子制御ユニット」と呼ぶ。）のリプログラミング方法を図面に基づき詳細に説明する。尚、本実施形態の説明の際には、同一の構成要素には原則として同一の符番を用い、繰り返しの説明は省略する。

図１は、本実施形態の電子制御ユニット１１のリプログラミング方法が施される車両１０を説明するブロック図である。図２は、本実施形態の電子制御ユニット１１のリプログラミング方法を説明する概念図である。図３は、本実施形態の電子制御ユニット１１のリプログラミング方法を説明するフローチャートである。

図１に示す如く、車両１０は、複数の電子制御ユニット１１と、複数の電子制御ユニット１１が互いにデータ通信可能に接続される通信線１２と、外部装置１４を通信線１２に接続させるコネクタ１３と、を備えている。そして、車両１０には、車両１０の各種制御を行う電子制御ユニット１１が搭載され、例えば、車両１０のエンジンを制御する電子制御ユニット１１、車両１０のトランスミッションを制御する電子制御ユニット１１、車両１０のブレーキを制御する電子制御ユニット１１、車両１０のステアリングを制御する電子制御ユニット１１、等が、搭載されている。

各電子制御ユニット１１は、例えば、通信部１１Ａと、各種の演算を行うためのマイクロプロセッサ１１Ｂと、当該マイクロプロセッサ１１Ｂに各処理を実行させるソフトウエア等を記憶する書換え可能な不揮発性メモリ１１Ｃと、を有している。そして、不揮発性メモリ１１Ｃは、例えば、フラッシュメモリ、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ−Ｏｎｌｙ Ｍｅｍｏｒｙ）である。不揮発性メモリ１１Ｃには、少なくとも上記ソフトウエアを記憶するための記憶領域の他に、電子制御ユニット１１である事を認証するための認証コードを記憶するための記憶領域が設けられている。尚、上記ソフトウエアとしては、電子制御ユニット１１にて車両１０を制御するための制御用プログラム、制御用データ、制御用マップ等が含まれている。

ここで、本実施形態の認証コードとは、リコール等の所望のタイミングにて、電子制御ユニット１１に記憶されたソフトウエアを車両１０外部の外部装置１４を用いてリプログラミングする際に、リプログラミング対象となる電子制御ユニット１１を特定するための照合用コードである。そして、認証コードは、例えば、数字のみで構成されても良いし、アルファベットのみで構成されても良いし、数字とアルファベットとを組み合わせて構成されても良い。詳細は後述するが、認証コードは、車両１０が市場に供給され、上記リプログラミング作業を行う段階にて、自動車メーカー２１（図２参照）が初めて発行すると共に、リプログラミングの対象となる電子制御ユニット１１に対して書き込まれるものである。

また、通信部１１Ａは、通信線１２のＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）プロトコルに従って、通信線１２へのデータの送信と通信線１２からのデータの受信を行う。

通信線１２は、上記複数の電子制御ユニット１１を繋ぐ車載のＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）であり、例えば、ＣＡＮである。上述したように、通信線１２には、外部装置１４を通信線１２に接続するためのコネクタ１３が設けられている。そして、コネクタ１３には、電子制御ユニット１１のソフトウエアをリプログラミングする際に用いる外部装置１４や認証コードを所望の電子制御ユニット１１に書き込む為の記憶媒体、例えば、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）メモリ等が、適宜、接続される。

外部装置１４は、電子制御ユニット１１に記憶されたソフトウエアをリプログラミングする際に用いる専用の外部ツールであり、例えば、通信部１４Ａと、操作部１４Ｂと、各種の演算を行うためのマイクロプロセッサ１４Ｃと、当該マイクロプロセッサ１４Ｃに各処理を実行させるソフトウエア等を記憶する書換え可能な不揮発性メモリ１４Ｄと、を有している。また、不揮発性メモリ１４Ｄには、リプログラミングの際に用いる新たなソフトウエアが記憶される。尚、通信部１４Ａやマイクロプロセッサ１４Ｃは、上述した電子制御ユニット１１の通信部１１Ａやマイクロプロセッサ１１Ｂと同様な構成である。

図２に示す如く、本実施形態の電子制御ユニット１１のリプログラミング方法では、例えば、車両１０を製造する自動車メーカー２１と、自動車メーカー２１が製造した車両１０を販売し、メンテナンスするディーラ２２と、ディーラ２２から車両１０を購入し、使用するユーザー２３との３者間の連携により実現される。

本実施形態では、自動車メーカー２１では、車両１０の製造工程の段階等、市場に車両１０を供給する前段階においては、車両１０の電子制御ユニット１１の不揮発性メモリ１１Ｃ（図１参照）に対して、電子制御ユニット１１を特定するための認証コードを記憶させない状態とする。つまり、リコール等のリプログラミング作業が必要となる前には、認証コードは、車両１０の電子制御ユニット１１内及びディーラ２２にも存在しない状態である。

その結果、ディーラ２２においても、リプログラミングの専用装置である外部装置１４を用いても、電子制御ユニット１１に設定されているソフトウエアをリプログラミングすることは一切出来ない。更には、悪意の第三者が、車両１０の電子制御ユニット１１から認証コードを不正取得し、不正に電子制御ユニット１１のソフトウエアを書き換えることも一切出来ず、車両１０の安全性が確保される。

次に、図３を用いて、本実施形態の電子制御ユニット１１のリプログラミング方法を説明し、その説明の際には、適宜、図１及び図２を参照する。

図３に示す如く、最初に、ステップＳ１において、リコール等が発生し、車両１０の所望の電子制御ユニット１１のリプログラミング作業が必要となった場合には、自動車メーカー２１では、上記リプログラミングが必要となった電子制御ユニット１１を特定するための認証コードを決定し、発行する。

次に、ステップＳ２において、自動車メーカー２１では、リコール対象である車両１０の新たなスマートキーを準備し、そのスマートキーの記憶領域に、ステップＳ１にて発行した認証コードを記憶させる。その後、自動車メーカー２１は、認証コードを記憶させたスマートキーをリコール対象である車両１０を所有するユーザー２３へと郵送する。

次に、ステップＳ３において、自動車メーカー２１では、ステップＳ２のスマートキーの郵送とは別手段である電子メールにて、上記スマートキーを郵送したユーザー２３に対して認証コードを送信する。尚、ユーザー２３への認証コードの通知手段は、上記電子メールに限定するものではなく、認証コードを記載したダイレクトメールや内容証明郵便等でも良い。

次に、ステップＳ４において、自動車メーカー２１では、上記ユーザー２３に対して認証コードの通知等を行う一方、ディーラ２２に対して、所望の電子制御ユニット１１にリプログラミングする新たなソフトウエアを送付する。尚、自動車メーカー２１では、ディーラ２２に対して上記新たなソフトウエアが記憶された記憶媒体を郵送する場合でも、ディーラ２２が自動車メーカー２１の指定したウェブからダウンロードする場合でも良い。

次に、ステップＳ５において、ユーザー２３は、自動車メーカー２１から送付された新たなスマートキーを用いて車両１０を開錠する。このとき、スマートキーと車両１０との間では、ＲＦ（Ｒａｄｉｏ Ｆｒｅｑｕｅｎｃｙ）帯域の信号及びＬＦ（Ｌｏｗ Ｆｒｅｑｕｅｎｃｙ）帯域の信号を利用して通信するが、スマートキーに記憶されていた認証コードも、通信時の上記信号を介して車両１０へと送信される。

次に、ステップＳ６において、ステップＳ５での車両１０の開錠動作に連動して、車両１０では、上記認証コードを受信すると、通信線１２を介してリプログラミング対象の電子制御ユニット１１へと認証コードを送信する。その後、リプログラミング対象の電子制御ユニット１１では、マイクロプロセッサ１１Ｂが、不揮発性メモリ１１Ｃの所望の記憶領域へと認証コードを書き込み、記憶させる。

次に、ステップＳ７において、ユーザー２３が、ステップＳ６にて認証コードが電子制御ユニット１１に書き込まれた車両１０をディーラ２２に自走すると共に、ステップＳ３にて、自動車メーカー２１から送付された認証コードをディーラ２２へと持ち込む。

次に、ステップＳ８において、ディーラ２２では、リプログラミングの作業者が、リプログラミングの専用装置である外部装置１４を準備すると共に、その外部装置１４の不揮発性メモリ１４Ｄに対して、ステップＳ４にて自動車メーカー２１から送付された新たなソフトウエアを記憶させる。その後、上記作業者は、外部装置１４を車両１０のコネクタ１３へと接続し、外部装置１４の操作部１４Ｂを操作し、ステップＳ７にてユーザー２３から受け取った認証コードを手入力する。

次に、ステップＳ９において、車両１０では、通信線１２を介して認証コードの一致作業を開始し、複数の電子制御ユニット１１の中から外部装置１４がリプログラミング作業を実行する所望の電子制御ユニット１１を判定する。具体的には、ステップＳ５からステップＳ６において、既に、リプログラミングを実行する電子制御ユニット１１にのみ認定コードが書き込まれている。そのため、各電子制御ユニット１１では、外部装置１４から送られてきた認証コードが、不揮発性メモリ１１Ｃの所定の記憶領域に記憶されている認証コードと一致するか、否かを判定する。ここで、上述したように、リプログラミング対象外の電子制御ユニット１１には、認証コードが記憶されてなく、認証コードの一致作業が行えないことが、認証コードの不一致として判定される。

次に、ステップＳ１０において、外部装置１４が、通信線１２を介して電子制御ユニット１１から認証コードの一致した信号を受信すると、作業者は、外部装置１４を操作し、車両１０へと新たなソフトウエアを送信する。そして、ステップＳ９にて認証コードが一致した電子制御ユニット１１では、マイクロプロセッサ１１Ｂが、不揮発性メモリ１１Ｃの所望の記憶領域へと新たなソフトウエアのリプログラミングを開始する。

次に、ステップＳ１１において、リプログラミング対象の電子制御ユニット１１では、マイクロプロセッサ１１Ｂが、リプログラミング作業が終了した後、不揮発性メモリ１１Ｃに記憶させた認証コードを消去する。そして、外部装置１４が、通信線１２を介して電子制御ユニット１１からリプログラミング作業終了の信号を受信すると、作業者は、外部装置１４を車両１０から取り外し、ユーザー２３へと車両１０を引き渡す。

上述したように、車両１０では、リコール等により電子制御ユニット１１のリプログラミングが必要となるまでは、車両１０内の全ての電子制御ユニット１１に対して認証コードが書き込まれていない状態である。そして、所望の電子制御ユニット１１に対してリプログラミングを行う段階にて、自動車メーカー２１にて初めて認証コードが発行され、車両１０のリプログラミング作業の対象となる電子制御ユニット１１に対してのみ認証コードが書き込まれる。

上記リプログラミング方法により、リプログラミングの作業期間以外では、悪意の第三者が、車両１０の電子制御ユニット１１から認証コードを不正取得する方法はない。その結果、車両１０の電子制御ユニット１１のソフトウエアが、勝手にリプログラミングされることもなく、車両１０の安全性が向上される。

更には、自動車メーカー２１からユーザー２３へと認証コードを送付する際に、２通りの送付手段を用いると共に、ディーラ２２においても、リプログラミングの作業を行う段階にて初めて認証コードを取得する。その結果、悪意の第三者は、ディーラ２２側からも認証コードを不正に取得する方法はない。

更には、電子制御ユニット１１では、リプログラミングが終了した後、自動車メーカー２１にて発行した認証コードを消去し、再び、車両１０の全ての電子制御ユニット１１では、認証コードが書き込まれていない状態となる。そして、将来的にリコール等が発生し、再び、リプログラミング作業が必要となった際には、自動車メーカー２１では、その時点にて、新たな認証コードを発行する。その結果、上述したように、悪意の第三者が、認証コードを不正取得することを確実に防止することができる。

尚、本実施形態では、ユーザー２３が、ディーラ２２に車両１０を持ち込み、ディーラ２２にて外部装置１４を用いてリプログラミング作業を行う場合について説明したが、この場合に限定するものではない。例えば、自動車メーカー２１から車両１０に対して、リプログラミング用の新たなソフトウエアを送信し、車両１０内の記憶領域に新たなソフトウエアをダウンロードする。そして、ユーザー２３が、上記外部装置１４や車両１０内のディスプレイ装置を利用して、認証コードを手入力することで、上記リプログラミング作業が行われる場合でも良い。その他、本発明の要旨を逸脱しない範囲にて種々の変更が可能である。

１０ 車両
１１ 電子制御ユニット
１１Ａ，１４Ａ 通信部
１１Ｂ，１４Ｃ マイクロプロセッサ
１１Ｃ，１４Ｄ 不揮発性メモリ
１２ 通信線
１３ コネクタ
１４ 外部装置
１４Ｂ 操作部
２１ 自動車メーカー
２２ ディーラ
２３ ユーザー

Claims (5)

1. 車両に設けられた通信線に接続し、前記車両を制御する複数の電子制御ユニットをリプログラミングする車両用電子制御ユニットのリプログラミング方法であって、
   前記車両が市場に供給された後、前記リプログラミングを開始する前に発行された認証コードを前記車両の外部から前記通信線を介して前記リプログラミングを行う前記電子制御ユニットにのみ送信し、記憶させた後、
   前記車両の外部から前記認証コードを入力し、前記通信線を介して前記リプログラミングを行う前記電子制御ユニットを判別することを特徴とする車両用電子制御ユニットのリプログラミング方法。
2. 前記リプログラミングを行う前記電子制御ユニットでは、前記リプログラミングが終了した後、前記認証コードを消去することを特徴とする請求項１に記載の車両用電子制御ユニットのリプログラミング方法。
3. 前記車両の施錠及び開錠を行うスマートキーに前記認証コードを記憶させた後、前記スマートキーの操作に連動して、前記スマートキーから前記リプログラミングを行う前記電子制御ユニットへと前記認証コードを送信し、記憶させることを特徴とする請求項１または請求項２に記載の車両用電子制御ユニットのリプログラミング方法。
4. 前記車両と脱着自在に接続する記憶媒体に前記認証コードを記憶させた後、前記記憶媒体を前記車両に接続させ、前記記憶媒体から前記リプログラミングを行う前記電子制御ユニットへと前記認証コードを送信し、記憶させることを特徴とする請求項１または請求項２に記載の車両用電子制御ユニットのリプログラミング方法。
5. 前記車両の外部から前記通信線と接続する外部装置または前記車両のディスプレイ装置から前記車両へと前記認証コードを手入力することを特徴とする請求項３または請求項４に記載の車両用電子制御ユニットのリプログラミング方法。

Images