JP2022163602A - 電子制御装置 - Google Patents

Abstract

【課題】リプログラミングの時間を短縮できる電子制御装置を提供すること。
【解決手段】ＥＣＵ１１は、書き換え可能にプログラムが記憶されたＲＯＭ３と、プログラムを実行するメインＣＰＵ１と、ＲＯＭ３に記憶されたプログラムを更新する複数の書込データを受信する通信装置４とを備えている。また、ＥＣＵ１１は、受信した書込データを一時的に記憶しておくＲＡＭ２と、受信した書込データの改ざん検知処理を行うセキュアＣＰＵ５１とを備えている。メインＣＰＵ１は、書込データを通信装置４で受信してＲＡＭ２に記憶し、ＲＡＭ２に記憶された書込データをＲＯＭ３に記憶する処理を、全ての書込データを対象として順番に行う書き換え処理を実行する。セキュアＣＰＵ５１は、書き換え処理と並行して、書込データの改ざん検知処理を実行する。
【選択図】図１

Description

本開示は、電子制御装置に関する。

特許文献１には、リプログラミングに関する技術が開示されている。

ＧＷＥＣＵは、ダウンロードした書換データを対象となる対象ＥＣＵに転送する。対象ＥＣＵは、受信した書換データを用いた書き換え処理、すなわちリプログラミングを実行する。また、ＧＷＥＣＵは、ダウンロードした書換データを対象となる他の対象ＥＣＵに転送する。他の対象ＥＣＵは、受信した書換データを用いた書き換え処理を実行する。また、ＧＷＥＣＵは、これらの対象ＥＣＵによる書き換え処理と並行して、ダウンロードした書き換えデータを制御ＥＣＵに転送する。

このように、制御システムでは、二つの対象ＥＣＵによる書き換え処理が実行されている間に、二つの対象ＥＣＵが後続の書き換え処理に必要とする書き換えデータを制御ＥＣＵに一時的に蓄積することで、リプログラミングに要する時間を短縮する。

特開２０１９－３５４４号公報

しかしながら、特許文献１の構成では、一つのＥＣＵにおけるリプログラミングに要する時間を短縮することができない。

開示される一つの目的は、リプログラミングの時間を短縮できる電子制御装置を提供することである。

ここに開示された電子制御装置は、
書き換え可能にプログラムが記憶された第１記憶装置（３）と、
プログラムを実行する第１処理装置（１）と、
第１記憶装置に記憶されたプログラムを更新する複数の書込データを受信する受信装置（４）と、
受信した書込データを一時的に記憶しておく第２記憶装置（２）と、
受信した書込データの改ざん検知処理を行う第２処理装置（５１）と、を備え、
第１処理装置は、
書込データを受信装置で受信して第２記憶装置に記憶し、第２記憶装置に記憶された書込データを第１記憶装置に記憶する書き換え処理を実行し、
第２処理装置は、
書き換え処理と並行して、書込データの改ざん検知処理を実行する。

このように、電子制御装置は、第１処理装置による書き換え処理と並行して、第２処理装置が改ざん検知処理を行う。このため、電子制御装置は、第１処理装置による書き換え処理が完了した後に、第２処理装置が改ざん検知処理を行う場合よりも、リプログラミングの時間を短縮できる。

この明細書において開示された複数の態様は、それぞれの目的を達成するために、互いに異なる技術的手段を採用する。請求の範囲およびこの項に記載した括弧内の符号は、後述する実施形態の部分との対応関係を例示的に示すものであって、技術的範囲を限定することを意図するものではない。この明細書に開示される目的、特徴、および効果は、後続の詳細な説明、および添付の図面を参照することによってより明確になる。

第１実施形態における電子制御装置の概略構成を示すブロック図である。 第１実施形態におけるメインＣＰＵの処理動作を示すフローチャートである。 第１実施形態におけるセキュアＣＰＵの処理動作を示すフローチャートである。 第１実施形態における書換ツール、メインＣＰＵ、セキュアＣＰＵの処理動作を示すイメージ図である。 第１実施形態におけるＲＡＭとＲＯＭの状態を示すイメージ図である。 第２実施形態におけるメインＣＰＵの処理動作を示すフローチャートである。 第２実施形態における書換ツール、メインＣＰＵ、セキュアＣＰＵの処理動作を示すイメージ図である。 第２実施形態におけるＲＡＭとＲＯＭの状態を示すイメージ図である。 第３実施形態における電子制御装置の概略構成を示すブロック図である。 第３実施形態におけるメインＣＰＵの処理動作を示すフローチャートである。 第３実施形態におけるメインＣＰＵのＥＣＵ制御処理を示すフローチャートである。 第３実施形態におけるメインＣＰＵのリプロ処理を示すフローチャートである。 第３実施形態におけるメインＣＰＵのリプロ処理を示すフローチャートである。 第３実施形態におけるメインＣＰＵの完了通知後処理を示すフローチャートである。 第３実施形態におけるＲＡＭとＲＯＭの状態を示すイメージ図である。 第３実施形態におけるＥＣＵの処理動作を示すタイミングチャートである。

以下において、図面を参照しながら、本開示を実施するための複数の形態を説明する。各形態において、先行する形態で説明した事項に対応する部分には同一の参照符号を付して重複する説明を省略する場合がある。各形態において、構成の一部のみを説明している場合は、構成の他の部分については先行して説明した他の形態を参照し適用することができる。

（第１実施形態）
図１～図５を用いて、本実施形態のＥＣＵ１１に関して説明する。本実施形態では、電子制御装置をＥＣＵ１１に適用した例を採用する。ＥＣＵ１１は、例えば車両に搭載されて、各種制御を実行する装置である。ＥＣＵ１１は、メインＣＰＵ１が実行する制御用のプログラムの書き換えが可能に構成されている。つまり、ＥＣＵ１１は、制御用のプログラムのリプログラミングが可能に構成されている。制御用のプログラムは、車載機器を制御するためのプログラムである。以下においては、制御用のプログラムを制御プログラムとも称する。制御プログラムは、特許請求の範囲におけるプログラムに相当する。また、制御プログラムは、制御ソフトともいえる。

本実施形態では、一例として、書換ツール２１（ＲＷＴ）から書込データを受信するＥＣＵ１１を採用している。書込データ（ｗｄ１～ｗｄ３）は、ＥＣＵ１１のＲＯＭ３に記憶されている制御プログラムを更新するデータである。ＲＯＭ３に記憶されている制御プログラムは、書込データに書き換えられるといえる。このように、書込データは、更新される新たな制御プログラムを構成する少なくとも一部のデータである。なお、ＲＯＭ３に記憶されている制御プログラムは、全体が複数の書込データで書き換えられてもよく、一部が複数の書込データで書き換えられてもよい。

新たな制御プログラムは、書換ツール２１から受信した複数の書込データを含んでいる。よって、ＥＣＵ１１は、リプログラミングするために複数の書込データを受信する。なお、リプログラミングは、簡略化してリプロやリプログとも記載する。

このように、書換ツール２１は、ＥＣＵ１１に記憶されている制御プログラムをリプログするためのツールである。書換ツール２１は、有線によってＥＣＵ１１と電気的に接続される。また、書換ツール２１は、ディーラや工場などによって、ＥＣＵ１１に接続される。

＜構成＞
図１を用いて、ＥＣＵ１１の構成に関して説明する。ＥＣＵ１１は、メインＣＰＵ１、ＲＡＭ２、ＲＯＭ３、通信装置４、セキュリティモジュール５を備えている。なお、図１では、メインＣＰＵ１をＭＣＰＵ、通信装置４をＣＯＭ、セキュリティモジュール５をＨＳＭと記載している。

メインＣＰＵ１は、第１処理装置に相当する。メインＣＰＵ１は、ＲＡＭ２やＲＯＭ３に記憶されたプログラムを実行する。メインＣＰＵ１は、プログラムを実行することで各種演算を実行し、その演算結果を出力する。また、メインＣＰＵ１は、演算結果を一時的にＲＡＭ２に記憶しつつ演算を行う。本開示では、メインＣＰＵ１がＲＡＭ２に記憶されたプログラムを実行するモードをＲＡＭ実行モード、メインＣＰＵ１がＲＯＭ３に記憶されたプログラムを実行するモードをＲＯＭ実行モードと称する。

ＲＡＭ２は、第２記憶装置に相当する。ＲＡＭ２は、演算結果に加えて、受信した書込データを一時的に記憶される。また、ＲＡＭ２は、後ほど説明するリプログソフトが一時的に記憶される。

ＲＯＭ３は、第１記憶装置に相当する。ＲＯＭ３としては、ＥＥＰＲＯＭやフラッシュＲＯＭなどの不揮発性半導体記憶装置を採用できる。ＲＯＭ３は、電気的に内容の消去や書き換えができる。また、ＲＯＭ３は、所定単位で消去や書き換えができる。

ＲＯＭ３は、プログラムとして、制御プログラムとリプログ用のリプログソフト（ｒｐｓ）とが記憶されている。ＲＯＭ３は、書き換え可能に制御プログラムが記憶されている。ＲＯＭ３に記憶されている制御プログラムは、書換ツール２１から受信した書込データに書き換えられる。

ＲＯＭ３は、ＲＯＭ３への書き込み処理中に、ＲＯＭ３へのアクセス制限がかかる。つまり、ＲＯＭ３へのリードアクセスができない。よって、メインＣＰＵ１は、ＲＯＭ３への書き込み処理中にＲＯＭ実行モードで動作することができない。しかしながら、メインＣＰＵ１は、ＲＯＭ３への書き込み処理中であっても、ＲＡＭ実行モードで動作できる。また、セキュアＣＰＵ５１は、ＲＯＭ３への書き込み処理中にＲＯＭ３にアクセスできない。書き込みは、格納や記憶ともいえる。

通信装置４は、受信装置に相当する。通信装置４は、書換ツール２１と通信可能に構成されている。通信装置４は、ＲＯＭ３に記憶されたプログラムを更新する複数の書込データを受信する。

セキュリティモジュール５は、セキュアＣＰＵ５１とセキュアメモリ５２を備えている。なお、図１では、セキュアＣＰＵ５１をＳＣＰＵ、セキュアメモリ５２をＳＭＤと記載している。セキュリティモジュール５は、暗号サービスを実行する装置である。セキュリティモジュール５は、ハードウェアセキュリティモジュールとも称することができる。

セキュアメモリ５２は、ＲＡＭとＲＯＭなどを含んでいる。セキュアメモリ５２は、セキュアＣＰＵ５１が実行するプログラムが記憶されている。このプログラムは、セキュアメモリ５２のＲＯＭに記憶されている。また、プログラムは、セキュアメモリ５２のＲＯＭからＲＡＭに展開して、ＲＡＭ上で実行することも可能である。

例えば、セキュアメモリ５２のＲＯＭは、ＲＯＭ３と同じ不揮発性半導体記憶装置における、ＲＯＭ３とは異なる領域を用いることができる。よって、セキュアメモリ５２のＲＯＭは、上記と同様にアクセス制限がかかる。

セキュアＣＰＵ５１は、第２処理装置に相当する。セキュアＣＰＵ５１は、メインＣＰＵ１とは独立して処理を実行できる。セキュアＣＰＵ５１は、セキュアメモリ５２に記憶されているプログラム（暗号処理ソフト、ｃｐｓ）を実行することで、暗号サービスの演算処理を実行する。セキュアＣＰＵ５１は、暗号サービスの演算処理の一例として、受信した書込データの改ざん検知処理を行う。なお、暗号サービスとしては、他のＥＣＵの認証や外部機器の認証なども含まれる。また、図５などでは、図面をわかりやすくするために、ＲＯＭ３とセキュアメモリ５２をまとめて図示している。

セキュアＣＰＵ５１は、書換ツール２１から受信した、新しい書込データと鍵から生成された認証子を用いて改ざん検知処理を行う。セキュアＣＰＵ５１は、受信した書込データと鍵を使って認証子を演算する。本実施形態では、一例として、受信してＲＯＭ３に記憶された書込データと鍵とを使って認証子の演算を行う例を採用する。なお、ＥＣＵ１１は、例えば、ＥＣＵ１１の出荷前に予めＲＯＭ３に鍵が保存される。

このとき、演算に用いる鍵は、秘密鍵であればセキュアメモリ５２上に配置される。一方、公開鍵であれば、セキュアメモリ５２ではないＲＯＭ３やＲＡＭ２に配置することもできる。

また、セキュアＣＰＵ５１は、各書込データ単位で認証子の演算を進めることができる。なぜなら、認証子の演算処理は、使用する暗号アルゴリズムの処理サイズ（処理ブロック）単位で処理分割が可能であるため。

そして、セキュアＣＰＵ５１は、受信した認証子と、演算で得られた認証子とを比較する。つまり、セキュアＣＰＵ５１は、受信した認証子と、演算で得られた認証子とが一致するか否かを確認する。セキュアＣＰＵ５１は、一致した場合に改ざんされていないと判定し、一致しなかった場合に改ざんされていると判定する。なお、改ざん検知の方法は、これに限定されない。本開示は、認証子の代わりにデジタル署名を用いることもできる。

＜処理動作＞
図２～図５を用いて、ＥＣＵ１１の処理動作に関して説明する。まず、図２を用いてメインＣＰＵ１の処理動作に関して説明する。メインＣＰＵ１は、書換ツール２１から通信許可の要求をうけると図２のフローチャートに示す処理（書き換え処理）を開始する。また、メインＣＰＵ１は、書換ツール２１がＥＣＵ１１と通信可能に接続されたタイミングや、書換ツール２１によってＲＯＭ３のプログラムが消去されたタイミングで図２のフローチャートに示す処理を開始してもよい。

なお、図２のフローチャートを開始するタイミングでは、ＲＯＭ３は、書換ツール２１からの指示によって制御プログラムが消去されているものとする。よって、図５に示すように、ＲＯＭ３の制御プログラムが記憶される領域は、ブランク領域（ｂｌａ）となっている。

メインＣＰＵ１は、ＲＯＭ実行モードでステップＳ１０～Ｓ１３を行う。つまり、メインＣＰＵ１は、ＲＯＭ３に記憶されているリプログソフトを実行することで、ステップＳ１０～Ｓ１３を行う。

ステップＳ１０では、書込データを受信したか否かを判定する（受信処理）。メインＣＰＵ１は、書換ツール２１から送信された書込要求データを、通信装置４を介して受信したか否かによって判定する。書込要求データには、書込データも含まれている。メインＣＰＵ１は、書込要求データを受信したと判定した場合、書込データを受信したとみなしてステップＳ１１へ進む。メインＣＰＵ１は、書込要求データを受信したと判定しなかった場合、書込データを受信していないとみなしてステップＳ１０を繰り返す。

なお、書換ツール２１は、各書込データの書き込みを要求するたびに、書込要求データを送信する。よって、書換ツール２１は、全書込データのそれぞれの書き込みを要求するために、書込要求データを複数回送信する。このため、メインＣＰＵ１は、書込要求データを複数回受信する。

ステップＳ１１では、受信した書込データをＲＡＭに格納する（受信処理）。メインＣＰＵ１は、通信装置４を介して受信した書込データをＲＡＭ２に格納する。

ステップＳ１２では、所定サイズ分の書込データの受信が完了したか否かを判定する（受信処理）。メインＣＰＵ１は、ＲＡＭ２への書き込みサイズをカウントすることで、所定サイズ分の書込データの受信が完了したか否かを判定する。メインＣＰＵ１は、所定サイズ分の書込データの受信が完了したと判定した場合、ステップＳ１３へ進む。メインＣＰＵ１は、所定サイズ分の書込データの受信が完了したと判定しなかった場合、ステップＳ１１へ戻る。

このとき、図４、図５に示すように、メインＣＰＵ１は、ＲＯＭ実行モードでステップＳ１０～Ｓ１２を行う。そして、メインＣＰＵ１は、タイミングｔ１、ｔ３、ｔ５で書込データの受信処理（ｒｐ）を行う。

タイミングｔ１では、メインＣＰＵ１は、所定サイズ分の第１書込データｗｄ１を受信して（ｔｆ１）、受信した第１書込データｗｄ１をＲＡＭ２に格納する。タイミングｔ３では、メインＣＰＵ１は、所定サイズ分の第２書込データｗｄ２を受信して（ｔｆ２）、受信した第２書込データｗｄ２をＲＡＭ２に格納する。タイミングｔ５では、メインＣＰＵ１は、所定サイズ分の第３書込データｗｄ３を受信して（ｔｆ３）、受信した第３書込データｗｄ３をＲＡＭ２に格納する。

各書込データｗｄ１～ｗｄ３は、それぞれ所定サイズ分の書込データである。また、本実施形態では、代表例として、三つの書込データｗｄ１～ｗｄ３を採用している。しかしながら、本開示は、これに限定されず、複数の書込データであれば採用できる。

ステップＳ１３では、要求未送信であるか、または、完了通知を受信したか否かを判定する。メインＣＰＵ１は、セキュアＣＰＵ５１へ改ざん検知処理の演算開始の要求を未送信であると判定した場合、ステップＳ１４へ進む。一方、メインＣＰＵ１は、セキュアＣＰＵ５１へ改ざん検知処理の演算開始要求を未送信であると判定しなかった場合、ステップＳ１３を繰り返す。または、メインＣＰＵ１は、前回要求分の演算完了通知を受信したと判定した場合、ステップＳ１４へ進む。メインＣＰＵ１は、前回要求分の演算完了通知を受信したと判定しなった場合、ステップＳ１３を繰り返す。なお、前回要求とは、セキュアＣＰＵ５１に対する前回の改ざん検知処理の演算開始要求である。

メインＣＰＵ１は、ＲＡＭ実行モードでステップＳ１４～Ｓ１５を行う。つまり、メインＣＰＵ１は、ＲＡＭ２に展開されているリプログソフトを実行することで、ステップＳ１４～Ｓ１５を行う。メインＣＰＵ１は、ステップＳ１３とステップＳ１４との間にＲＡＭ実行モードへ移行する。また、メインＣＰＵ１は、ステップＳ１５とステップＳ１６との間にＲＯＭ実行モードへ移行する。

ステップＳ１４では、ＲＯＭに書込データを書き込む（書き込み処理）。メインＣＰＵ１は、ＲＡＭ２に記憶されている書込データをＲＯＭ３に書き込む。

ステップＳ１５では、書込データの書き込みが完了したか否かを判定する（書き込み処理）。メインＣＰＵ１は、ＲＯＭ３への書き込みサイズをカウントすることで、所定サイズ分の書込データのＲＯＭ３への書き込みが完了したか否かを判定する。メインＣＰＵ１は、所定サイズ分の書込データの書き込みが完了したと判定した場合、ＲＯＭ３への書き込みが完了したとみなしてステップＳ１６へ進む。一方、メインＣＰＵ１は、所定サイズ分の書込データの書き込みが完了したと判定しなった場合、ＲＯＭ３への書き込みが完了したとみなさずステップＳ１５を繰り返す。

このとき、図４、図５に示すように、メインＣＰＵ１は、ＲＡＭ実行モードでステップＳ１４、Ｓ１５を行う。そして、メインＣＰＵ１は、タイミングｔ２、ｔ４、ｔ６で書込データの書き込み処理（ｗｐ）を行う。タイミングｔ２では、メインＣＰＵ１は、ＲＡＭ２に記憶されている第１書込データｗｄ１をＲＯＭ３のブランク領域に格納する。タイミングｔ４では、メインＣＰＵ１は、ＲＡＭ２に記憶されている第２書込データｗｄ２をＲＯＭ３のブランク領域に格納する。タイミングｔ６では、メインＣＰＵ１は、ＲＡＭ２に記憶されている第３書込データｗｄ３をＲＯＭ３のブランク領域に格納する。

ステップＳ１６では、セキュアＣＰＵへ改ざん検知処理の演算開始を要求する。メインＣＰＵ１は、セキュアＣＰＵ５１へ改ざん検知処理の演算開始要求（ｃｒ１、ｃｒ２）を行う。詳述すると、メインＣＰＵ１は、ＲＡＭ２に記憶された書込データをＲＯＭ３に記憶すると、セキュアＣＰＵ５１に改ざん検知処理の実行を要求する。つまり、メインＣＰＵ１は、全ての書込データをＲＯＭ３に格納したタイミングではなく、所定サイズ分の書込データをＲＯＭ３に格納したタイミングで演算開始要求を送信する。これは、セキュアＣＰＵ５１に対して、改ざん検知処理の演算を複数回にわけて実行させるためである。また、これは、メインＣＰＵ１による書き換え処理と並行して、セキュアＣＰＵ５１に対して、改ざん検知処理の演算を実行させるためである。

図４、図５の例では、メインＣＰＵ１は、タイミングｔ２で第１書込データｗｄ１をＲＯＭ３のブランク領域に格納すると、セキュアＣＰＵ５１へ改ざん検知処理の演算開始要求（ｃｒ１）を行う。また、メインＣＰＵ１は、タイミングｔ４で第２書込データｗｄ２をＲＯＭ３のブランク領域に格納すると、セキュアＣＰＵ５１へ改ざん検知処理の演算開始要求（ｃｒ２）を行う。

ステップＳ１７では、書換ツールに結果を応答する。メインＣＰＵ１は、書換ツール２１から送信された書込要求データに対する結果を応答する。つまり、メインＣＰＵ１は、書込要求データに対する結果として、書込データｗｄ１～ｗｄ３のＲＯＭ３への書き込み完了を示す情報（ｗｃ１、ｗｃ２）を書換ツール２１に送信する。また、メインＣＰＵ１は、全ての書込データをＲＯＭ３に格納したタイミングではなく、所定サイズ分の書込データをＲＯＭ３に格納完了したタイミングで書き込み完了を示す情報を送信する。なお、メインＣＰＵ１は、書込データの受信、書込データの書き込み処理、改ざん検知処理の演算開始要求、書き込み完了を示す情報の送信までの一連の処理を必要に応じて繰り返す。しかしながら、図４、図５では、その一部のみを図示している。

図４の例では、メインＣＰＵ１は、タイミングｔ２での第１書込データｗｄ１の書き込み処理が完了すると、書き込み完了を示す情報（ｗｃ１）を書換ツール２１に送信する。また、メインＣＰＵ１は、タイミングｔ４での第２書込データｗｄ２の書き込み処理が完了すると、書き込み完了を示す情報（ｗｃ２）を書換ツール２１に送信する。

ステップＳ１８では、全書込データの書き込みが完了したか否かを判定する。メインＣＰＵ１は、書換ツール２１から送信されるすべての書込データのＲＯＭ３への書き込みが完了したか否かを判定する。メインＣＰＵ１は、ＲＯＭ３に書き込まれた制御プログラムのサイズによって、書き込みが完了したか否かを判定する。つまり、メインＣＰＵ１は、ＲＯＭ３に書き込まれた制御プログラムのサイズが予め決められた完了サイズに達している場合に完了したと判定する。また、メインＣＰＵ１は、ＲＯＭ３に書き込まれた制御プログラムのサイズが完了サイズに達していない場合に完了していないと判定する。

そして、メインＣＰＵ１は、書き込みが完了したと判定した場合、図２のフローチャートを終了する。一方、メインＣＰＵ１は、書き込みが完了したと判定しなかった場合、ステップＳ１０へ戻る。

このように、メインＣＰＵ１は、書込データを通信装置４で受信してＲＡＭ２に記憶し、ＲＡＭ２に記憶された書込データをＲＯＭ３に記憶する処理を、全ての書込データを対象として順番に行う（書き換え処理）。言い換えると、メインＣＰＵ１は、全ての書込データの書き込みが完了するまで、受信処理と書き込み処理を交互に行う。

なお、全ての書込データとは、ＲＯＭ３に記憶されている制御プログラムの全体もしくは一部を更新するための複数の書込データである。また、全ての書込データとは、全ての書き換え対象の書込データである。

次に、図３を用いて、セキュアＣＰＵ５１の処理動作に関して説明する。セキュアＣＰＵ５１は、所定時間ごとに図３のフローチャートに示す処理を開始する。

ステップＳ２０では、メインＣＰＵから演算開始要求を受信したか否かを判定する。セキュアＣＰＵ５１は、メインＣＰＵ１がステップＳ１６で送信した改ざん検知処理の演算開始要求を受信したか否かを判定する。セキュアＣＰＵ５１は、演算開始要求を受信したと判定した場合、ステップＳ２１へ進む。セキュアＣＰＵ５１は、演算開始要求を受信したと判定しなかった場合、ステップＳ２０を繰り返す。

ステップＳ２１では、指定の暗号サービスを行う。セキュアＣＰＵ５１は、暗号サービスの演算処理の一例として、受信した書込データの改ざん検知処理を行う。セキュアＣＰＵ５１は、ＲＯＭ３にアクセスして、ＲＯＭ３に新たに記憶された書込データを対象に改ざん検知処理の演算処理（ｃｐ）を行う。

上記のように、メインＣＰＵ１は、ＲＡＭ２に記憶された書込データをＲＯＭ３に記憶すると、演算開始要求を送信する。このため、セキュアＣＰＵ５１は、メインＣＰＵ１が次の書込データを通信装置４で受信してＲＡＭ２に記憶している際に、改ざん検知処理を行うことになる。つまり、セキュアＣＰＵ５１は、メインＣＰＵ１の受信処理と並行して、改ざん検知処理の演算処理を行う。また、セキュアＣＰＵ５１は、すでにＲＯＭ３に記憶された改ざん検知処理が行われていない書込データを対象に改ざん検知処理を行う。

図４、図５の例では、セキュアＣＰＵ５１は、タイミングｔ３でメインＣＰＵ１が第２書込データｗｄ２の受信処理を行っている際に、第１書込データｗｄ１に対する改ざん検知処理の演算処理を行う。また、セキュアＣＰＵ５１は、タイミングｔ５でメインＣＰＵ１が第３書込データの受信処理を行っている際に、第２書込データｗｄ２に対する改ざん検知処理の演算処理を行う。

ステップＳ２２では、暗号サービスが完了したか否かを判定する。セキュアＣＰＵ５１は、改ざん検知処理の演算処理が完了したと判定した場合、暗号サービスが完了したとみなしてステップＳ２３へ進む。一方、セキュアＣＰＵ５１は、改ざん検知処理の演算処理が完了したと判定しなった場合、暗号サービスが完了していないとみなしてステップＳ２２を繰り返す。

ステップＳ２３では、メインＣＰＵへ演算完了通知を送信する。セキュアＣＰＵ５１は、メインＣＰＵ１に対して演算完了通知を送信する。図４に示すように、セキュアＣＰＵ５１は、第１書込データに対する改ざん検知処理の演算処理が完了すると演算完了通知を送信する（ｃｃ１）。また、セキュアＣＰＵ５１は、第２書込データに対する改ざん検知処理の演算処理が完了すると演算完了通知を送信する（ｃｃ２）。

＜効果＞
このように、ＥＣＵ１１は、メインＣＰＵ１による書き換え処理と並行して、セキュアＣＰＵ５１が改ざん検知処理を行う。このため、ＥＣＵ１１は、メインＣＰＵ１による書き換え処理が完了した後に、セキュアＣＰＵ５１が改ざん検知処理を行う場合よりも、リプログラミングの時間を短縮できる。特に、ＥＣＵ１１は、書込データの書き込み処理＜書込データの受信処理、書込データの書き込み処理＜改ざん検知処理の演算処理の場合に、効率的にリプログラミングの時間を短縮できる。なお、リプログラミングの時間は、リプログラミングを介して、全ての書込データに対する改ざん検知処理の演算処理が完了するまでの時間である。

本実施形態では、上記のように、ＲＯＭ３への書き込み処理中にアクセス制限がかかるＲＯＭ３を採用している。しかしながら、ＥＣＵ１１は、メインＣＰＵ１による書き込み処理と、セキュアＣＰＵ５１による改ざん検知処理の演算処理とが時間的に重ならない。このため、ＥＣＵ１１は、ＲＯＭ３へのアクセス競合を回避できる。さらに、ＥＣＵ１１は、セキュアＣＰＵ５１による改ざん検知処理の演算処理をＲＯＭ実行モードとすることができる。この場合、セキュアＣＰＵ５１は、セキュアメモリ５２のＲＯＭに記憶された暗号処理ソフトを実行することになる。つまり、セキュアＣＰＵ５１は、暗号処理ソフトをセキュアメモリ５２のＲＡＭに展開して実行する必要がない。よって、ＥＣＵ１１は、セキュアＣＰＵ５１側のプログラム展開先のＲＡＭのサイズが小さくても実施できる。

また、ＥＣＵ１１は、セキュアＣＰＵ５１によって改ざん検知処理の演算処理を行うため、セキュリティ性を高く保つことができる。

以上、本開示の好ましい実施形態について説明した。しかしながら、本開示は、上記実施形態に何ら制限されることはなく、本開示の趣旨を逸脱しない範囲において、種々の変形が可能である。以下に、本開示のその他の形態として、第２実施形態、第３実施形態に関して説明する。上記実施形態および第２実施形態、第３実施形態は、それぞれ単独で実施することも可能であるが、適宜組み合わせて実施することも可能である。本開示は、実施形態において示された組み合わせに限定されることなく、種々の組み合わせによって実施可能である。

（第２実施形態）
図６～図８を用いて、第２実施形態のＥＣＵに関して説明する。本実施形態のＥＣＵは、基本的な構成がＥＣＵ１１と同じである。このため、本実施形態では、ＥＣＵ１１と同じ符号を用いる。また、セキュアＣＰＵ５１の処理動作は、上記実施形態と同様である。

本実施形態のＥＣＵ１１は、ＲＯＭ３の構成上、書き込み処理中にリプログソフトをＲＡＭ実行モードで動作させる必要がない点が、上記実施形態のメインＣＰＵ１と異なる。よって、本実施形態のＥＣＵ１１は、実行モードに制約がないといえる。また、これに伴って、本実施形態のメインＣＰＵ１は、各処理の順番が、上記実施形態のメインＣＰＵ１と異なる。

図６を用いてメインＣＰＵ１の処理動作に関して説明する。メインＣＰＵ１は、上記実施形態と同様、書換ツール２１から通信許可の要求などに応じて図６のフローチャートに示す処理（書き換え処理）を開始する。メインＣＰＵ１は、ＲＯＭ実行モードで各ステップＳ３０～Ｓ３８を行う。

メインＣＰＵ１は、各ステップＳ３０～Ｓ３６の処理順序が上記実施形態と異なる。ステップＳ３０はステップＳ１３と同じである。ステップＳ３１はステップＳ１０と同じである。ステップＳ３２はステップＳ１１と同じである。ステップＳ３３はステップＳ１２と同じである。ステップＳ３４はステップＳ１６と同じである。ステップＳ３５はステップＳ１４と同じである。ステップＳ３６はステップＳ１５と同じである。また、ステップＳ３７、Ｓ３８は、ステップＳ１７、Ｓ１８と同じである。

メインＣＰＵ１は、ステップＳ３４で、セキュアＣＰＵ５１へ改ざん検知処理の演算開始要求（ｃｒ１、ｃｒ２）を行う。また、メインＣＰＵ１は、ステップＳ３１～Ｓ３３で受信処理を行った後にステップＳ３４を行う。つまり、メインＣＰＵ１は、各書込データｗｄ１～ｗｄ３を通信装置４で受信してＲＡＭ２に記憶すると、セキュアＣＰＵ５１に改ざん検知処理の実行を要求する。

しかしながら、メインＣＰＵ１は、最初に第１書込データｗｄ１を通信装置４で受信してＲＡＭ２に記憶したタイミングでは改ざん検知処理の実行を要求しない。これは、このタイミングでは、ＲＯＭ３に書込データが記憶されていないためである。

図７、図８の例では、メインＣＰＵ１は、タイミングｔ１、ｔ３、ｔ５で書込データｗｄ１～ｗｄ３の受信処理（ｒｐ）行う。メインＣＰＵ１は、タイミングｔ１で第１書込データｗｄ１をＲＡＭ２に記憶しても、セキュアＣＰＵ５１へ改ざん検知処理の演算開始要求を行わない。しかしながら、メインＣＰＵ１は、タイミングｔ３で第２書込データｗｄ２をＲＡＭ２に記憶すると、セキュアＣＰＵ５１へ改ざん検知処理の演算開始要求（ｃｒ１）を行う。また、メインＣＰＵ１は、タイミングｔ５で第３書込データｗｄ３をＲＡＭ２に記憶すると、セキュアＣＰＵ５１へ改ざん検知処理の演算開始要求（ｃｒ２）を行う。

このため、セキュアＣＰＵ５１は、メインＣＰＵ１がＲＡＭ２に記憶された書込データｗｄ１～ｗｄ３をＲＯＭ３に記憶している際に、改ざん検知処理を行うことになる。つまり、セキュアＣＰＵ５１は、メインＣＰＵ１の書き込み処理と並行して、改ざん検知処理の演算処理を行う。また、セキュアＣＰＵ５１は、すでにＲＯＭ３に記憶された改ざん検知処理が行われていない書込データを対象に改ざん検知処理を行う。

図７、図８の例では、メインＣＰＵ１は、タイミングｔ２、ｔ４、ｔ６で書込データｗｄ１～ｗｄ３の書き込み処理（ｗｐ）を行う。セキュアＣＰＵ５１は、タイミングｔ２では演算開始要求を受信していないため改ざん検知処理の演算処理を行わない。そして、セキュアＣＰＵ５１は、タイミングｔ４でメインＣＰＵ１が第２書込データｗｄ２の書き込み処理を行っている際に、第１書込データｗｄ１に対する改ざん検知処理の演算処理を行う。また、セキュアＣＰＵ５１は、タイミングｔ６でメインＣＰＵ１が第３書込データｗｄ３の書き込み処理を行っている際に、第２書込データｗｄ２に対する改ざん検知処理の演算処理を行う。

ＥＣＵ１１は、上記実施形態と同様の効果を奏することができる。特に、ＥＣＵ１１は、実行モードに制約がないため、書込データｗｄ１～ｗｄ３の書き込み処理と並行して改ざん検知処理の演算処理を行うことができる。また、ＥＣＵ１１は、書込データの受信処理＜書込データの書き込み処理、書込データの受信処理＜改ざん検知処理の演算処理の場合に、効率的にリプログラミングの時間を短縮できる。つまり、ＥＣＵ１１は、無駄な待ち時間が発生せずより一層効率的に処理ができる。

（第３実施形態）
図９～図１６を用いて、第３実施形態のＥＣＵ１２に関して説明する。ＥＣＵ１２は、基本的な構成がＥＣＵ１１と同じである。このため、ＥＣＵ１２の構成要素には、ＥＣＵ１１と同じ符号を用いる。また、セキュアＣＰＵ５１の処理動作は、上記実施形態と同様である。

ＥＣＵ１２は、無線通信装置２２（ＤＣＭ）と通信可能に構成されている点がＥＣＵ１１と異なる。そして、ＥＣＵ１２は、無線通信装置２２を介して書込データを受信する点がＥＣＵ１１と異なる。つまり、ＥＣＵ１２は、制御プログラムをＯＴＡ（Over the Air）によって更新するものである。また、ＥＣＵ１２は、ＲＯＭ３の構成がＥＣＵ１１と異なる。

無線通信装置２２は、センターに設置されたセンター装置と無線通信可能に構成されている。無線通信装置２２は、ＥＣＵ１２と電気的に接続されている。無線通信装置２２は、センター装置から受信した書込データなどをＥＣＵ１２に出力する。

センターは、車両の外部に設けられている。センター装置は、ＣＰＵ、ＲＯＭ、ＲＡＭなどを備えたコンピュータである。センター装置は、書換ツールと同様、書込データの送信などを行う。しかしながら、センター装置は、書換ツールと異なり、書込データを無線で送信する。

図１５に示すように、ＲＯＭ３は、セキュアメモリ５２のＲＯＭと同じ不揮発性半導体記憶装置における、セキュアメモリ５２のＲＯＭとは異なる領域である。この不揮発性半導体記憶装置は、２バンク構成となっている。第１バンク（ｂｎｋ１）は、制御プログラム（ｅｃｓ）、リプログソフト（ｒｐｓ）、暗号処理ソフト（ｃｐｓ）が記憶されている。第２バンク（ｂｎｋ２）は、リプログソフト（ｒｐｓ）、暗号処理ソフト（ｃｐｓ）が記憶されている。また、第２バンクは、書込データを書き込むためのブランク領域（ｂｌａ）がある。つまり、第２バンクのブランク領域にも制御プログラム（ｅｃｓ）が記憶される。

なお、図１５では、リプログソフトを使用して、第２バンクの制御プログラムの書き換えを実施する際の、書込データの受信から書き込み処理の流れを示している。２バンク構成のＲＯＭ３は、例えば第２バンクの書込み処理を行っている最中でも、第１バンクであればリードアクセスが可能である。このため、ＥＣＵ１２は、制御プログラムを動作させながら、リプログラミングが可能となる。

タイミングｔ１２、ｔ１４の書き込み処理中の場合、セキュアＣＰＵ５１は、暗号処理ソフトを実行して、ＲＡＭ２上の書込データをリードアクセスして改ざん検知処理の演算処理を実行することができる。また、タイミングｔ１３の受信処理中の場合、セキュアＣＰＵ５１は、暗号処理ソフトを実行して、すでにＲＯＭ３に書き込んだ書込データをリードアクセスして改ざん検知処理の演算処理を実行することができる。

図１０～図１６を用いて、ＥＣＵ１２の処理動作に関して説明する。まず、図１０、図１１、図１２を用いて、メインＣＰＵ１の処理動作に関して説明する。メインＣＰＵ１は、所定時間ごとに図１０のフローチャートに示す処理を開始する。なお、メインＣＰＵ１は、所定のイベント発生時に図１０のフローチャートに示す処理を開始してもよい。

ステップＳ４０では、ＥＣＵ制御処理を実行する。メインＣＰＵ１は、ＲＯＭ３に記憶されている制御プログラムを実行して、ＥＣＵ制御処理を行う。

ここで、図１１を用いて、ＥＣＵ制御処理に関して説明する。ステップＳ５０では、制御処理を実行する。メインＣＰＵ１は、制御プログラムに従って、制御処理（Ａ）を実行する。図１６のタイミングｔ２０などに示すように、メインＣＰＵ１は、所定時間ごとに、制御処理を実行する。

ステップＳ５１では、暗号サービス要求の実行が必要か否かを判定する。メインＣＰＵ１は、例えば、センター装置から通信許可の要求をうけたか否かによって、暗号サービス要求の実行が必要か否かを判定する。なお、暗号サービス要求の実行が必要か否かの判定は、これに限定されない。メインＣＰＵ１は、例えば他ＥＣＵからの制御データを受信した際に認証処理が必要になるケースなど、制御処理の内容によって、暗号サービス要求の実行が必要か否かを判定してもよい。

メインＣＰＵ１は、通信許可の要求をうけた場合、暗号サービス要求の実行が必要と判定してステップＳ５２へ進む。一方、メインＣＰＵ１は、通信許可の要求をうけてない場合、暗号サービス要求の実行が必要と判定せずに図１１のフローチャートを終了する。暗号サービス要求は、例えば、受信した書込データの改ざん検知処理の演算開始の要求である。

ステップＳ５２では、暗号処理状態（ｓｔｔ）がアイドル状態か否かを判定する。メインＣＰＵ１は、暗号処理状態がアイドル状態（Ｉ）か否かを判定する。メインＣＰＵ１は、暗号処理状態がアイドル状態と判定した場合、ステップＳ５３へ進む。一方、メインＣＰＵ１は、暗号処理状態がアイドル状態と判定しなかった場合、ステップＳ５６へ進む。アイドル状態は、制御プログラム要求、リプログソフト要求ともに実行中でない状態である。

図１６に示すように、暗号処理状態は、Ｉ、Ｒ１、Ｒ２の三つの状態がある。Ｉは、アイドル状態を示している。Ｒ１は、制御プログラム要求実行中を示している。Ｒ２は、リプログソフト要求実行中を示している。暗号処理状態は、ＲＡＭやレジスタなどに設定可能に構成されている。

ステップＳ５３では、メインＣＰＵ１は、暗号サービス要求待ちフラグをオフする。暗号サービス要求待ちフラグは、ＲＡＭ２やレジスタなどに設けられている。ステップＳ５４では、メインＣＰＵ１は、暗号処理状態を制御プログラム要求実行中（Ｒ１）に変更する。

ステップＳ５５では、セキュアＣＰＵへ暗号サービスの実行を要求する。メインＣＰＵ１は、タイミングｔ２０などに示すように、セキュアＣＰＵ５１へ暗号サービスの実行を要求する。ここでの暗号サービスは、リプロソフト要求の書込データの改ざん検知処理の演算処理とは異なる。なお、Ｄは、セキュアＣＰＵ５１による暗号サービスの処置中を示している。

また、タイミングｔ３０に示すように、メインＣＰＵ１は、セキュアＣＰＵ５１が暗号サービスを実行中の場合、要求保留とする。しかしながら、メインＣＰＵ１は、性能優先のため演算完了の通知を受け取り次第リトライする。なお、暗号サービスの実行要求は、暗号処理要求や改ざん検知処理の演算開始要求ともいえる。

ステップＳ５６では、メインＣＰＵ１は、暗号サービス要求待ちフラグをオンする。暗号サービス要求待ちフラグは、上記のように要求保留した暗号サービスの完了通知を受け取った際に、リトライするためのものである。

ここで、図１０のフローチャートに戻る。ステップＳ４１では、リプロ処理実行が必要か否かを判定する。リプロ処理は、書き換え処理と同意である。メインＣＰＵ１は、センター装置からのリプロ要求があるか否かで、リプロ処理の実行が必要か否かを判定する。メインＣＰＵ１は、センター装置からのリプロ要求がある場合、リプロ処理の実行が必要と判定してステップＳ４２へ進む。一方、メインＣＰＵ１は、センター装置からのリプロ要求がない場合、リプロ処理の実行が必要と判定せずに図１０のフローチャート通信装置を終了する。

ステップＳ４２では、リプロ処理を実行する。メインＣＰＵ１は、リプログソフトに従ってリプロ処理（Ｂ、Ｃ）を行う。リプロ処理は、上記実施形態と同様、書込データの受信処理と書込データの書き込み処理である。ここで、図１２、図１３を用いて、リプロ処理に関して説明する。メインＣＰＵ１は、リプログソフトを実行する。

ステップＳ６０では、メインＣＰＵ１は、暗号処理状態がアイドル状態か否かを判定する。メインＣＰＵ１は、暗号処理状態がアイドル状態と判定した場合、ステップＳ６１へ進む。一方、メインＣＰＵ１は、暗号処理状態がアイドル状態と判定しなかった場合、ステップＳ６８へ進む。例えばタイミングｔ２２に示すように、メインＣＰＵ１は、リプログソフトを実行中に、暗号サービス処理が実行中のため要求を保留する。

ステップＳ６１では、メインＣＰＵ１は、データ格納情報を確認して、データ格納領域がＲＡＭ２であるか否かを判定する。メインＣＰＵ１は、データ格納領域がＲＡＭ２であると判定した場合、ステップＳ６２へ進む。一方、メインＣＰＵ１は、データ格納領域がＲＡＭ２であると判定しなかった場合、ステップＳ６４へ進む。

ステップＳ６４では、メインＣＰＵ１は、データ格納情報を確認して、データ格納領域がＲＯＭ３であるか否かを判定する。メインＣＰＵ１は、データ格納領域がＲＯＭ３であると判定した場合、ステップＳ６５へ進む。一方、メインＣＰＵ１は、データ格納領域がＲＯＭ３であると判定しなかった場合、ステップＳ６８へ進む。なお、データ格納情報は、ＲＡＭやレジスタなどに設定可能に構成されている。

ステップＳ６２、Ｓ６５では、メインＣＰＵ１は、暗号処理状態をリプログソフト要求実行中（Ｒ２）に変更する。

ステップＳ６３では、メインＣＰＵ１は、ＲＡＭ上の書込データを対象にセキュアＣＰＵへ暗号サービスの実行要求を行う。例えばタイミングｔ２６では、メインＣＰＵ１は、暗号処理状態がアイドル状態であるため、ＲＡＭ２に書込み済の第２書込データｗｄ２に対する暗号サービスの実行要求を行う。また、タイミングｔ２９では、メインＣＰＵ１は、ＲＡＭ２に書き込み済の第３書込データｗｄ３に対する暗号サービスの実行要求を行う。これによって、セキュアＣＰＵ５１は、改ざん検知処理の演算処理（Ｅ）を行う。

つまり、メインＣＰＵ１は、ＲＯＭ３に記憶されたプログラムを実行中に、セキュアＣＰＵ５１にＲＡＭ２を対象とした改ざん検知処理の実行を要求する。また、メインＣＰＵ１は、セキュアＣＰＵ５１がアイドル状態であり、かつ、書込データを通信装置４で受信してＲＡＭ２に記憶した場合、セキュアＣＰＵ５１にＲＡＭ２を対象とした改ざん検知処理の実行を要求する。

ステップＳ６６では、ＲＯＭ上の書込データを対象にセキュアＣＰＵへ暗号サービスの実行要求を行う。例えばタイミングｔ２４では、メインＣＰＵ１は、暗号処理状態がアイドル状態であるためＲＯＭ３に書込み済の第１書込データｗｄ１に対する暗号サービスの実行要求を行う。これによって、セキュアＣＰＵ５１は、改ざん検知処理の演算処理（Ｅ）を行う。なお、図１６のＷは、書き込みアクセスを示している。Ｒは、読み出しアクセスを示している。

つまり、メインＣＰＵ１は、ＲＯＭ３に記憶されたプログラムを実行中に、セキュアＣＰＵ５１にＲＯＭ３を対象とした改ざん検知処理の実行を要求する。また、メインＣＰＵ１は、セキュアＣＰＵ５１がアイドル状態であり、かつ、ＲＡＭ２に記憶された書込データをＲＯＭ３に記憶した場合、セキュアＣＰＵ５１にＲＯＭ３を対象とした改ざん検知処理の実行を要求する。

このように、ＥＣＵ１２は、セキュアＣＰＵ５１がアイドル状態のときに、改ざん検知処理の演算処理を実行する。また、書込データは、セキュアＣＰＵ５１のアイドル状態のタイミングによって、格納されている領域が異なる。つまり、書込データは、ＲＯＭ３に格納されているときと、ＲＡＭ２に格納されているときがある。

このため、ＥＣＵ１２は、セキュアＣＰＵ５１による改ざん検知処理のためにセキュアＣＰＵ５１がアクセスする対象をＲＡＭ２とＲＯＭ３で動的に切り替える。言い換えると、ＥＣＵ１２は、セキュアＣＰＵ５１による改ざん検知処理の対象を、ＲＡＭ２に格納されている書込データと、ＲＯＭ３に格納されている書込データとで切り替える。また、ＥＣＵ１２は、アイドル状態のタイミングにより、これらを切り替える。

ステップＳ６７では、メインＣＰＵ１は、データ格納情報になしを設定する。ステップＳ６８では、メインＣＰＵ１は、センター装置から書込データを受信したか否かを判定する（受信処理）。メインＣＰＵ１は、センター装置から書込データを受信したと判定するとステップＳ６９へ進む。一方、メインＣＰＵ１は、センター装置から書込データを受信したと判定しないと図１２、図１３のフローチャートを終了する。

ステップＳ６９では、受信した書込データをＲＡＭに格納する（受信処理）。ステップＳ７０では、メインＣＰＵ１は、所定サイズ分の書込データの受信が完了か否かを判定する（受信処理）。メインＣＰＵ１は、所定サイズ分の書込データの受信が完了と判定した場合、ステップＳ７１へ進む。一方、メインＣＰＵ１は、所定サイズ分の書込データの受信が完了と判定しなかった場合、ステップＳ７２へ進む。

ステップＳ７１では、メインＣＰＵ１は、データ格納情報にＲＡＭ２を設定する。これは、書込データがＲＡＭ２に格納されていることを示すためである。

ステップＳ７２では、メインＣＰＵ１は、書込データの書き込みが完了したか否かを判定する（受信処理）。メインＣＰＵ１は、書込データのＲＯＭ３への書き込みが完了したと判定した場合、ステップＳ７３へ進む。一方、メインＣＰＵ１は、書込データのＲＯＭ３への書き込みが完了したと判定しなかった場合、ステップＳ７４へ進む。

ステップＳ７３では、メインＣＰＵ１は、データ格納情報にＲＯＭ３を設定する。これは、書込データがＲＯＭ３に格納されていることを示すためである。

ステップＳ７４では、メインＣＰＵ１は、書き込みが未開始であるか否かを判定する。メインＣＰＵ１は、書き込みが未開始であると判定した場合、ステップＳ７５へ進む。一方、メインＣＰＵ１は、書き込みが未開始であると判定しなかった場合、つまり、書込み途中である場合、図１２、図１３のフローチャートを終了する。なお、書き込みの開始から書き込みの完了までは、フラッシュコントローラが動作する。このため、書き込み処理中は、メインＣＰＵ１を占有しない。

ステップＳ７５では、メインＣＰＵ１は、データ格納情報を確認して、データ格納領域がＲＡＭであるか否かを判定する。メインＣＰＵ１は、データ格納領域がＲＡＭであると判定した場合、ステップＳ７６へ進む。一方、メインＣＰＵ１は、データ格納領域がＲＡＭであると判定しなかった場合、図１２、図１３のフローチャートを終了する。

ステップＳ７６では、メインＣＰＵ１は、ＲＯＭ３に書込データの書き込みを開始する（書き込み処理）。

メインＣＰＵ１は、タイミングｔ２１で第１書込データｗｄ１の受信とＲＡＭ２への書き込みが完了する。メインＣＰＵ１は、タイミングｔ２３で第１書込データｗｄ１のＲＯＭ３への書き込みが完了する。タイミングｔ２１からタイミングｔ２３の期間は、ＲＡＭ２に格納された第１書込データｗｄ１のアクセスが可となっている。

メインＣＰＵ１は、タイミングｔ２５で第２書込データｗｄ２の受信とＲＡＭ２への書き込みが完了する。メインＣＰＵ１は、タイミングｔ２７で第２書込データｗｄ２のＲＯＭ３への書き込みが完了する。タイミングｔ２５からタイミングｔ２７の期間は、ＲＡＭ２に格納された第２書込データｗｄ２のアクセスが可となっている。

メインＣＰＵ１は、タイミングｔ２８で第３書込データｗｄ３の受信とＲＡＭ２への書き込みが完了する。メインＣＰＵ１は、タイミングｔ３１で第３書込データｗｄ３のＲＯＭ３への書き込みが完了する。タイミングｔ２８からタイミングｔ３１の期間は、ＲＡＭ２に格納された第３書込データｗｄ３のアクセスが可となっている。なお、セキュアＣＰＵ５１は、タイミングｔ２３から次のＲＯＭ３の書き込みアクセスＷの直前まで、および、タイミングｔ２７から次のＲＯＭ３の書き込みアクセスＷの直前までの区間で、ＲＯＭ３へのアクセスが可能となっている。ＲＯＭ３の書き込みアクセスＷの間は、フラッシュコントローラが書き込み処理中のため、各ＣＰＵ１，５からＲＯＭ３へのアクセスができない。

次に、図１４を用いて、メインＣＰＵ１の完了通知後の処理に関して説明する。メインＣＰＵ１は、セキュアＣＰＵ５１から演算完了の通知を受信すると図１４のフローチャートに示す処理を開始する。

ステップＳ８０では、暗号サービス要求待ちフラグがオンであるか否かを判定する。メインＣＰＵ１は、暗号サービス要求待ちフラグがオンであると判定するとステップＳ８１へ進む。一方、メインＣＰＵ１は、暗号サービス要求待ちフラグがオンであると判定しないとステップＳ８４へ進む。

ステップＳ８１では、メインＣＰＵ１は、暗号サービス要求待ちフラグをオフする。ステップＳ８２では、メインＣＰＵ１は、暗号処理状態を制御ソフト要求実行中（Ｒ１）に変更する。ステップＳ８３では、メインＣＰＵ１は、セキュアＣＰＵ５１へ暗号サービスの実行要求を行う。ステップＳ８４では、メインＣＰＵ１は、暗号処理状態をアイドル状態（Ｉ）に変更する。

ＥＣＵ１２は、ＥＣＵ１１と同様の効果を奏することができる。ＥＣＵ１２は、メインＣＰＵ１による制御プログラムの実行を妨げることなく、ＯＴＡによってリプログを行うことができる。また、ＥＣＵ１２は、メインＣＰＵ１による制御プログラムの実行を妨げることなく、メインＣＰＵ１による書き換え処理が完了した後に、セキュアＣＰＵ５１が改ざん検知処理を行う場合よりも、リプログラミングの時間を短縮できる。

本開示は、実施例に準拠して記述されたが、本開示は当該実施例や構造に限定されるものではないと理解される。本開示は、様々な変形例や均等範囲内の変形をも包含する。加えて、様々な組み合わせや形態が本開示に示されているが、それらに一要素のみ、それ以上、あるいはそれ以下、を含む他の組み合わせや形態をも、本開示の範畴や思想範囲に入るものである。

１…メインＣＰＵ、２…ＲＡＭ、３…ＲＯＭ、４…通信装置、５…セキュリティモジュール、５１…セキュアＣＰＵ、５２…セキュアメモリ、１１，１２…ＥＣＵ、２１…書換ツール、２２…無線通信装置

Claims (6)

1. 書き換え可能にプログラムが記憶された第１記憶装置（３）と、
   前記プログラムを実行する第１処理装置（１）と、
   前記第１記憶装置に記憶された前記プログラムを更新する複数の書込データを受信する受信装置（４）と、
   受信した前記書込データを一時的に記憶しておく第２記憶装置（２）と、
   受信した前記書込データの改ざん検知処理を行う第２処理装置（５１）と、を備え、
   前記第１処理装置は、
   前記書込データを前記受信装置で受信して前記第２記憶装置に記憶し、前記第２記憶装置に記憶された前記書込データを前記第１記憶装置に記憶する書き換え処理を実行し、
   前記第２処理装置は、
   前記書き換え処理と並行して、前記書込データの改ざん検知処理を実行する電子制御装置。
2. 前記第２処理装置は、前記第１処理装置が前記書込データを前記受信装置で受信して前記第２記憶装置に記憶している際に、すでに前記第１記憶装置に記憶された前記改ざん検知処理が行われていない前記書込データを対象に前記改ざん検知処理を行う請求項１に記載の電子制御装置。
3. 前記第１処理装置は、前記第２記憶装置に記憶された前記書込データを前記第１記憶装置に記憶すると、前記第２処理装置に前記改ざん検知処理の実行を要求する請求項２に記載の電子制御装置。
4. 前記第２処理装置は、前記第１処理装置が前記第２記憶装置に記憶された前記書込データを前記第１記憶装置に記憶している際に、すでに前記第１記憶装置に記憶された前記改ざん検知処理が行われていない前記書込データを対象に前記改ざん検知処理を行う請求項１に記載の電子制御装置。
5. 前記第１処理装置は、前記書込データを前記受信装置で受信して前記第２記憶装置に記憶すると、前記第２処理装置に前記改ざん検知処理の実行を要求する請求項４に記載の電子制御装置。
6. 前記第１処理装置は、前記第１記憶装置に記憶された前記プログラムを実行中に、前記第２処理装置がアイドル状態であり、かつ、前記書込データを前記受信装置で受信して前記第２記憶装置に記憶した場合、前記第２処理装置に前記第２記憶装置を対象とした前記改ざん検知処理の実行を要求し、前記第２処理装置が前記アイドル状態であり、かつ、前記第２記憶装置に記憶された前記書込データを前記第１記憶装置に記憶した場合、前記第２処理装置に前記第１記憶装置を対象とした前記改ざん検知処理の実行を要求する請求項１に記載の電子制御装置。

Images