JP4534731B2 - 電子制御装置及びその識別コード生成方法 - Google Patents

Description

本発明は、各種車載機器を制御する電子制御装置及び外部ツールによるそれら電子制御装置の制御プログラム等の書き換えに際して有益な電子制御装置の識別コード生成方法に関するものである。

近年、車両、特に各種車載機器の高機能化に伴い、例えばエンジンの運転を制御する電子制御装置をはじめ、変速機や空調装置、照明装置、ドア、ミラー等々を制御する数多くの電子制御装置が車両に搭載されている。これらの電子制御装置はいずれも、それら制御対象の制御に用いられる制御プログラムや制御データが予め格納された不揮発性のメモリを備えており、この不揮発性メモリに格納されている制御データやセンサ等を通じて取り込まれるデータを用いて制御プログラムを実行することにより、それぞれ所望とされる制御を行うようになる。

ところで、上記不揮発性メモリに格納されている制御プログラムや制御データは、制御プログラムのバージョンアップや修正等に伴って、その内容の書き換えが必要となることがある。ただし、無条件にこれら制御プログラム等の書き換えを可能としたのでは、法律基準を超えたＮＯｘ、ＨＣ、ＣＯの排出等、エミッションの悪化による環境への悪影響や車両性能の低下等を招きかねない。そこで従来は、このような事態に対処するために、例えば特許文献１に記載の電子制御装置が提案されている。この電子制御装置では、外部ツールを通じて上記不揮発性メモリの内容を更新する旨の要求があった場合、同要求があったタイミングによって一意的に定まる識別コードを外部ツールに返送するとともに、該識別コードから所定の認証アルゴリズムに従って認証コードを生成する。そして、電子制御装置は、上記返送した識別コードに対応して外部ツールから同様の認証アルゴリズムに従って生成、発行される同じく認証コードであるロック解除コードと自ら生成した認証コードとを照合し、両者が一致していることを条件に不揮発性メモリの内容の更新を許可する。このような認証コードを用いた照合によって、上記不揮発性メモリの内容の不正な更新も好適に制限することができるようになる。
特開２００４−５１０５６号公報

ところで、上記従来の電子制御装置では、不揮発性メモリの内容を更新する旨の要求が外部ツールからあった場合、同要求があったタイミングによって一意的に定まる識別コードを採用している。このため、偶然にしろ、或いは故意にしろ、同要求が同一タイミングで発せられた場合には、同一内容の識別コードが外部ツールに対して応答されてしまう不都合がある。しかも、同従来の電子制御装置にあっては、こうしたタイミングの特定をフリーランカウンタのカウント値に基づいて行っているため、同タイミングの同定も決して不可能ではない。そして、ひとたびこの識別コードが解読されてしまうようなことがあれば、上記認証アルゴリズムとして同一のアルゴリズムを採用している全ての電子制御装置に対して上記不揮発性メモリの不正書き換えが可能になるなど、社会的な影響も計り知れないものとなる。

本発明は、こうした実情に鑑みてなされたものであり、その目的は、より高いセキュリティレベルをもって外部ツールによる不揮発性メモリの内容の不正書き換えを予防することのできる電子制御装置、及びその識別コード生成方法を提供することにある。

こうした目的を達成するため、請求項１或いは請求項６に記載の発明では、車載機器を制御する制御プログラム及び制御データが不揮発性メモリの書き換え可能な領域に格納されており、外部ツールを通じてのそれら制御プログラム及び制御データの書き換え要求に際し、同外部ツールから識別コードの取得要求が発行されることに基づき識別コードを生成してこれに応答するとともに、外部ツールとの間で共通に定められている認証アルゴリズムに基づき前記識別コードから作成した認証コードと外部ツールにて同様に作成されて発行される認証コードとを照合し、それら認証コードが一致していることを条件に外部ツールによる不揮発性メモリへのアクセスを許可する電子制御装置或いはその識別コード生成方法として、外部ツールからの識別コードの取得要求の発行に基づき生成される識別コードが、該識別コードの取得要求が発行されたタイミングで定まる値と固有のセキュリティコードとの演算結果として生成されるようにした。

このような構成による電子制御装置或いはその識別コード生成方法によれば、上記認証アルゴリズムにおいて用いられる識別コードが、該識別コードの取得要求が発行されたタイミングで定まる値と固有のセキュリティコードとの演算結果として生成されるため、外部ツールからの識別コードの取得要求タイミングがたとえその発行タイミングで定まる値と同一であったとしても、それによって同一の識別コード、ひいては同一の認証コードが生成されてしまうといった懸念は確実に解消されるようになる。このため、より高いセキュリティレベルをもって、外部ツールによる不揮発性メモリの内容の不正書き換えを予防することができるようになる。なお、上記セキュリティコードの格納場所、或いは保持態様は任意である。すなわち、上記セキュリティコードについてはこれを、例えば上記不揮発性メモリの記憶領域の一部や同不揮発性メモリとは別途設けられた記憶手段（レジスタ等を含む）に格納するようにしてもよいし、或いは複数のジャンパーピンの接続パターン等を通じて同コードを生成、保持するようにしてもよい。また、上記識別コードの取得要求が発行されたタイミングで定まる値と固有のセキュリティコードとの演算内容も任意であり、例えば通常の四則演算（加減剰余）や論理演算（論理和、論理積、排他的論理和）等、任意の演算を採用することができる。

またこの場合、上記固有のセキュリティコードとしては、例えば請求項２、請求項７に記載の発明によるように、
（イ）当該電子制御装置の搭載対象となる車両に固有の識別番号。
或いは請求項３、請求項８に記載の発明によるように、
（ロ）当該電子制御装置の製造時にそれら電子制御装置の別に一意的に割り振られる番号。
等々、を採用することができる。ちなみに、上記識別コードの取得要求が発行されるタイミングが同一であったとしても、上記（イ）の構成或いは方法によれば車両毎に異なる識別コードが電子制御装置から返送されることになり、また上記（ロ）の構成或いは方法によれば電子制御装置毎に異なる識別コードが電子制御装置から返送されることとなる。いずれにしろ、上記固有のセキュリティコードとしてこのような番号が用いられることで、上記演算結果として生成される識別コードの秘匿性も好適に維持されるようになる。

一方、これら請求項１〜３のいずれかに記載の電子制御装置において、請求項４或いは請求項９に記載の発明によるように、外部ツールからの２回目以降の識別コードの取得要求の発行に基づく識別コードの生成に際しては、前記演算結果として生成された前回の識別コードを新たな固有のセキュリティコードとして用いることとすれば、上記識別コード自体、二度と同一のコードが用いられることもなくなり、その秘匿性はもとより、システム全体としてのセキュリティレベルも大きく向上されるようになる。なお、この場合には、上記セキュリティコードの格納先としても、上述した不揮発性メモリの記憶領域の一部やレジスタ等を含めた書き換え可能な記憶手段であることが望ましい。

なお、これらの電子制御装置或いはその識別コード生成方法において、上記外部ツールから識別コードの取得要求が発行されたタイミングで定まる値としては、請求項５或いは請求項１０に記載の発明によるように、フリーランカウンタのカウント値を用いることが実用上望ましい。このようなフリーランカウンタは前述した従来のシステムにおいても採用されており、上記値としてこのようなフリーランカウンタのカウント値を用いることとすれば、より小規模な変更を通じて、セキュリティレベルを向上する本発明としての上述した電子制御装置やその識別コード生成方法の実現が可能となる。

以下、車両に搭載された電子制御装置、例えば車載エンジンの運転を制御する電子制御装置に本発明にかかる電子制御装置及びその識別コード生成方法を具体化した一実施の形態について説明する。

本実施の形態にかかる電子制御装置には、その搭載する不揮発性メモリ内に、車載エンジンの運転制御に用いられる各種の制御プログラムや制御データが予め格納されている。そして周知のように、このような電子制御装置では、制御データや各種センサを通じて取り込まれる運転状況を示すデータを用いて制御プログラムを実行することにより、エンジンの運転状態、例えば点火時期や燃料噴射量等をリアルタイムに制御する。

ところで、これらの制御プログラムや制御データは、バージョンアップや修正等が必要となることがある。そして、その場合には、外部ツールによりこれら制御プログラムや制御データの更新が行われることとなる。なお、この外部ツールとは、車両のエンジンルーム等、適宜の箇所に設けられているコネクタを介して車両に搭載されている各種電子制御装置と電気的に接続されて、それら電子制御装置の設定や制御情報の閲覧、制御プログラムや制御データの修正、更新等を行う際に用いられる機器である。そして、本実施の形態では、このような外部ツールを通じて実行される上記制御プログラムや制御データの修正、更新に際し、より高いセキュリティレベルをもって上記不揮発性メモリへのアクセスを許可することにより、それら制御プログラムや制御データの不正書き換えを予防するようにしている。以下、このような不正書き換えの予防を可能とする電子制御装置及びその識別コード生成方法について詳細に説明する。

図１は、本実施の形態にかかる電子制御装置と上記外部ツールとの関係をブロック図として概略的に示したものである。
同図１に示すように、電子制御装置１０（便宜上、１つだけ図示）は車両１に搭載されており、外部バスＯＢ及びインターフェース回路（Ｉ／Ｆ回路）２０を介して外部ツール３０と電気的に且つ通信可能に接続されている。

ここで、上記外部バスＯＢは、例えばＣＡＮ（Controller Area Network）等の車内ネットワークの一部として構成され、電子制御装置１０を含む複数の電子制御装置は、この外部バスＯＢを介して互いに通信可能に接続されている。

また、上記インターフェース回路２０は、上記外部バスＯＢと外部ツール３０との間で授受される信号をそれぞれが認識可能な信号に変換する回路である。
また、上記外部ツール３０は、電子制御装置１０に格納されている制御プログラムや制御データの上述した書き換えに際し、車両１（正確にはインターフェース回路２０）にコネクタ等を介して電気的に接続されて、電子制御装置１０との間での既定のプロトコルに従った通信を行う装置である。そして、電子制御装置１０からアクセス許可が発行されることを条件に、それら制御プログラムや制御データの書き換えを実行する。また、この外部ツール３０は上述のように、電子制御装置１０の設定や、エラー対策等を目的とした各種制御情報の閲覧を行う機能等も併せ有している。

一方、電子制御装置１０は、マイクロコンピュータを中心に構成される制御部１１、例えばフラッシュメモリ等からなる書き換え可能な不揮発性メモリ１２、及びフリーランカウンタ１３等を備えており、これらが上記外部バスＯＢに接続されている内部バスＩＢを通じて互いに電気的に接続されている。なお便宜上、図１での図示は割愛するが、この電子制御装置１０が上記車載エンジンの運転を制御する装置であった場合、同電子制御装置１０には更に、各種センサを通じて検出されるエンジンの運転状況を示すデータを取り込むためのポートや、インジェクタその他のアクチュエータを駆動するための駆動回路等が設けられている。

図２は、上記電子制御装置１０に採用されている不揮発性メモリ１２についてそのメモリマップを模式的に示したものである。同図２に示すように、この不揮発性メモリ１２には、次のような態様にて各記憶領域が設けられている。すなわち、以下に説明する手順をもって上記外部ツール３０との通信を行うダウンロードプログラムが格納されている記憶領域１２１をはじめ、後述するセキュリティコードとして当該車両１の車両コードが格納されている記憶領域１２２、そして上記制御プログラム及び制御データが格納されている記憶領域１２３がそれぞれ設けられている。なお、この実施の形態においては、これら記憶領域１２１〜１２３のうち、制御プログラム及び制御データが格納されている記憶領域１２３のみが、上記外部ツール３０による書き換えが可能な領域となっており、他の記憶領域１２１及び１２２はいずれも、その記憶（格納）内容の書き換えが禁止される設定となっている。

図３は、このような電子制御装置１０において、外部ツール３０から上記制御プログラム及び制御データの書き換え要求が発せられた際に、制御部１１による上記ダウンロードプログラムの実行に基づいて実施される通信の手順をシーケンスチャートとして示したものである。以下、この図３を併せ参照して、上記外部ツール３０からのプログラム（データ）書き換え要求が発せられた際の同電子制御装置１０の動作について詳述する。

いま、外部ツール３０から電子制御装置１０に対して認証（ロック解除）のための識別コードを要求する信号である識別コード要求信号が発行されたとすると、電子制御装置１０では、ステップＳ１０の処理として、これに応えるべく応答処理を実行する。この応答処理は、上記フリーランカウンタ１３のその時点でのカウント値とこの実施の形態においてセキュリティコードとして用いている車両コードとの演算結果として識別コードを生成する処理であり、その詳細を図４に示す。

すなわち、この応答処理では、図４に示されるように、まずステップＳ１０１において、第１パラメータとしてフリーランカウンタ１３のその時点でのカウント値を取得するとともに、ステップＳ１０２において、第２パラメータとして不揮発性メモリ１２の上記記憶領域１２２に格納されている車両コードを読み出す。そして、続くステップＳ１０３において、上記第１パラメータと上記第２パラメータとを加算して識別コードを生成する。その後、ステップＳ１０４において、この生成した識別コードを外部ツール３０に送信（応答）する。

こうして識別コードを応答した電子制御装置１０は、その後、上記シーケンス（図３）のステップＳ２０の処理として、上記生成した識別コードから所定の認証アルゴリズムに従って認証コードを生成する。

一方、外部ツール３０は、電子制御装置１０から応答された上記識別コードを受信すると、同シーケンスのステップＳ３０の処理として、電子制御装置１０において実行される認証アルゴリズムと同一の認証アルゴリズムを用いてこの識別コードから認証コードとしてロック解除コードを生成する。そして、この生成したロック解除コードを電子制御装置１０に対して送信（発行）する。

こうしてロック解除コード（認証コード）を受信した電子制御装置１０は次に、ステップＳ４０の処理として、この外部ツール３０から送信（発行）されたロック解除コード（認証コード）と自らが生成した認証コードとの照合処理を実行する。この照合処理の詳細を図５に示す。

すなわち、この照合処理では、図５に示されるように、ステップＳ４０１において、上記外部ツール３０から発行されたロック解除コード（認証コード）と自らが生成した認証コードとが一致するか否かをまずは判断する。そしてその結果、これら双方のコードが一致すると判断される場合には、ステップＳ４０２において、不揮発性メモリ１２の上記記憶領域１２３へのアクセスを許可する旨の信号を外部ツール３０に対して応答する。一方、ステップＳ４０１において上記双方のコードが不一致であると判断される場合には、ステップＳ４０３において、上記アクセスを不許可とする旨の信号を外部ツール３０に対して応答する。なお、このように認証コードが不一致であると判断される場合、電子制御装置１０はステップＳ４０３の処理として外部ツール３０との通信を強制的に遮断するようにしてもよい。

電子制御装置１０では、上記ステップＳ４０の照合処理（図３）としてこのように、双方の認証コードが一致していれば、不揮発性メモリ１２へのアクセスを許可するアクセス許可信号を外部ツール３０に応答する。一方、それら双方の認証コードが不一致であれば、同不揮発性メモリ１２へのアクセスを禁止するアクセス不許可信号（図３に破線で示す）を外部ツール３０に応答するか、もしくは通信を遮断する。

そして、こうした照合処理を通じて、電子制御装置１０から上記アクセス許可信号が応答された場合、上記制御プログラム及び制御データに対する書き換え処理を開始する。すなわち、これら制御プログラムや制御データの更新が実行されることになる。なお、この制御プログラムや制御データの更新に際しては、外部ツール３０と電子制御装置１０との間でチェックサム等による周知のエラー処理等が行われるようにしてもよい。

以上説明した本実施の形態の電子制御装置及びその識別コード生成方法によれば、以下のような効果を得ることができる。
（１）外部ツール３０及び電子制御装置１０の認証アルゴリズムにおいて用いられる識別コードは、フリーランカウンタ１３のカウント値と車両１に固有の車両コードとの演算結果として生成されるようにした。このため、フリーランカウンタのカウント値が同一となるタイミングで外部ツール３０から識別コード要求信号が発行されたとしても、同一の識別コード、ひいては同一の認証コードが生成されることはない。したがって、識別コードとしての秘匿性が好適に維持されるとともに、より高いセキュリティレベルをもって、外部ツール３０による不揮発性メモリ１２の内容の不正書き換えを予防することができる。

（２）識別コードの生成には、従来のシステムにおいても採用されているフリーランカウンタ１３のカウント値を用いることとした。このため、より小規模な変更を通じて、上述したセキュリティレベルの向上を図ることができる。

なお、この発明にかかる電子制御装置及びその識別コード生成方法は上記実施の形態に限定されるものではなく、同実施の形態を適宜変更した例えば次のような形態として実現することもできる。

・上記実施の形態においては、セキュリティコードとして車両コードを採用することとしたが、他に例えば、電子制御装置の製造時にそれら電子制御装置の別に一意的に割り振られる番号、具体的には製造番号等のシリアル番号や一定の規則をもって生成される英数字の組み合わせ等の製造コードも上記セキュリティコードとして採用することができる。そして、この場合には、図６に示すように、不揮発性メモリ１２の上記記憶領域１２２に、この製造コードが予め格納されることとなる。また、更には、これら車両コードと製造コードとを組み合わせたコードを同セキュリティコードとして採用するようにしてもよい。

・また、こうしたセキュリティコードとしては、図７に不揮発性メモリ１２ａとして示すように、外部ツール３０からの前回のアクセスに際して求められた識別コードをその都度新たなセキュリティコードとして採用することもできる。すなわちこの不揮発性メモリ１２ａにおいては、記憶領域１２２ａが制御部１１による書き換え可能領域として設定され、この記憶領域１２２ａに、外部ツール３０からの２回目以降の識別コード要求信号の発行に際して演算された識別コードが書き込まれることとなる。また、記憶領域１２１ａに予め格納されているダウンロードプログラムとしても、上述した応答処理（図３ステップＳ１０）に際し、図８に例示する態様で識別コードの生成、並びに該処理を行うプログラムが格納されることとなる。すなわち同図８に示されるように、ステップＳ１１１において、第１パラメータとしてフリーランカウンタ１３のその時点でのカウント値を取得するとともに、ステップＳ１１２において、第２のパラメータとして上記記憶領域１２２ａに格納されている前回の識別コードを読み出す。そして続くステップＳ１１３において、上記第１パラメータと上記第２パラメータとを加算して新たな識別コードを生成する。その後、ステップＳ１１４において、この生成した識別コードを外部ツール３０に送信（応答）するとともに、次のステップＳ１１５において、同新たに生成した識別コードを不揮発性メモリ１２ａの上記記憶領域１２２ａに格納（上書き）する。上記セキュリティコードとしてこのようなコードを採用することとすれば、識別コード自体、二度と同一のコードが用いられることもなくなり、その秘匿性はもとより、システム全体としてのセキュリティレベルも大きく向上されるようになる。

・上記実施の形態においては、識別コードの生成に際して上記第１パラメータと第２パラメータとを加算することとしたが、その演算内容は任意である。他に例えば、減算、乗算、除算等の四則演算や、論理和、論理積、排他的論理和等の論理演算も適宜採用することができる。また、これら演算の組み合せによって上記識別コードを生成するようにしてもよい。

・また、上記セキュリティコードの格納場所等も任意である。すなわち、上記不揮発性メモリ１２、１２ａの記憶領域の一部に限定されず、同不揮発性メモリ１２とは別途設けられた記憶手段、例えば制御部１１を構成するマイクロコンピュータが備えるレジスタ等にセキュリティコードを格納するようにしてもよい。また、図７及び図８に示した例以外の場合には、例えば回路基板上に設けられた複数のジャンパーピンの接続パターン等を通じて同コードを生成、保持するようにしてもよい。

・また、外部ツール３０からの識別コード要求信号（識別コードの取得要求）の発行のタイミングで定まる値も、フリーランカウンタ１３のカウント値には限定されない。他に例えば乱数発生器（乱数発生プログラム）を備えるなどし、識別コード要求信号が発行された時点で発生されている乱数をこの発行タイミングで定まる値として採用するようにしてもよい。要は、固有のセキュリティコードと、外部ツール３０からの識別コード要求信号の発行タイミングで定まる値との演算結果として識別コードが生成されるものであればよい。

本発明にかかる電子制御装置及びその識別コード生成方法の一本実施の形態について、外部ツールとの関係を模式的に示すブロック図。 同実施の形態の電子制御装置に採用されている不揮発性メモリのメモリマップを模式的に示す図。 同実施の形態の電子制御装置と外部ツールとの間の通信態様を示すシーケンス図。 同実施の形態の電子制御装置による識別コードの生成、応答処理についてその処理手順を示すフローチャート。 同実施の形態の電子制御装置による照合処理についてその処理手順を示すフローチャート。 同実施の形態の電子制御装置の変形例において採用される不揮発性メモリのメモリマップを模式的に示す図。 同実施の形態の電子制御装置の他の変形例において採用される不揮発性メモリのメモリマップを模式的に示す図。 図７に例示した変形例による識別コードの生成、応答処理についてその処理手順を示すフローチャート。

符号の説明

１…車両、１０…電子制御装置、１１…制御部、１２、１２ａ…不揮発性メモリ、１３…フリーランカウンタ、２０…インターフェース回路、３０…外部ツール。

Claims (10)

1. 車載機器を制御する制御プログラム及び制御データが不揮発性メモリの書き換え可能な領域に格納されており、外部ツールを通じてのそれら制御プログラム及び制御データの書き換え要求に際し、同外部ツールから識別コードの取得要求が発行されることに基づき識別コードを生成してこれに応答するとともに、外部ツールとの間で共通に定められている認証アルゴリズムに基づき前記識別コードから作成した認証コードと外部ツールにて同様に作成されて発行される認証コードとを照合し、それら認証コードが一致していることを条件に前記外部ツールによる前記不揮発性メモリへのアクセスを許可する電子制御装置において、
   前記外部ツールからの識別コードの取得要求の発行に基づき生成される識別コードが、該識別コードの取得要求が発行されたタイミングで定まる値と固有のセキュリティコードとの演算結果として生成される
   ことを特徴とする電子制御装置。
2. 前記固有のセキュリティコードが、当該電子制御装置の搭載対象となる車両に固有の識別番号からなる
   請求項１に記載の電子制御装置。
3. 前記固有のセキュリティコードが、当該電子制御装置の製造時にそれら電子制御装置の別に一意的に割り振られる番号からなる
   請求項１に記載の電子制御装置。
4. 前記外部ツールからの２回目以降の識別コードの取得要求の発行に基づく識別コードの生成に際しては、前記演算結果として生成された前回の識別コードが新たな固有のセキュリティコードとして用いられる
   請求項１〜３のいずれか一項に記載の電子制御装置。
5. 前記外部ツールから前記識別コードの取得要求が発行されたタイミングで定まる値が、フリーランカウンタのカウント値からなる
   請求項１〜４のいずれか一項に記載の電子制御装置。
6. 車載機器を制御する制御プログラム及び制御データが不揮発性メモリの書き換え可能な領域に格納されており、外部ツールを通じてのそれら制御プログラム及び制御データの書き換え要求に際し、同外部ツールから識別コードの取得要求が発行されることに基づき識別コードを生成してこれに応答するとともに、外部ツールとの間で共通に定められている認証アルゴリズムに基づき前記識別コードから作成した認証コードと外部ツールにて同様に作成されて発行される認証コードとを照合し、それら認証コードが一致していることを条件に前記外部ツールによる前記不揮発性メモリへのアクセスを許可する電子制御装置にあって前記識別コードを生成する方法であって、
   前記外部ツールからの識別コードの取得要求が発行されるとき、この識別コードの取得要求が発行されたタイミングで定まる値と固有のセキュリティコードとの演算結果として前記識別コードを生成する
   ことを特徴とする電子制御装置の識別コード生成方法。
7. 前記固有のセキュリティコードとして、当該電子制御装置の搭載対象となる車両に固有の識別番号を用いる
   請求項６に記載の電子制御装置の識別コード生成方法。
8. 前記固有のセキュリティコードとして、当該電子制御装置の製造時にそれら電子制御装置の別に一意的に割り振られる番号を用いる
   請求項６に記載の電子制御装置の識別コード生成方法。
9. 前記外部ツールからの２回目以降の識別コードの取得要求の発行に基づく識別コードの生成に際しては、前記演算結果として生成された前回の識別コードを新たな固有のセキュリティコードとして用いる
   請求項６〜８のいずれか一項に記載の電子制御装置の識別コード生成方法。
10. 前記外部ツールから前記識別コードの取得要求が発行されたタイミングで定まる値として、フリーランカウンタのカウント値を用いる
    請求項６〜９のいずれか一項に記載の電子制御装置の識別コード生成方法。

Images