JP4589017B2 - マイクロプロセッサシステム及びシステムにおけるモジュールの交換検出方法 - Google Patents

Description

本発明は，マイクロプロセッサシステム及びシステムモジュールの交換検出方法に関し，さらに詳細には，車両用のエンジン制御装置におけるマイクロプロセッサシステム及びシステムモジュールの交換検出方法に関する。

従来においては，例えば車両用のエンジン制御装置は，一般に，マイクロプロセッサ，マイクロプロセッサのためのプログラムと作業用のメモリ並びに，エンジンに設けられたセンサ及びアクターとの通信のための１つ又は複数のインターフェイスを備えたマイクロプロセッサシステムとして構築されている。プロセッサの制御プログラムにおける操作によって，例えばより高いエンジン出力を得るために，エンジンの動態が調節される。エンジンのために，必要に応じて有害な過負荷状況を阻止するために必要な出力制限，あるいは法律的な規定によって定められている出力制限は，このようにして迂回することができる。従って，かかるマイクロプロセッサシステムにおける不当な操作を不可能にし，あるいは少なくとも不正操作を殆ど困難にする技術が必要とされる。

このために，使用されている既知の技術は，かかるマイクロプロセッサシステムの構成部材を接着することである。当然ながら，何らかの方法で再び剥がすことのできない接着剤が提供できないことは，明らかにされている。

しかしながら，上記接着剤の重大な欠点は，不当な操作を困難にするばかりでなく，同様にマイクロプロセッサシステムにおける修理も困難してしまうことである。

したがって，本発明の目的は，システムの修理の容易性を損なうことなく，不当な交換を極めて困難にすることが可能なマイクロプロセッサ及びそのシステムにおけるモジュール交換の検出方法を提供することにある。なお，不当な交換を困難にすることは，不当な操作による利用が，そのために必要される手間により報われないように，即ち経済的な意味において操作が不可能になるような程度に行われる。

上記課題を解決するため，本発明の第１の観点においては，その中にマイクロプロセッサと，マイクロプロセッサのためのコード及びデータを記憶するための少なくとも１つのメモリモジュールが含まれている複数のモジュールを有するマイクロプロセッサシステムに基づいており，その場合にモジュールの少なくとも１つの中に，このモジュールのシリアルナンバーが変更できない方法で記憶されている。また，マイクロプロセッサにおいては，一般に，マイクロプロセッサに製造時にプログラム技術的に照会可能なシリアルナンバーを搭載することが通常であって，そのシリアルナンバーは各マイクロプロセッサを一義的に同定し，かつ完成されたマイクロプロセッサにおいて変更することはできない。シリアルナンバーを有する不揮発性メモリ，特にフラッシュメモリも，同様に提供可能である。

また，本発明においては，マイクロプロセッサシステム内に，シリアルナンバーによって特徴付けられる少なくとも１つのモジュールのシリアルナンバーから暗号化方法の使用によって得られたコードナンバーと情報，特にプログラムコードとキーが格納され，その情報はマイクロプロセッサがコードナンバーからシリアルナンバーを計算できるようにし，そのシリアルナンバーは，マイクロプロセッサシステムが操作されていない場合には，モジュールのシリアルナンバーと一致すべきものである。

システムが操作されており，かつモジュールが，必然的に異なるシリアルナンバーを有する他のモジュールに取り替えられている場合には，それが検出されて，例えばマイクロプロセッサがこのような場合のために設けられている所定のコードの所定のステップを実施し，あるいはその正常な機能にとって重要な所定のコード部分の実施を拒否することによって，好適な措置がとられる。

マイクロプロセッサシステムがエンジン制御装置である場合に，車両に表示装置がそのために搭載されている場合には，その表示装置上で運転者のために，システム内のエラーに基づいてマイクロプロセッサシステムの所定の機能が阻止されている旨のメッセージを表示することができる。また，エンジンの始動を阻止することもできる。

好ましくは，シリアルナンバーからコードナンバーを得るための暗号化方法は，非対称の方法（即ち，暗号化と復号化のために異なるキーを使用する方法）である。その場合に，コードナンバーからシリアルナンバーの逆算を可能にする復号化に使用される公開キーは，逆にシリアルナンバーからコードナンバーを計算するためには，使用することはできない。従って，権限のないユーザは，ユーザが暗号化について認識しており，かつシステム内に記憶されている公開キーを抽出することができる場合であっても，かかる公開キーから，シリアルナンバーによって特徴付けられるモジュールのための代用としてシステム内へ挿入しようとするモジュールのシリアルナンバーに対する正しいコードナンバーを定めることはできない。従って，コードナンバーからシリアルナンバーを計算するために必要とされる情報をマイクロプロセッサシステムから抽出することについて，権限のないユーザを阻止する特別な措置を講じることは，不要となる。

不当な交換に対して保護することが重要なマイクロプロセッサシステムのモジュールは，メモリモジュール，特にマイクロプロセッサシステムによって実施すべき制御タスクのためのプログラムコード及び／又はパラメータテーブルを有するメモリモジュールである。かかるメモリモジュールのシリアルナンバーから計算されたコードナンバーは，安全性を損なうことなく，このメモリモジュール内に記憶しておくことができる。

本発明に基づいて有用に保護される他のモジュールは，システム自体のマイクロプロセッサである。

コードナンバーからシリアルナンバーを計算するために必要とされる情報は，好ましくはコードナンバーと同一のメモリモジュール内には記憶されない。同一のモジュール内に記憶する場合でも，権限のないユーザがこのモジュールを交換することは，極めて困難である。これは，ユーザは，このモジュールを機能し得る他のモジュールに代えることができるようにするためには，予めその中に記憶されている個々のデータの意味を認識しなければならないからである。しかしながら，分離すれば，付加的な安全性獲得がもたらされる。これは，唯一のモジュールの交換が検出されないままとなり，システムの機能能力がそのままであり続けることは，原則的に排除されているからである。このことにより，権限を有しないユーザにとっては，マイクロプロセッサシステムにおける調査によって，安全措置を理解して迂回することを可能にする情報に達することは，著しく困難になる。

権限のないユーザにとって，シリアルナンバーを計算するために必要とされる情報の操作を困難にするために，この情報を含むメモリモジュールは，好ましくはマイクロプロセッサシステムと，例えば両者をワンチップコンピュータ内に集積することにより，分離できないように結合されている。

さらに，安全性を獲得することは，マイクロプロセッサシステムが，各々，シリアルナンバーによって特徴付けられる複数のモジュールを有している場合に，コードナンバーがこれらのシリアルナンバーを共通に暗号化することによって得られることにより，達成可能である。このような場合には，これらのシリアルナンバーがコードナンバーの計算に入力されている全てのモジュールにおいて，それらが交換されたか否かを検査することができるようにするために，唯一の復号化演算で十分である。

システムの修理の容易性を損なうことなく，不当な交換を極めて困難にすることが可能なマイクロプロセッサ及びそのシステムにおけるモジュール交換の検出方法が提供される。

以下に添付図面を参照しながら，本発明の好適な実施の形態について詳細に説明する。なお，本明細書及び図面において，実質的に同一の機能構成を有する構成要素については，同一の符号を付することにより重複説明を省略する。

まず，図１に基づいて，第１の実施の形態にかかるエンジン制御装置の回路構成について説明する。なお，図１は，第１の実施の形態にかかるエンジン制御装置の回路構成を示すブロック図である。

図１に示すように，プリント基板上のバス１に，マイクロプロセッサ２，不揮発性メモリモジュール３，書込み−読取りメモリモジュール４及び（図示されていない）制御すべきエンジンのセンサ及びアクターとの通信のためのインターフェイス５が接続されている。

モジュール２，３，４は，各々，相互に分離されたＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）によって形成されている。不揮発性メモリモジュール３は，従来の方法でアクセス可能なメインメモリ領域６と補助メモリセル７とを有しており，メインメモリ領域はエンジン制御装置のメーカーによってマイクロプロセッサ２のためのプログラムインストラクションとパラメータフィールドが書き込まれており，かつ読み取るためには従来の方法でバス１を介してアドレス可能であり，補助メモリセルは既にメモリモジュール３自体のメーカーによって，所定のタイプの各個々のメモリモジュールに固有のシリアルナンバーが書き込まれている。

補助メモリセル７の内容も，バス１を介して読み取り可能であるが，好ましくは，補助メモリセル７を読み出すために必要なアドレス信号のフォーマットは，メインメモリ領域６をアドレスするためのものとは異なっている。即ち，補助メモリセル７を読み出すためには，例えば予めバス１を介してパスワードが印加されることを必要とすることができる。それによって，メモリモジュール３を，メモリモジュール３のシリアルナンバーのみが通常のアドレス可能なメモリ箇所にコピーされているメーカーからのピン互換のシリアルナンバーのないメモリモジュールで代用する可能性が排除されている。従って，モジュール３は，同一のタイプで，異なるシリアルナンバーを有するモジュールによってのみ代用することができる。

メモリモジュール３のメインメモリ領域６は，エンジン制御装置の制御タスクに必要なプログラムインストラクションとパラメータ以外に，コードナンバーと，コードナンバーから補助メモリセル７内に記憶されているシリアルナンバーを計算するためにマイクロプロセッサ２が実行することができるプログラムインストラクションを有している。この計算は，システムの始動時に毎回及び／又はその駆動中に規則的な時間間隔で実施される。コードナンバーから計算されたシリアルナンバーと補助メモリセル７内のシリアルナンバーとの比較から両者が等しくないことが明らかにされた場合には，この事実は，メモリモジュール３が取り替えられたことに間違いないことを示している。この場合においては，メモリモジュール３内に含まれているプログラムインストラクションが，制御装置の駆動の阻止又は，少なくとも，その制御装置によって制御されるエンジンの機能にとって重要な個々の機能の阻止を実行する。

メモリモジュール３がフラッシュメモリである場合には，かかる機能の阻止は，マイクロプロセッサがメモリモジュール３へリセット信号を印加して，かかるリセット信号がメモリモジュール内に記憶されているデータを消去することによって，極めて簡単に実行することができる。

メモリモジュール３を，マイクロプロセッサ２のためのプログラムインストラクション又はパラメータが変更されている他のメモリモジュールによって代用しようとする権限のないユーザは，ユーザがメモリ３に含まれているプログラムコードを解析して，これをシリアルナンバーの全ての検査が克服されるように変更した場合，あるいはユーザがコードナンバーからシリアルナンバーの計算を実行して，代用として挿入すべきメモリモジュール内にこのシリアルナンバーに適合するコードナンバーを書き込むことによってのみ，他のモジュールに変更することができる。

（第２の実施の形態）
さらに著しく高い安全性を獲得することは，図２に示すように,図１に示す制御装置内でマイクロプロセッサ２がワンチップコンピュータ１０によって代用され，かかるワンチップ内にマイクロプロセッサ１２と不揮発性メモリ１１が集積されており，それらがチップから導出されない内部のバスを介して通信する場合に達成される。プログラムメモリ１１の内容へのアクセスは，当然ながら，チップのハウジングが開放された場合には可能であるが，それは著しい手間及びチップ破壊の危険性が伴っている。

プログラムメモリ１１は，マイクロプロセッサ１２のためのブートプロシージャを有している。かかるブートプロシージャは，少なくとも，メモリモジュール３内に記憶されているコードナンバーからのシリアルナンバーの計算，メモリモジュール３のシリアルナンバーの読出し及び一致しない場合の制御装置の完全な，あるいは部分的な阻止を含んでいる。この場合において，マイクロコンピュータ１０へのアクセスなしでは，コードナンバーの検査を克服することは不可能であるので，メモリモジュール３を成功裏に交換するための前提は，挿入すべきメモリモジュールのシリアルナンバーに適合するコードナンバーを求めることができることである。これは，権限のないユーザにとっては，制御装置のメーカーがメモリモジュール３のシリアルナンバーからコードナンバーを計算するために非対称の暗号化方法を使用している場合には，実際上不可能にされる。

上記方法は，例えばＲＳＡ（Ｒｉｖｅｓｔ， Ｓｈａｍｉｒ， Ａｄｅｌｍａｎｎ），Ｐｏｌｉｇ−Ｈｅｌｌｍａｎ，Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ，ＥｌＧａｍａｌなどの名称で，複数の方法が知られている。これら全てのアルゴリズムに共通するものは，メッセージ（ここでは，メモリモジュール３のシリアルナンバー）を暗号化するためには，秘密のキーを使用し，また，メッセージを復号化するためには公開キーを使用する。公開キーは，秘密キーを遡って推論することができないので，メッセージを暗号化するために利用できない。即ち，権限のないユーザが，プログラムメモリ１１内に格納されているキーとこのキーを用いてコードナンバーからシリアルナンバーを計算するためのプログラムインストラクションを読むことができた場合であっても，ユーザは，まだこれによって，新しく挿入すべきメモリモジュール３のシリアルナンバーに適合するマイクロコンピュータ１０に交換されたモジュールを真であるとして受け入れさせるコードナンバーを構築することはできない。

上記のように，モジュールに対応付けられたコードナンバーからシリアルナンバーを計算し，計算されたシリアルナンバーをモジュールの実際のシリアルナンバーと比較することによってモジュールの交換を検出する方法では，交換に対して保護すべき複数のモジュールに容易に一般化することができる。ひとつには，当然ながら，各モジュールについて専用のコードナンバーを記憶させ，かかるコードナンバーからモジュールのシリアルナンバーを逆算できるようにすることができる。このとき，メーカーが保護すべき全てのモジュールのシリアルナンバーの連鎖を暗号化して，全てのモジュールに有効な唯一のコードナンバーとしてメモリモジュール３又は制御装置の他の好適なメモリ内に書き込むことが，より経済的である。この場合には，保護される全てのモジュールのシリアルナンバーを計算するために，復号化方法を１回だけ実行すれば十分である。かかるコードナンバーの計算は，制御装置内に組み込まれている，

このように，保護すべきモジュールの全てのシリアルナンバーの認識を前提とするので（装置を組み立てる前にこれらシリアルナンバーを発見することは著しい手間と結びついているので），この場合には最初に制御装置が組み立てられ，その後保護すべき全てのモジュールのシリアルナンバーが制御装置から読み出され，コードナンバーが計算されて，その後初めてメモリモジュール３にコードナンバーと，そのメモリモジュール内に収容すべき他の全てのデータが書き込まれる。

メモリモジュール３が，例えばＥＥＰＲＯＭ又はフラッシュメモリなどのような電気的に上書き可能なメモリである場合には，メモリモジュールは，その中に含まれているデータが権限のないユーザによってメモリモジュール３の交換なしに操作されることを阻止するために，これ自体既知のように，パスワードによって保護されなければならない。

以上，添付図面を参照しながら本発明の好適な実施形態について説明したが，本発明は係る例に限定されないことは言うまでもない。当業者であれば，特許請求の範囲に記載された範疇内において，各種の変更例又は修正例に想到し得ることは明らかであり，それらについても当然に本発明の技術的範囲に属するものと了解される。

第１の実施の形態にかかるマイクロプロセッサシステムの回路構成を示すブロック図である。 第２の実施の形態にかかるマイクロプロセッサシステムの回路構成を示すブロック図である。

符号の説明

１ バス
２ マイクロプロセッサ
３ 不揮発性メモリモジュール
４ 書込み−読取りメモリモジュール
５ インターフェイス
６ メインメモリ領域
７ 補助メモリセル
１０ ワンチップコンピュータ
１１ プログラムメモリ
１２ マイクロプロセッサ

Claims (17)

1. マイクロプロセッサ（２，１２）と，前記マイクロプロセッサのためのコード及びデータを記憶するための少なくとも１つのメモリモジュール（３）を含む複数のモジュール（２−５）を有し，前記モジュールの１以上に前記モジュールのシリアルナンバーが変更できないように記憶されている，前記マイクロプロセッサシステムにおいて，
   前記マイクロプロセッサシステムには，前記シリアルナンバーから暗号化方法を用いて得られるコードナンバーと，前記コードナンバーから前記シリアルナンバーを計算するために必要とされる情報である少なくともプログラムインストラクションとが記憶されており，
   前記マイクロプロセッサ（２，１２）は，前記コードナンバーから前記情報を用いてシリアルナンバーを計算し，前記記憶されているシリアルナンバーと比較し，前記計算されたシリアルナンバーと前記記憶されているシリアルナンバーが一致しない場合に，前記マイクロプロセッサシステムの不正な操作に対応するように前記コードの実行を規制し，かつ
   前記複数のモジュールが各々に１のシリアルナンバーによって識別され，かつ前記複数のモジュールの複数のシリアルナンバーから暗号化方法を用いて１のコードナンバーが得られる，ことを特徴とするマイクロプロセッサシステム。
2. 前記暗号化方法は，非対称であって，
   前記コードナンバーは，前記シリアルナンバーから秘密鍵を用いて計算されており，かつ
   前記情報は，公開鍵と，前記コードナンバーから前記シリアルナンバーを計算するためのプログラムインストラクションとを含んでいる，ことを特徴とする請求項１に記載のマイクロプロセッサシステム。
3. 前記シリアルナンバーによって識別されるモジュール（３），又は前記シリアルナンバーによって識別されるモジュールの１つは，メモリモジュールである，ことを特徴とする請求項２に記載のマイクロプロセッサシステム。
4. 前記コードナンバーは，前記シリアルナンバーと同一のメモリモジュール（３）に記憶されている，ことを特徴とする請求項３に記載のマイクロプロセッサシステム。
5. 前記メモリモジュール（３）は，電気的に書込み可能な不揮発性メモリであって，かつ
   前記計算されたシリアルナンバーと前記記憶されているシリアルナンバーが一致しない場合に実行される前記コードは，前記メモリモジュール（３）の内容を消去する指令を有している，ことを特徴とする請求項３又は４に記載のマイクロプロセッサシステム。
6. 前記シリアルナンバーによって識別されるモジュール，又は前記シリアルナンバーによって識別されるモジュールの１つは，マイクロプロセッサ（２，１２）である，ことを特徴とする請求項１から５のうちいずれか１項に記載のマイクロプロセッサシステム。
7. 前記コードナンバーから前記シリアルナンバーを計算するために必要とされる情報は，前記コードナンバーとは異なるメモリモジュール（１１）に記憶されている，ことを特徴とする請求項１から６のうちいずれか１項に記載のマイクロプロセッサシステム。
8. 前記異なるメモリモジュール（１１）は，前記マイクロプロセッサ（１２）と分離できないように結合されている，ことを特徴とする請求項７に記載のマイクロプロセッサシステム。
9. マイクロプロセッサシステムにおいて，シリアルナンバーによって識別されるモジュールの交換を検出する方法であって，前記マイクロプロセッサシステムのマイクロプロセッサによって，
   ａ）前記シリアルナンバーから暗号化方法を用いて得られるコードナンバーと，前記コードナンバーから前記シリアルナンバーを計算するために必要とされる情報である少なくともプログラムインストラクションとを前記マイクロプロセッサシステムに記憶し，
   ｂ）前記コードナンバーを読み出して，前記コードナンバーから前記情報を用いて復号されたシリアルナンバーを計算し，
   ｃ）前記復号されたシリアルナンバーを，前記モジュールの前記シリアルナンバーと比較し，
   ｄ）前記モジュールの前記シリアルナンバーが，前記復号されたシリアルナンバーと一致しない場合には，前記モジュールの交換を検出し，かつ
   ｅ）前記方法が前記マイクロプロセッサシステムの複数のモジュールに使用され，前記複数のモジュールが各々に１のシリアルナンバーによって識別され，かつ前記複数のモジュールの複数のシリアルナンバーから暗号化方法を用いて１のコードナンバーが得られる，
   ことを特徴とするモジュールの交換検出方法。
10. 非対称の暗号化方法が用いられ，かつ
    前記暗号化方法の公開鍵が，前記コードナンバーから前記シリアルナンバーを計算するために必要とされる情報に含まれている，ことを特徴とする請求項９に記載のモジュールの交換検出方法。
11. 前記方法が，前記マイクロプロセッサシステムのメモリモジュールに使用される，ことを特徴とする請求項９又は１０に記載のモジュールの交換検出方法。
12. 前記コードナンバーは，前記シリアルナンバーと同一のメモリモジュールに記憶されている，ことを特徴とする請求項１１に記載のモジュールの交換検出方法。
13. 前記メモリモジュールの交換が検出された場合には，前記メモリモジュールの内容が消去される，ことを特徴とする請求項１１又は１２に記載のモジュールの交換検出方法。
14. 前記方法が，前記マイクロプロセッサシステムの前記マイクロプロセッサに使用される，ことを特徴とする請求項９から１３のうちいずれか１項に記載のモジュールの交換検出方法。
15. 少なくとも，前記シリアルナンバーを計算するために必要とされる情報は，前記コードナンバーとは異なるメモリモジュールに記憶されている，ことを特徴とする請求項９から１４のうちいずれか１項に記載のモジュールの交換検出方法。
16. 前記方法は，前記マイクロプロセッサシステムの各始動時に実行される，ことを特徴とする請求項９から１５のうちいずれか１項に記載のモジュールの交換検出方法。
17. 前記方法は，前記マイクロプロセッサシステムの駆動中に周期的に実行される，ことを特徴とする請求項９から１６のうちいずれか１項に記載のモジュールの交換検出方法。
    

Images