JP4931957B2 - 車両機能管理システム - Google Patents

Description

本発明は、車両に搭載されている制御装置により用いられるプログラム等を更新データに基づいて更新する車両機能管理システムに関する。

車両に搭載されている制御装置のためのプログラムおよびデータを書き換える手法が提案されている（特許文献１参照）。

特許第３６４８７４７号公報

しかし、データの更新手段等の更新履歴を表わす情報が第三者により作為的に変更されてしまうと、当該情報に基づいてプログラムおよびデータの真実の更新履歴を確認することが極めて困難となる。

そこで、本発明は、車両に搭載されているコンピュータにより用いられるプログラム等の更新履歴を表わす情報の作為的な変更を防止しうるシステムを提供することを解決課題とする。

前記課題を解決するための本発明の車両機能管理システムは、車両に搭載されている制御装置により用いられるプログラムおよびデータのうち一方または両方（以下「プログラム等」という。）を更新データに基づいて更新する車両機能管理システムであって、外部サーバから放送または無線配信された前記更新データを受信した上で前記プログラム等を更新するように構成されている第１更新手段と、前記車両機能管理システムに有線接続されたツールから送信された前記更新データを受信した上で前記プログラム等を更新するように構成されている第２更新手段と、前記プログラム等の更新手段を表わす更新手段コードと、前記車両を識別するための第１識別コードとに基づき、前記第１更新手段および前記第２更新手段のそれぞれによる前記プログラム等の更新結果を表わす結果コードを生成するように構成されているコード生成手段と、前記コード生成手段により生成された前記結果コードを出力するように構成されているコード出力手段とを備え、前記コード生成手段は、前記更新手段コードおよび前記第１識別コードのそれぞれが含まれている一または複数の基礎コードを対象として非可逆演算処理を実行することにより一または複数のコードを生成し、前記一または複数のコードを用いて前記結果コードを生成するように構成されていることを特徴とする。

前記コード生成手段は、前記更新手段コード、第１識別コードおよび更新後の新たな前記プログラム等を識別するための第２識別コードのうち２つのコードが含まれている前記基礎コードとしての第１基礎コードを対象として非可逆演算処理を実行することにより第１コードを生成し、前記更新コード、前記第１識別コードおよび前記第２識別コードのうち前記第１基礎コードに含まれている２つのコードを除く１つのコードと、前記第１コードとが含まれている前記基礎コードとしての第２基礎コードを対象として非可逆演算処理を実行することにより第２コードを生成し、前記一または複数のコードとしての前記第１コードおよび前記第２コードのうち一方または両方を用いて、前記結果コードを生成するように構成されていてもよい。

前記コード生成手段はＣＲＣおよびＳｕｍのうち少なくとも一方にしたがって前記不可逆演算処理を実行するように構成されていてもよい。

本発明の車両機能管理システムによれば、更新手段コードおよび第１識別コードのそれぞれを含む一または複数の基礎コードを対象として不可逆演算処理が実行されることにより生成された一または複数のコードが用いられて結果コードが生成される。このため、結果コードから基礎コードを知見することは著しく困難とされている。また、基礎コードが万が一知見されたとしても、当該基礎コードに更新手段コードがどのような形態で含まれているかはなおも不明である。基礎コードが複数存在する場合には、更新手段コードが含まれている基礎コードすら特定が困難とされている。したがって、プログラム等の更新手段、プログラム等の更新対象とされた車両および結果コードの因果関係が第三者により解明される可能性が著しく低く抑制されうる。また、第三者により提示された結果コードの真偽が、確認用の更新手段コードおよび第１識別コードに基づいて事後的に生成される確認用の結果コードとの比較によって判定されうるので、当該第三者による結果コードの作為的な変更が防止されうる。

本発明の一実施形態としての車両機能管理システムの構成説明図。 結果コードの生成方法に関する説明図。

本発明の車両機能管理システムの実施形態について図面を用いて説明する。

図１に示されている車両機能管理システム１は車両（図示略）に搭載されているコンピュータまたはＥＣＵ（電子制御ユニット（ＣＰＵ，ＲＯＭ，ＲＡＭおよびＩ／Ｏ回路等により構成されている。））により構成されている。

車両機能管理システム１はアンテナ１０を通じて、外部のサーバ２から衛星送信アンテナ２１および人工衛星２２を介して配信される、または、サーバ２から電話回線等の無線ネットワークを介して配信されるプログラム等を受信する。

車両機能管理システム１は車両内部ネットワーク（ＣＡＮ−ＢＵＳ等により構成されている。）を介して、同じく車両に搭載されている複数の制御装置ＣＮＴｉ（ｉ＝１，２，‥Ｎ）に接続されている。

制御装置ＣＮＴｉはコンピュータまたはＥＣＵ（ＣＰＵ，ＥＥＰＲＯＭ（データ書き換え可能なメモリ），ＲＡＭおよびＩ／Ｏ回路等により構成されている。）により構成されている。制御装置ＣＮＴｉは、その構成要素であるＣＰＵにより必要なプログラム等がＥＥＰＲＯＭ等のメモリから読み出され、かつ、このプログラム等にしたがって制御対象である車載機器の動作を制御する。

たとえば、制御装置ＣＮＴｉがナビゲーション装置を制御対象とする場合、制御装置ＣＮＴｉはルート探索プログラムおよびマップデータに基づき、車両の現在位置および目的位置を結ぶルートを探索し、当該探索ルートの一部または全部をマップに重畳させてディスプレイに表示させる等のナビゲーション装置の機能を制御する。制御装置ＣＮＴｉがエンジンを制御対象とする場合、制御装置ＣＮＴｉはプログラム等にしたがって燃料噴射制御、点火時期制御およびアイドル回転数制御等を実行する。

車両機能管理システム１は第１更新手段１１、第２更新手段１２、コード生成手段１３およびコード出力手段１４を備えている。当該手段１１〜１４のそれぞれはメモリからプログラム等を読み出して、このプログラム等にしたがって演算処理を実行するＣＰＵにより構成されている。

第１更新手段１１は、サーバ２から放送または無線配信された更新データをアンテナ１０経由で受信した上で、制御装置ＣＮＴｉの構成要素であるＥＥＰＲＯＭに保存されているプログラム等を書き換えることにより更新するように構成されている。

第２更新手段１２は、車両機能管理システム１に有線接続されたツール（コンピュータを構成要素として有する。）から送信された更新データを受信した上で、制御装置ＣＮＴｉの構成要素であるＥＥＰＲＯＭに保存されているプログラム等を書き換えることにより更新するように構成されている。「有線接続」とは、たとえば、ツールに接続されている信号線が車両に設けられている指定端子に接続されることにより、ツールが当該信号線、または、当該信号線および車両内部ネットワークを介して車両機能管理システム１に接続されていることを意味する。

コード生成手段１３は、更新手段コード、第１識別コードおよび第２識別コードに基づき、第１更新手段１１および第２更新手段１２のそれぞれによるプログラム等の更新結果を表わす結果コードを生成するように構成されている。

「更新手段コード」は第１更新手段１１および第２更新手段１２のいずれによりプログラムが更新されたかを表わすコードである。「第１識別コード」は車両またはその種類を識別するためのコードであり、当該車両のメモリ（ＲＯＭなど）に保存されている。「第２識別コード」は更新後の新しいプログラム等を識別するためのコードであり、当該プログラム等の更新用の更新データに付属している。各コードは「２３１１Ｃ２３ＧＨＪ」等、数字、文字および記号等の列またはデータストリームにより表現される。

コード出力手段１４はコード生成手段１３により生成された結果コードを出力することにより、たとえば、ナビゲーション装置の構成要素としてインパネに配置されているディスプレイ（図示略）に当該結果コードを表示させるように構成されている。コード出力手段１４は車載スピーカから結果コードを表わす音声を出力させる、あるいは、システム１に接続されたプリンタに結果コードを印刷させる等、人間が視覚または聴覚等を通じて知覚しうるあらゆる形態で結果コードを顕在化させてもよい。

前記構成の車両機能管理システム１の機能について説明する。

第１更新手段１１および第２更新手段１２のそれぞれにより更新データが受信された場合、当該更新データに付属する、更新対象となる旧プログラム等を識別するための旧コードと、メモリ（たとえばＥＥＰＲＯＭ）に保存され、一の制御装置ＣＮＴｉ（車両機能管理システム１であってもよい。）により利用されているプログラム等を識別するためのコードとが一致するか否かが判定される。そして、両コードが一致していると判定された場合、メモリに保存されている旧プログラム等が、更新データに基づき、第２識別データにより識別される新しいプログラム等に書き換えられることにより更新される。その一方、両コードが相違していると判定された場合、更新データは破棄または削除される。

なお、複数の制御装置のそれぞれにより使用されているプログラム等が更新対象に該当しうる場合、更新データに付属する制御装置を識別するための制御装置コードにより、当該更新データに基づいて旧プログラム等が更新される制御装置が選定された上で、前記のように旧プログラム等が新しいプログラム等に更新されてもよい。

プログラム等が更新された場合、コード生成手段１３によって３つのコードＸ１〜Ｘ３に基づき、図２に示す手順にしたがって結果コードが生成される。更新手段コード、第１識別コードおよび第２識別コードのそれぞれが、３つのコードＸ１〜Ｘ３のうちいずれか１つのコードに相互に相違するように割り当てられる。

まず、図２（ａ）に示されているように３つのコードのうち２つのコードＸ１およびＸ２の組み合わせコードＸ１＋Ｘ２（「第１基礎コード」に相当する。並び順はＸ２＋Ｘ１でもよい。）を対象として、不可逆演算Ｆ０およびＦ１のそれぞれが実行されることによりコードＹ０（＝Ｆ０（Ｘ１＋Ｘ２））およびＹ１（＝Ｆ１（Ｘ１＋Ｘ２））（「第１コード」に相当する。）のそれぞれが生成される。

さらに、図２（ｂ）に示されているように３つのコードのうち残り１つのコードＸ３と、第１コードＹ１との組み合わせコードＸ３＋Ｙ１（「第２基礎コード」に相当する。並び順はＹ２＋Ｘ３でもよい。）を対象として、不可逆演算Ｆ２が実行されることによりコードＹ２（＝Ｆ２（Ｘ３＋Ｙ１））（「第２コード」に相当する。）が生成される。

なお、不可逆演算Ｆ０〜Ｆ２の一部または全部が共通であってもよく、全部が相違していてもよい。不可逆演算はＣＲＣもしくはＳｕｍまたはこれらの組み合わせにしたがって実行されうる。ＣＲＣは任意長のデータストリームを入力とし、３２ビット整数等の固定サイズの値を出力する関数の一種である。

そして、図２（ｃ）に示されているようにコードＸ３、Ｙ０および第２コードＹ２の組み合わせコードＸ３＋Ｙ０＋Ｙ２が結果コードとして生成される。結果コードを構成する複数のコードの並び順は任意に変更されうる。

前記機能を発揮する車両機能管理システム１によれば、更新手段コードおよび第１識別コードのそれぞれを含む一または複数の基礎コードを対象として不可逆演算処理が実行されることにより生成された一または複数のコードが用いられて結果コードが生成される。具体的には、コードＸ１またはＸ２が更新手段コード（または第１識別コード）に該当する場合、これを含む組み合わせコードＸ１＋Ｘ２を対象とした非可逆演算処理の実行結果であるコードＹ０およびＹ１のそれぞれが直接的または間接的に用いられて結果コードＸ３＋Ｙ０＋Ｙ２が生成されている（図２参照）。また、コードＸ３が更新手段コード（または第１識別コード）に該当する場合、これを含む組み合わせコードＸ３＋Ｙ１を対象とした非可逆演算処理の実行結果である第２コードＹ２が直接的に用いられて結果コードＸ３＋Ｙ０＋Ｙ２が生成されている（図２参照）。

このため、結果コードから基礎コードを知見することは著しく困難とされている。また、基礎コードが万が一知見されたとしても、当該基礎コードに更新手段コードがどのような形態で含まれているかはなおも不明である。基礎コードが複数存在する場合には、更新手段コードが含まれている基礎コードすら特定が困難とされている。したがって、プログラム等の更新手段、プログラム等の更新対象とされた車両および結果コードの因果関係が第三者により解明される可能性が著しく低く抑制されうる。また、第三者により提示された結果コードの真偽が、確認用の更新手段コードおよび第１識別コードに基づいて事後的に生成される確認用の結果コードとの比較によって判定されうるので、当該第三者による結果コードの作為的な変更が防止されうる。

このため、結果コードを対象として何らかの演算処理を実行しても、元の更新手段コードおよびこれを含む組み合わせコードは得られない。また、非可逆演算処理の対象となったコードが万が一得られたとしても、当該コードに更新手段コードが含まれているか否か、さらには、当該コードに更新手段コードがどのような形態で含まれているかはなおも不明である。したがって、プログラム等の更新手段および結果コードの因果関係が第三者により解明される可能性が著しく低く抑制されうる。また、第三者により提示された結果コードの真偽が、確認用の更新手段コードに基づく結果コードとの比較によって判定されうるので、当該第三者による結果コードの作為的な変更が防止されうる。

ここで、第三者による「第１識別コード○○により識別される車両を対象として、旧プログラムが第２識別コード●●により識別される新しいプログラム等に第２更新手段１２によって更新された」という報告および結果コードの提示があった場合を考える。この場合、第２更新手段１２によりプログラム等が更新されたことを表わす確認用の更新手段コードと、第１識別コード○○と、第２識別コード●●とに基づき、確認用の結果コードが生成かつ出力される（図２参照）。これにより、第三者により提示された結果コードおよび確認用の結果コードが一致した場合には第三者による当該報告が真実であることが確認されうる。その一方、両結果コードが相違する場合には第三者による当該報告が虚偽であること（報告された更新手段、対象車両および更新対象とされたプログラム等のうち一部または全部が真実とは異なること）が確認されうる。

なお、更新手段コードおよび第１識別コードのそれぞれが含まれる一または複数の基礎コードを対象とした非可逆演算処理の結果が用いられていることを条件としてさまざまな形態で結果コードが生成されてもよい。

いずれの場合も、前記実施形態と同様に、プログラム等の更新手段および結果コードの因果関係が第三者により解明される可能性が著しく低く抑制されうる。また、第三者により提示された結果コードの真偽が、確認用の更新手段コードおよび識別データに基づく確認用の結果コードとの比較によって判定されうるので、当該第三者による結果コードの作為的な変更が防止されうる。

１‥車両機能管理システム、１１‥第１更新手段、１２‥第２更新手段、１３‥コード生成手段、１４‥コード出力手段、ＣＮＴｉ‥制御装置

Claims (3)

1. 車両に搭載されている制御装置により用いられるプログラムおよびデータのうち一方または両方（以下「プログラム等」という。）を更新データに基づいて更新する車両機能管理システムであって、
   外部サーバから放送または無線配信された前記更新データを受信した上で前記プログラム等を更新するように構成されている第１更新手段と、
   前記車両機能管理システムに有線接続されたツールから送信された前記更新データを受信した上で前記プログラム等を更新するように構成されている第２更新手段と、
   前記プログラム等の更新手段を表わす更新手段コードと、前記車両を識別するための第１識別コードとに基づき、前記第１更新手段および前記第２更新手段のそれぞれによる前記プログラム等の更新結果を表わす結果コードを生成するように構成されているコード生成手段と、
   前記コード生成手段により生成された前記結果コードを出力するように構成されているコード出力手段とを備え、
   前記コード生成手段は、前記更新手段コードおよび前記第１識別コードのそれぞれが含まれている一または複数の基礎コードを対象として非可逆演算処理を実行することにより一または複数のコードを生成し、前記一または複数のコードを用いて前記結果コードを生成するように構成されていることを特徴とする車両機能管理システム。
2. 請求項１記載の車両機能管理システムにおいて、
   前記コード生成手段は、前記更新手段コード、第１識別コードおよび更新後の新たな前記プログラム等を識別するための第２識別コードのうち２つのコードが含まれている前記基礎コードとしての第１基礎コードを対象として非可逆演算処理を実行することにより第１コードを生成し、
   前記更新コード、前記第１識別コードおよび前記第２識別コードのうち前記第１基礎コードに含まれている２つのコードを除く１つのコードと、前記第１コードとが含まれている前記基礎コードとしての第２基礎コードを対象として非可逆演算処理を実行することにより第２コードを生成し、
   前記一または複数のコードとしての前記第１コードおよび前記第２コードのうち一方または両方を用いて、前記結果コードを生成するように構成されていることを特徴とする車両機能管理システム。
3. 請求項１または２記載の車両機能管理システムにおいて、
   前記コード生成手段はＣＲＣおよびＳｕｍのうち少なくとも一方にしたがって前記不可逆演算処理を実行するように構成されていることを特徴とする車両機能管理システム。

Images