JP5494389B2

JP5494389B2 - 電子制御装置

Info

Publication number: JP5494389B2
Application number: JP2010213228A
Authority: JP
Inventors: 真悟井村
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2010-09-24
Filing date: 2010-09-24
Publication date: 2014-05-14
Anticipated expiration: 2030-09-24
Also published as: JP2012070216A

Description

本発明は、マイコン等を含む中央演算処理部の外部に設けられた外部記憶素子からデータを読み込む電子制御装置に関する。

電子制御装置（ＥＣＵともいう）は、ワンチップマイコン等の中央演算処理部がその内部のメモリに記憶されたプログラムを実行して、所定の機能を実現している。しかし、ＥＣＵの改良や機能追加によるプログラムのバージョンアップが行われると、メモリの内容を書き換える必要がある。この場合、中央演算処理部の内部のメモリの空き容量の制約により、改良プログラムを全て書き込めない問題が生ずる。

そこで、中央演算処理部の外部に、プログラム／データを格納した外部記憶素子を設け、中央演算処理部がプログラム／データを読み込んで、所定の処理を行うＥＣＵも開発されている。しかし、この構成のＥＣＵでは、外部記憶素子が基板に直接はんだ付けされているか、基板にはんだ付けされたソケットに装着されているかによらず、当該素子を取り外して、当該素子に対してＲＥＡＤ信号を送信することで、当該素子に保存されているプログラム／データが解読される危険性がある。

このため、外部記憶素子に記憶されている内容を暗号化してセキュリティを高める技術が開示されている。例えば、暗号処理エンジン、セキュリティ鍵情報、ＣＰＵ、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭを備えたＴＲＭ（ＴａｍｐｅｒＲｅｓｉｓｔａｎｔＭｏｄｕｌｅ：耐タンパモジュール）のセキュリティ鍵情報を用いて、ＣＰＵやＴＲＭの外部に接続されたフラッシュメモリ（外部記憶素子）に暗号化したデータを記憶する情報処理装置が考案されている（特許文献１参照）。

また、メモリカードに、プリペイドカードに対し所定の情報処理を行うプログラムを暗号化して記憶し、この暗号化されたプログラムを復号化するために必要なキーデータを別のカードに記憶し、装置本体のＲＯＭに、暗号化プログラムを復号化するプログラムを記憶し、本体の初期化処理が実行された後、カードからキーデータが読み取られ、このキーデータを用いてＲＯＭに記録されている復号化プログラムを実行し、メモリカードに記録されている暗号化されたプログラムの復号化処理を行うカード処理装置が考案されている（特許文献２参照）。

また、不正読出しを防止するフラッシュメモリ内蔵のマイコンは既に発売されている（非特許文献１参照）。

特開２００９−０７０４０８号公報特開平０８−１６１５５８号公報

Ｍｉｃｒｏｎ社のメモリ製品のセキュリティ技術に関するＷｅｂページ（http://www.numonyx.com/jp/MemoryProducts/securityfeatures/Pages/KryptoSecurity.aspx）。

特許文献１では、復号に必要なセキュリティ鍵情報と外部記憶素子とが、同一の装置内にあるので、ＴＲＭと外部記憶素子との間の制御信号等を解析することで、暗号化のロジックを解読される虞がある。

また、特許文献２では、キーデータを記憶したカードは、カード処理装置とは別構成となっているが、カードを紛失すると復号できない。カードが本体と一緒に盗まれた場合には、上述のようにカードと本体との間の信号解析から暗号化のロジックを解読される虞がある。

また、非特許文献１のマイコンは、他の汎用マイコンとは異なって構造が複雑であるため、コストを上昇させるという問題も生ずる。さらに、マイコン内部のフラッシュメモリの容量の制約の問題は残る。

また、データ読み出し時にパスワードを要求し、不正読み出しを防止する素子もあるが、特に車載用の電子制御装置のような「組み込みシステム」では、パスワードを入力するための操作入力部を備えていないものが多く、全ての電子制御装置で使用できるわけではない。また、回路構成も複雑となり、コスト上昇の要因となる。

上記問題点を背景として、本発明の課題は、中央演算処理部の外部に設けられた外部記憶素子に記憶されたデータの不正読み出しを防止可能な電子制御装置を提供することにある。

課題を解決するための手段および発明の効果

上記課題を解決するための電子制御装置は、中央演算処理部と、中央演算処理部の内部に設けられた内部記憶素子と、中央演算処理部の外部に設けられ、暗号化されたデータを記憶する外部記憶素子と、外部記憶素子から暗号化されたデータを読み出して内部記憶素子に記憶する読出部と、外部装置から、暗号化されたデータを復号するための復号コードを取得する復号コード取得部と、取得した復号コードに基づいて、内部記憶素子に記憶された暗号化されたデータを復号し、復号したデータを内部記憶素子に格納する復号部と、を備えることを前提とする。

上記構成によって、電子制御装置の外部から復号コードを取得する構成であるため、同一装置内に復号コードを記憶する構成に比べてセキュリティは高くなる。また、中央演算処理部に復号コードとデータを読み込んで復号を行うため、復号時に中央演算処理部と外部との信号の遣り取りはなく、信号解析を行っても暗号化のロジックを解読されることはない。さらに、キーデータを記憶したカードを用いる構成ではないので、カードの紛失、あるいは盗難という問題も発生しない。さらに特殊な部品や回路を必要としないので、コストは上昇しない。

また、本発明の電子制御装置は、外部装置との通信を行う通信部を備え、復号コード取得部は、通信部を介して受信する受信データのうち、予め定められた受信データを復号コードとして取得する。

上記構成によって、外部装置から受信したデータの少なくとも一部を復号用のデータとして使用できるので、復号専用のデータを送信してもらう必要がなく、他の車載装置のハードウェアやソフトウェア変更を行う必要もない。また、特に車両においては、車載装置が数多く搭載され、通信データ量も膨大なものとなるので、その中から復号コードを特定することは、容易なことではないので、暗号化されたデータを解読される虞も低くなる。

また、本発明の電子制御装置における復号コード取得部は、受信データのうち、値の変動の頻度が小さい受信データを復号コードとして取得する。

受信データには、常に値が変動しているものや、予め定められた条件が成立しているときのみ値が変わる（すなわち、値の変動の頻度が小さい）ものなど、様々なものがある。上記構成によって、値の変動の頻度が小さい受信データを復号コードとして使用すれば、復号専用のデータを必要とすることはない。仮に、通信データから復号コードを探すとき、通常は通信データのうち固定値が復号コードではないかと推定するので、復号コードを見つけ出すことを困難にすることもできる。

また、本発明の電子制御装置は、復号部における復号結果が正しいか否かを判定する復号結果判定部を備える。

上記構成によって、正常に復号できたかどうかが分かるだけではなく、中央演算処理部の動作異常も防止することができる。

また、本発明の電子制御装置における復号結果判定部は、復号されたデータの内部記憶素子における予め定められた1つ以上の位置の値が予め定められた値であるか否かによって復号結果が正しいか否かを判定する。

データ全体を調べると時間がかかり、電子制御装置の動作にも影響を及ぼすこともあるが、上記構成によって、比較的短時間で復号結果が正しいか否かを判定することができる。

電子制御装置の全体構成を示すブロック図。ＤＲＡＭの記憶内容の一例を示す図。外部記憶素子の記憶内容の一例を示す図。復号処理を説明するフロー図。通信データの構成の一例を示す図。復号が正常に行われたかの判定方法を説明する図。復号処理の別例を説明するフロー図。

以下、本発明の電子制御装置について、図面を用いて説明する。図１に、電子制御装置（以下、「ＥＣＵ」という）１の全体構成を示す。ＥＣＵ１は、例えば車両に搭載され、中央演算処理部１１と、中央演算処理部１１に接続された外部記憶素子１６，通信Ｉ／Ｆ（インターフェース）１７，信号入出力回路を含むＩ／Ｏ１８を含んで構成される。

中央演算処理部１１は、周知のＳｉＰ（System in Package）として構成され、内部にはマイコン１２、ＤＲＡＭ１３、ＳＲＡＭ１４、ＭＡＳＫＲＯＭ１５を含んでいる。なお、マイコン１２が本発明の読出部，復号部，復号結果判定部に相当する。また、ＤＲＡＭ１３、ＳＲＡＭ１４が本発明の内部記憶素子に相当する。

ＤＲＡＭ１３は、周知のダイナミックＲＡＭで、図２に、ＤＲＡＭ１３の記憶内容の一例を示す。ＤＲＡＭ１３は、外部記憶素子１６からの個々のプログラム／データの転送状況を示すデータ転送状況格納領域１３ａ（例えばフラグエリアとして構成）、復号コード格納領域１３ｂ、外部記憶素子１６から転送した暗号化データを格納する暗号化データ格納領域１３ｃ、暗号化データを復号した復号データを格納する復号データ格納領域１３ｄ、各プログラムの作業領域であるワークエリア１３ｅを含んでいる。なお、本発明では、プログラム、データの両方を含めたものを「データ」と総称している。

図１に戻り、ＳＲＡＭ１４は、周知のスタティックＲＡＭで、ＥＣＵ１に外部から電源が供給されていないときでも、リチウム電池等で記憶されたデータのバックアップを行う。ＳＲＡＭ１４には、ＥＣＵ１の動作に必要で、かつ外部電源切断時でもその内容の保持が必要なデータを格納する。

また、ＳＲＡＭ１４に、データ転送状況格納領域、復号コード格納領域、暗号化データ格納領域、復号データ格納領域を設ける構成としてもよいし、暗号化データおよび復号データのうち、バックアップが必要なものをＳＲＡＭ１４に格納するようにしてもよい。

ＭＡＳＫＲＯＭ１５は暗号化データを復号するための復号プログラムの他に、ＥＣＵ１の動作に必要な最小限のプログラムを記憶している。なお、ＭＡＳＫＲＯＭ１５は、読み出し専用記憶媒体である。

外部記憶素子１６は、例えばフラッシュメモリのような電気的に書き換え可能な記憶媒体により構成され、ＥＣＵ１の動作に必要なプログラム／データを記憶している。外部記憶素子１６は、中央演算処理部１１とは別部品として、例えばＥＣＵ１の基板上に実装される。図３に、外部記憶素子１６の記憶内容の一例を示す。図３のように、外部記憶素子１６には、プログラム（Ａ〜Ｄ）、データ（Ｊ〜Ｍ）が記憶され、データ情報１６ａには、各プログラム／データに関する情報（例えば、名称，データ長，配置アドレス，暗号化されているか否か）が記憶されている。

図３の例では、プログラム（Ａ〜Ｄ）のうち、プログラムＡ、Ｃ、Ｄは暗号化され、プログラムＢは暗号化されていない。また、データ（Ｊ〜Ｍ）のうち、データＪ、Ｌ、Ｍは暗号化され、データＫは暗号化されていない。このように、暗号化されていないプログラム／データを含めて記憶してもよいし、全てのプログラム／データを暗号化して記憶してもよい。また、図３のように、暗号化データおよび非暗号化データが混在していてもよいし、暗号化データおよび非暗号化データそれぞれのデータ専用の記憶領域を設定してもよい。

図１に戻り、通信Ｉ／Ｆ１７は、例えば車内ＬＡＮ３１を介して他の車載機器とのデータ通信を行う、周知のＬＡＮインターフェース回路として構成される。なお、通信Ｉ／Ｆ（インターフェース）１７が本発明の復号コード取得部，通信部に相当する。

Ｉ／Ｏ１８は、例えば、ＥＣＵ１に接続されたセンサ群２１からの信号（センサ検出信号）を、中央演算処理部１１で処理可能な状態にするための増幅あるいは波形整形等を行ったり、中央演算処理部１１からの制御信号に基づいて、ＥＣＵ１に接続されたアクチュエータ群２２に対して駆動信号を生成し出力する。

上述の構成により、ＥＣＵ１は、センサ群２１からのセンサ検出信号を取得して、中央演算処理部１１で所定の演算を行い、その演算結果に基づいて、アクチュエータ群２２に対する制御指令を出力し、アクチュエータ群２２の駆動制御を行う。例えば、センサ群２１で車両のドアの開閉状態を検出し、ドアのうちの少なくともいずれかが開状態となったときに、アクチュエータ群２２に含まれるルームランプ等の車内照明装置を点灯させる。

図４を用いて、マイコン１２が実行する復号処理について説明する。本処理は、ＭＡＳＫＲＯＭ１５に記憶された復号プログラムに含まれている。例えば、電源投入時（ＥＣＵ１をバッテリに接続したとき）に実行される。まず、ＤＲＡＭ１３およびＳＲＡＭ１４の初期化を行う（Ｓ１１）。例えば、ＤＲＡＭ１３およびＳＲＡＭ１４の全領域あるいは予め定められた領域の記憶内容をクリアする。また、このとき、アクチュエータ群２２を予め定められた初期状態とするように制御指令を送る。

次に、外部記憶素子１６から、ＤＲＡＭ１３またはＳＲＡＭ１４に、プログラム／データを転送する（Ｓ１２）。暗号化されたプログラム／データ（図３のプログラムＡ、Ｃ、ＤとデータＪ、Ｌ、Ｍ）は、暗号化データ格納領域１３ｃに、暗号化されていないプログラム／データ（図３のプログラムＢとデータＫ）は、復号データ格納領域１３ｄに格納される。格納後に、データ転送状況格納領域１３ａの各プログラム／データに該等するフラグの状態を「転送済」とする。また、このとき、外部記憶素子１６のデータ情報１６ａの内容も転送される。

外部記憶素子１６に記憶されたプログラム／データを全て転送しないようにしてもよい。つまり、ＥＣＵ１の当面の動作に必要なプログラム／データのみを転送し、使用頻度の少ない機能や処理に関するプログラム／データは、必要に応じて転送する。こうすることで、復号処理に要する時間を短縮できる。この場合、本処理実行時に転送するプログラムについての情報は、バックアップが可能なＳＲＡＭ１４に記憶することが望ましい。

次に、ＥＣＵ１の外部（すなわち、外部装置）との通信手段を確立する（Ｓ１３）。例えば、車内ＬＡＮ３１を介して、他の車載機器からの通信データを正常時に受信できたときに、通信手段が確立したと見なす。通信データは、例えば、図５のように、送信元の車載機器を識別する送信元ＩＤ、あて先の車載機器を指定するあて先ＩＤ、送信元ＩＤとは別に有し車載機器を識別するための固有ＩＤ（これらをヘッダ情報ともいう）、データ（データ１〜データｎ）を含んで構成される。

次に、車内ＬＡＮ３１を介して、他の車載機器からのデータを受信する。受信したデータ（「受信データ」という）はＤＲＡＭ１３のワークエリア１３ｅに一時保存される。そして、受信データから復号コードを取得して（Ｓ１４）、ＤＲＡＭ１３の復号コード格納領域１３ｂに格納する（Ｓ１５）。

復号コードは以下のうちのいずれかを用いる。なお、原則として、受信データのあて先ＩＤがＥＣＵ１を示すものではないときには、ワークエリア１３ｅの受信データは消去されるか次の受信データにより上書きされる。また、受信データのあて先ＩＤがＥＣＵ１を示すものであるときには、ＤＲＡＭ１３あるいはＳＲＡＭ１４の所定領域に格納され、その受信データの内容に応じた処理を行う。
・所定の送信元ＩＤ、あるいは送信元ＩＤに所定の演算を行ったものを復号コードとする。
・固有ＩＤ、あるいは固有ＩＤに所定の演算を行ったものを復号コードとする。

・データ１〜ｎのうち、予め定められた位置にあるもの（例えば、３番目のデータであるデータ３）。
例えば車両のドアの開閉状態を示すデータのような、状態すなわちデータ値の変化の頻度が比較的少ないものがある。このデータを復号コードとして用いることができる。例えば、ドアの開閉状態のデータで全てのドアが閉状態のときのデータ値を復号コードとして用いる。本処理の実行中にいずれかのドアが開状態であっても、復号コード受信のリトライ中に全ドアが閉状態（待機状態）となる確率が高いので、ドア状態の他にも待機状態である割合が高い（すなわち、データ値が変化しにくい）データは、復号コードに適している。また、送信元ＩＤや固定ＩＤに比べて、復号コードを解読される可能性も低くなる。

また、受信データのあて先ＩＤがＥＣＵ１を示すものではないものから復号コードを取得してもよい。こうすることで、どのデータから復号コードを取得しているかをより分かり難くすることができる。

どの受信データから、どのようにして復号コードを取得するかは、例えばＳＲＡＭ１４あるいはＭＡＳＫＲＯＭ１５に予め記憶されている。

次に、ＤＲＡＭ１３の（ＳＲＡＭ１４でもよい）暗号化データ格納領域１３ｃに転送された暗号化プログラム／データを、上述の復号コードを用いて復号する（Ｓ１６）。なお、暗号化アルゴリズムは、周知のＤＥＳ、ＭＤ４、ＡＥＳ等のうちのいずれを用いてもよい。また、復号したものは、データ情報１６ａに基づいて、復号データ格納領域１３ｄの所定位置（アドレス）に格納する。

復号が終了した暗号化プログラム／データは、直ちに消去してもよいし、次の初期化時（ステップＳ１１）まで保持してもよいし、暗号化データ格納領域１３ｃの容量に制限があるときには随時消去してもよい。

次に、復号が正常に行われたか否かを判定する。復号データ格納領域１３ｄに格納されたプログラムは、上述のように所定のアドレスに格納されている。すなわち、各プログラムの先頭アドレスは、外部記憶素子１６に記憶されたプログラムがバージョンアップされても、常に同じとなるように構成されている。

そこで、プログラムの開始アドレスから○○番目のデータが予め定められた値であるときに、復号が正常に行われたと判定することができる。図６に、その一例を示す。図６の例では、復号データ格納領域１３ｄのアドレス１０００Ｈ（１６進）に文字Ａを表すデータが、アドレス１８００Ｈに文字Ｂを表すデータが、アドレス２０００Ｈに文字Ｃを表すデータが、それぞれ格納されている。これらのデータは、ダミーのテーブルデータ、あるいは文字コード定義データとしてソースプログラム上にアドレスを指定して記述されている。

図６の例では、復号判定用のデータは３個であるが、３個より多くても少なくてもよい。また、復号判定用のデータを複数有し、そのデータをアドレス順に並べると、所定の意味を表す単語となるようにしてもよい。

復号が正常に行われたと判定したとき（Ｓ１７：ＹＥＳ）、復号データ格納領域１３ｄに格納されたプログラムのうち、本処理を終了し、予め指定されたプログラム（例えば、メイン周回処理）を実行する（Ｓ１８）。

一方、復号が正常に行われないとき（Ｓ１７：ＮＯ）、ステップＳ１６へ戻り、再度復号を行う。あるいは、ステップＳ１４へ戻り、新たな受信データから復号コードを取得して復号を行う。

図７を用いて、復号プログラム実行終了後の、復号データ格納領域１３ｄに格納されたプログラムを実行しているときに、暗号化されたプログラム／データを転送して復号する処理について説明する。なお、本処理は、例えばＭＡＳＫＲＯＭ１５に記憶され、予め定められたタイミング、あるいは、個々のプログラム終了時（次のプログラムを実行する前）に実行される。

まず、現在実行しているプログラムの次に実行されるプログラム／データを先読みする（Ｓ３１）。これは、例えば、現在実行中のアドレス（マイコン１１のプログラムカウンタから取得可能）より先を対象として、復号データ格納領域１３ｄで、次に呼び出されるプログラム／データのアドレスあるいはジャンプ先のアドレスを探すものである。

次に、復号データ格納領域１３ｄにおいて、上述のアドレスにプログラム／データが存在するか否か、すなわち、復号されたプログラム／データがあるか否かを調べる（Ｓ３２）。

上述のアドレスにプログラム／データが存在するとき（Ｓ３３：ＹＥＳ）、本処理を終了し、そのプログラムの実行タイミングが到来したときに、該プログラムを実行する（Ｓ４０）。一方、上述のアドレスにプログラム／データが存在しないとき（Ｓ３３：ＮＯ）、外部記憶素子１６から該当するプログラム／データをＤＲＡＭ１３（あるいはＳＲＡＭ１４）に転送する（Ｓ３４）。このとき、プログラム／データが暗号化されているときには暗号化データ格納領域１３ｃに記憶し、暗号化されていないときには復号データ格納領域１３ｄに記憶する。

プログラム／データが暗号化されているとき（Ｓ３５：ＹＥＳ）、復号コード格納領域１３ｂに記憶されている復号コードを読み出す（Ｓ３６）。図４のステップＳ１４のように、車内ＬＡＮ３１を介して、新たに受信データから復号コードを取得してもよい。

一方、プログラム／データが暗号化されていないとき（Ｓ３５：ＮＯ）、本処理を終了し、そのプログラムの実行タイミングが到来したときに、該プログラムを実行する（Ｓ４０）。

次に、図４のステップＳ１６と同様に、暗号化プログラム／データを、復号コードを用いて復号する（Ｓ３７）。そして、正常に復号されたとき（Ｓ３８：ＹＥＳ）、本処理を終了し、復号したプログラムの実行タイミングが到来したときに、該プログラムを実行する（Ｓ３９）。

一方、正常に復号されないとき（Ｓ３８：ＮＯ）、ステップＳ３７（あるいはステップＳ３６）へ戻り、再度復号を行う。また、車内ＬＡＮ３１を介して、新たに受信データから復号コードを取得してもよい。

予め定められたタイミングで、既に復号されている暗号化プログラム／データの復号を行ってもよい。例えば、該当するプログラム／データを実行中であるか否かを判定し、実行中でないときに復号を行う。これにより、正しく復号できなかったときや、ノイズ等による復号プログラムの意図しない書き換えが行われたとき、ＥＣＵ１の動作に対する影響を最小限に抑えることができる。また、復号データも、予め定められたタイミングで再取得してもよい。

以上、本発明の実施の形態を説明したが、これらはあくまで例示にすぎず、本発明はこれらに限定されるものではなく、特許請求の範囲の趣旨を逸脱しない限りにおいて、当業者の知識に基づく種々の変更が可能である。

１ＥＣＵ
１１中央演算処理部
１２マイコン（読出部，復号部，復号結果判定部）
１３ＤＲＡＭ（内部記憶素子）
１４ＳＲＡＭ（内部記憶素子）
１５ＭＡＳＫＲＯＭ
１６外部記憶素子
１７通信Ｉ／Ｆ（復号コード取得部，通信部）

Claims

電子制御装置であって、
中央演算処理部と、
前記中央演算処理部の内部に設けられた内部記憶素子と、
前記中央演算処理部の外部に設けられ、暗号化されたデータを記憶する外部記憶素子と、
前記外部記憶素子から前記暗号化されたデータを読み出して前記内部記憶素子に記憶する読出部と、
ネットワーク接続された外部装置との通信を行う通信部と、
前記通信部を介して受信する受信データから、前記暗号化されたデータを復号するための復号コードを取得する復号コード取得部と、
を備え、
前記受信データは、あて先の装置を指定するあて先ＩＤを含み、
前記復号コード取得部は、前記あて先ＩＤが前記電子制御装置自身を示すものではない受信データから前記復号コードを取得し、
取得した前記復号コードに基づいて、前記内部記憶素子に記憶された前記暗号化されたデータを復号し、復号したデータを前記内部記憶素子に格納する復号部と、
をさらに備えることを特徴とする電子制御装置。
前記復号コード取得部は、前記受信データのうち、値が変動する受信データを前記復号コードとして取得する請求項１に記載の電子制御装置。
前記復号部における復号結果が正しいか否かを判定する復号結果判定部を備える請求項１または請求項２に記載の電子制御装置。
前記復号結果判定部は、復号されたデータの前記内部記憶素子における予め定められた１つ以上の位置の値が予め定められた値であるか否かによって前記復号結果が正しいか否かを判定する請求項３に記載の電子制御装置。