JP6698778B2

JP6698778B2 - 制御システム

Info

Publication number: JP6698778B2
Application number: JP2018189095A
Authority: JP
Inventors: 俊樹池頭; 松井　俊憲; 俊憲松井
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2018-10-04
Filing date: 2018-10-04
Publication date: 2020-05-27
Anticipated expiration: 2038-10-04
Also published as: JP2020057309A

Description

本発明は、制御システムに係り、特に、制御装置内の電子情報の改ざんの有無を検証可能な制御システムに関する。

制御装置内に記憶されている、制御プログラム、データ等の電子情報が不正に改ざんされてしまうことは、セキュリティ上の大きな脅威である。そのため、制御装置の起動時に、装置内に記憶されている電子情報の改ざんの有無を検証する技術が提案されている（例えば、特許文献１参照）。

特許文献１では、制御装置内の全ての電子情報を検証するのではなく、改ざんの有無を検証する電子情報を予め選別することによって、装置の起動時間を増大させることなく、改ざんの有無を検証することができる。

特開２０１７−３３２４８号公報

しかしながら、特許文献１に記載の技術では、改ざんの有無を検証する電子情報をシステム管理者が予め選別する必要がある。そのため、選別から漏れた電子情報は検証の対象とならず、セキュリティ性が低下してしまう。一方、セキュリティ性を高めるために多くの電子情報を検証の対象とすることは、起動時間の増大につながってしまう。

本発明は、このような課題を解決するためのものであり、起動時間を増大させることなく、高いセキュリティ性を得ることができる、制御システムを提供することを目的とする。

上記の課題を解決するために、本発明に係る制御システムは、制御装置に対して起動指令を通知する起動指令通知部と、制御装置に対して制御処理の開始指令を通知する開始指令通知部とを含む、起動要求装置と、制御装置による制御処理を実行する制御処理部と、制御処理部によって実行される制御処理に用いられる電子情報を記憶する第１の記憶領域と、制御装置の終了時に、第１の記憶領域に記憶されている電子情報に基づいて検証値を生成する検証値生成部と、検証値生成部によって生成された検証値、および第１の記憶領域に記憶されている電子情報に基づいて予め作成される期待値を記憶する第２の記憶領域と、制御装置の起動時に、第２の記憶領域に記憶されている検証値と期待値との比較に基づいて、第１の記憶領域に記憶されている電子情報の改ざんの有無を検証する検証実行部と、起動要求装置の起動指令通知部から起動指令が通知されると、制御装置を起動させ、検証実行部による検証の結果、第１の記憶領域に記憶されている電子情報が改ざんされていないと判定される場合には、制御処理部による制御処理の実行を許可し、検証実行部による検証の結果、第１の記憶領域に記憶されている電子情報が改ざんされていると判定される場合には、制御処理部による制御処理の実行を禁止する起動制御部とを含む、制御装置とを備え、制御装置は、第１の処理環境および第２の処理環境を有し、第１の記憶領域は、第１の処理環境および第２の処理環境の両方からアクセス可能であり、第２の記憶領域は、第２の処理環境からのみアクセス可能であり、検証値生成部および検証実行部は、第２の処理環境に含まれ、起動要求装置の起動指令通知部は、予め決定された時刻になると、または、ある時刻から予め決定された時間が経過すると、制御装置に対して起動指令を通知し、起動要求装置の開始指令通知部は、外部機器からの制御装置に対する起動要求を受信すると、制御装置に対して制御処理の開始指令を通知し、制御装置の起動制御部は、起動要求装置から制御処理の開始指令が通知されると、制御処理部による制御処理の実行を開始させる。

本発明に係る制御システムによれば、起動時間を増大させることなく、高いセキュリティ性を得ることができる。

本発明の実施の形態１に係る車載制御システムの機能構成を示すブロック図である。図１の車載制御装置の終了時の動作を説明するフローチャートである。図１の車載制御装置の起動時の動作を説明するフローチャートである。本発明の実施の形態１に係る車載制御システムの各機能を専用のハードウェアである処理回路で実現する場合を示した構成図である。本発明の実施の形態１に係る車載制御システムの各機能をプロセッサおよびメモリを備えた処理回路より実現する場合を示した構成図である。

以下、添付図面を参照して、本願が開示する制御システムの実施の形態について、本願発明に係る制御システムを車載制御システムに適用した場合を例にとって、詳細に説明する。ただし、以下に示す実施の形態は一例であり、これらの実施の形態によって、本願発明が限定されるものではない。本願発明は、他の種類の車載制御システムおよび他の任意の制御システムに対しても、同様に適用することができる。

実施の形態１．
図１は、本発明の実施の形態１に係る車載制御システムの機能構成を示すブロック図である。車載制御システムは、車載制御装置１０、およびこの車載制御装置１０に接続される起動要求装置２０とから構成されている。車載制御装置１０と起動要求装置２０との間は、専用の信号線３０、３１によって接続されている。なお、図１において、実線の矢印はデータの流れを表している。

（車載制御装置１０）
車載制御装置１０は、車両の制御を行う制御装置である。車載制御装置１０と、車両内部の他の制御装置との間は、図示しない車載ネットワーク、例えばＣＡＮ（Controller Area Network）を介して接続されている。

車載制御装置１０は、起動制御部１００と、制御処理部１０１と、記憶部１０２と、検証値生成部１０３と、検証実行部１０４とを備えている。

また、車載制御装置１０は、第１の処理環境１０ａと、第１の処理環境１０ａから物理的または論理的に隔離された第２の処理環境１０ｂとを有している。図１において、車載制御装置１０内に描かれた破線の左側が第１の処理環境１０ａであり、破線の右側が第２の処理環境１０ｂである。第２の処理環境１０ｂとしては、例えば、ＨＳＭ（Hardware Security Module）を使用することができる。

第１の処理環境１０ａには、起動制御部１００と、制御処理部１０１と、記憶部１０２における第１の記憶領域１０２ａとが含まれている。

第２の処理環境１０ｂには、記憶部１０２における第２の記憶領域１０２ｂと、検証値生成部１０３と、検証実行部１０４とが含まれている。

（起動制御部１００）
起動制御部１００は、車載制御装置１０の起動および終了を制御する。ここで、車載制御装置１０の起動とは、車載制御装置１０がスリープ状態から復帰すること、あるいは車載制御装置１０が電源オフ状態から電源オン状態に移行することである。また、車載制御装置１０の終了とは、車載制御装置１０がスリープ状態または電源オフ状態に移行することである。

また、起動制御部１００は、制御処理部１０１による制御処理の実行を許可または禁止する。

なお、起動制御部１００は、車載制御装置１０がスリープ状態または電源オフ状態であっても、継続して動作可能なように構成されている。例えば、起動制御部１００には、車載制御装置１０がスリープ状態または電源オフ状態であっても、図示しない電池または車載バッテリからの電力が継続して供給される。

（制御処理部１０１）
制御処理部１０１は、車両に搭載されている制御対象の機器、例えばアクチュエータ等を制御する。なお、図１では、制御対象の機器は示されていない。また、これ以降、制御対象の機器のことを単に、制御対象と称することにする。

制御処理部１０１は、記憶部１０２の第１の記憶領域１０２ａに記憶されている、制御対象の機器に対応した制御プログラムを読み出して実行することによって、各種の制御処理を実行する。

（記憶部１０２）
記憶部１０２は、先述したように、第１の記憶領域１０２ａと第２の記憶領域１０２ｂとを有している。第１の記憶領域１０２ａと第２の記憶領域１０２ｂとは、物理的または論理的に隔離されている。

第１の記憶領域１０２ａには、制御処理部１０１が各種の制御処理を実行する際に使用される制御プログラム、データ等が記憶されている。なお、これ以降、制御プログラム、データ等をまとめて、電子情報と称することにする。また、第１の記憶領域１０２ａに記憶されている電子情報は、第１の処理環境１０ａおよび第２の処理環境１０ｂの両方からアクセスすることができる。

第２の記憶領域１０２ｂには、車載制御装置１０の起動時に実行される処理、詳細には、第１の記憶領域１０２ａに記憶されている電子情報の改ざんの有無を検証する処理に使用される検証値および期待値が記憶される。

なお、期待値は、例えば、車載制御装置１０の製造時に、第１の記憶領域１０２ａに記憶されている電子情報に基づいて、次に述べる検証値と同一の算出方法で作成される。また、第２の記憶領域１０２ｂに記憶されている電子情報は、第２の処理環境１０ｂからのみアクセスすることができる。

ここで、第１の記憶領域１０２ａに記憶されている電子情報は、制御処理部１０１が各種の制御処理を実行する際に使用するものである。そのため、第１の記憶領域１０２ａに記憶されている電子情報が不正に改ざんされてしまうと、制御対象の動作および車両全体の制御に重大な問題が生じるおそれがある。

（検証値生成部１０３）
検証値生成部１０３は、第２の処理環境１０ｂ内に設けられている。検証値生成部１０３は、第１の記憶領域１０２ａに記憶されている電子情報に基づいて、検証値を生成する。検証値は、例えば、ＭＡＣ（Message Authentication Code）、ＣＲＣ、ハッシュなどによって生成することができる。

（検証実行部１０４）
検証実行部１０４は、第２の処理環境内１０ｂ内に設けられている。検証実行部１０４は、上述した検証値と期待値とを比較することによって、第１の記憶領域１０２ａに記憶されている電子情報の改ざんの有無を検証する。

検証実行部１０４は、検証値と期待値とが一致している場合には、第１の記憶領域１０２ａに記憶されている電子情報は改ざんされていないと判定する。その場合、検証実行部１０４は、起動制御部１００に対して、検証合格を意味する信号を出力する。

一方、検証実行部１０４は、検証値と期待値とが一致していない場合には、第１の記憶領域１０２ａに記憶されている電子情報が改ざんされていると判定する。その場合、検証実行部１０４は、起動制御部１００に対して、検証不合格を意味する信号を出力する。

（起動要求装置２０）
起動要求装置２０は、車載制御装置１０を起動するための装置である。また、起動要求装置２０と、車両内部の他の制御装置との間は、図示しない車載ネットワーク、例えばＣＡＮ（Controller Area Network）を介して接続されている。

起動要求装置２０は、開始指令通知部２００と、起動指令通知部２０１とを備えている。開始指令通知部２００と車載制御装置１０の起動制御部１００とは、信号線３０によって接続されている。また、起動指令通知部２０１と車載制御装置１０の起動制御部１００とは、信号線３１によって接続されている。なお、信号線３０、３１は、ＯＮまたはＯＦＦのいずれかの状態をとる。

（開始指令通知部２００）
開始指令通知部２００は、車両に搭載されている図示しない外部機器から、車載制御装置１０の起動要求指令を受信する。起動要求部２００は、起動要求指令を受信すると、車載制御装置１０の起動制御部１００に対して、制御処理の開始指令を通知する。

詳細には、起動要求部２００は、信号線３０の状態をＯＦＦからＯＮに変化させることによって、車載制御装置１０の起動制御部１００に対して、制御処理の開始指令を通知する。

（起動指令通知部２０１）
起動指令通知部２０１は、予め決定された時刻、すなわち設定時刻になると、車載制御装置１０の起動制御部１００に対して、起動指令を通知する。あるいは、起動指令通知部２０１は、ある時刻から予め決定された時間、すなわち設定時間が経過すると、車載制御装置１０の起動制御部１００に対して、起動指令を通知する。

詳細には、起動指令通知部２０１は、信号線３１の状態をＯＦＦからＯＮに変化させることによって、車載制御装置１０の起動制御部１００に対して、起動指令を通知する。

上述した開始指令通知部２００および起動指令通知部２０１は、車載制御装置１０がスリープ状態または電源オフ状態であっても、継続して動作可能なように構成されている。例えば、開始指令通知部２００および起動指令通知部２０１には、車載制御装置１０がスリープ状態または電源オフ状態であっても、図示しない電池または車載バッテリからの電力が継続して供給される。

次に、本発明の実施の形態１に係る車載制御装置１０の終了時および起動時の動作について、図２、図３のフローチャートを参照して詳細に説明する。

（車載制御装置１０の終了時の動作）
図２は、実施の形態１に係る車載制御装置１０の終了時の動作を説明するフローチャートである。この処理は、車載制御装置１０がスリープ状態または電源オフ状態に移行する直前に、自動的に実行されるように設定されている。

ステップＳ２０１において、起動制御部１００は、図示しない通信インターフェースを介して、車載制御装置１０と他の外部機器との間の通信が現在有効となっている否かを判定する。

ステップＳ２０１でＹＥＳと判定された場合、すなわち車載制御装置１０と他の外部機器との間の通信が現在有効である場合には、処理フローはステップＳ２０２に進む。

一方、ステップＳ２０１でＮＯと判定された場合、すなわち車載制御装置１０と他の外部機器との間の通信が現在無効である場合には、処理フローはステップＳ２０３に進む。

ステップＳ２０２において、起動制御部１００は、図示しない通信インターフェースを介して、車載制御装置１０と他の外部機器との間の通信を無効化する。

ステップＳ２０３において、起動制御部１００は、検証値生成部１０３に対して、検証値の生成を指示する。検証値生成部１０３は、第１の記憶領域１０２ａに記憶されている電子情報に基づいて検証値を生成し、生成した検証値を第２の記憶領域１０２ｂに記憶させる。

ステップＳ２０４において、起動制御部１００は、制御処理部１０１によって実行されている制御処理を停止させる。

ステップＳ２０５において、車載制御装置１０は、スリープ状態または電源オフ状態に移行する。これにより、車載制御装置１０が終了する。

なお、先述したように、車載制御装置１０がスリープ状態または電源オフ状態となっても、起動制御部１００は、例えば図示しない電池または車載バッテリから供給される電力によって、継続して動作する。

以上説明したように、実施の形態１に係る車載制御装置１０は、スリープ状態または電源オフ状態に移行する直前に、第１の記憶領域１０２ａに記憶されている電子情報に基づいて検証値を生成し、第２の記憶領域１０２ｂに記憶させておく。

（車載制御装置１０の起動時の動作）
図３は、実施の形態１に係る車載制御装置１０の起動時の動作を説明するフローチャートである。

ステップＳ３０１において、起動要求装置２０の起動指令通知部２０１は、予め決定された時刻、すなわち設定時刻になると、車載制御装置１０の起動制御部１００に対して、起動指令を通知する。

ここで、設定時刻とは、例えば、運転者が日常的に車両のエンジンを始動する時刻の直前、例えば１時間前に設定される。あるいは、運転者が任意の時刻を設定可能なようにしてもよい。

代替的には、ステップＳ３０１において、起動要求装置２０の起動指令通知部２０１は、ある時刻から予め決定された時間、すなわち設定時間が経過すると、車載制御装置１０の起動制御部１００に対して、起動指令を通知する。

ここで、ある時刻とは、例えば、車両のエンジンが停止した時刻または車載制御装置１０がスリープ状態または電源オフ状態に移行した時刻である。また、設定時間は、例えば、１〜２時間に設置される。あるいは、設定時間は、運転者が任意の時間を設定可能なようにしてもよい。

ステップＳ３０２において、起動制御部１００は、車載制御装置１０のスリープ状態または電源オフ状態を解除する。これにより、車載制御装置１０が起動する。

ステップＳ３０３において、検証実行部１０４は、第２の記憶領域１０２ｂに記憶されている検証値と検証値とを比較することによって、第１の記憶領域１０２ａに記憶されている電子情報の改ざんの有無を検証する。

ステップＳ３０３で検証値と期待値とが一致している場合には、検証実行部１０４は、第１の記憶領域１０２ａに記憶されている電子情報は改ざんされていないと判定する。その場合、検証実行部１０４は、起動制御部１００に対して検証合格を意味する信号を出力し、処理フローはステップＳ３０４に進む。

一方、ステップＳ３０３で検証値と期待値とが一致していない場合には、検証実行部１０４は、第１の記憶領域１０２ａに記憶されている電子情報が改ざんされていると判定する。その場合、検証実行部１０４は、起動制御部１００に対して検証不合格を意味する信号を出力し、処理フローはステップＳ３０５に進む。

ステップＳ３０４において、起動制御部１００は、制御処理部１０１による制御処理の実行を許可する。

ステップＳ３０５において、起動制御部１００は、制御処理部１０１による制御処理の実行を禁止する。

ステップＳ３０６において、起動要求装置２０の開始指令通知部２００は、図示しない外部機器からの車載制御装置１０に対する起動要求を受信すると、車載制御装置１０の起動制御部１００に対して、制御処理の開始指令を通知する。

詳細には、開始指令通知部２００は、信号線３０の状態をＯＦＦからＯＮに変化させることによって、車載制御装置１０の起動制御部１００に対して、制御処理の開始指令を通知する。

ステップＳ３０７において、起動制御部１００は、図示しない通信インターフェースを介して、車載制御装置１０と他の外部機器との間の通信を有効化する。

ステップＳ３０８において、起動制御部１００は、制御処理部１０１による制御処理の実行を開始させる。なお、前述したように、この制御処理に使用される電子情報は、第１の記憶領域１０２ａに記憶されているものであり、この電子情報が改ざんされていないことは、ステップＳ３０３において検証されている。

以上説明したように、実施の形態１に係る車載制御システムでは、車載制御装置１０の起動時に、第２の記憶領域１０２ｂに記憶されている検証値と期待値との比較に基づいて、第１の記憶領域１０２ａに記憶されている電子情報の改ざんの有無を検証する。

先述したように、検証値は、車載制御装置１０の終了時に生成され、第２の記憶領域１０２ｂに記憶されていたものである。また、期待値は、車載制御装置１０の製造時に予め作成され、第２の記憶領域１０２ｂに記憶されていたものである。

従来の制御システムでは、制御装置の起動時に、装置内に記憶されている電子情報の改ざんの有無を検証するための検証値を生成していた。また、検証値の生成は、多くの計算量を要するために、時間のかかる処理である。そのため、特許文献１では、改ざんの有無を検証する電子情報を予め選別することにより、セキュリティ性の低下と引き換えにして、起動時間の増大を防いでいた。

これに対して、本実施の形態１に係る制御システムでは、制御装置の終了時に、装置内に記憶されている電子情報の改ざんの有無を検証するための検証値を生成して記憶しておく。これにより、起動時間を増大させることなく、高いセキュリティ性を得ることができる。

特に、暗号鍵を使用して検証値を生成する場合、従来の制御システムでは、起動時間を増大させることなく暗号鍵および暗号化するデータ量を十分に確保することが困難であった。これに対して、本実施の形態１に係る制御システムでは、起動時間を増大させることなく暗号鍵および暗号化するデータ量を十分に確保することができる。これにより、高いセキュリティ性を得ることができる。

また、本実施の形態１に係る制御システムの制御装置は、第１の処理環境と、第１の処理環境と物理的または論理的に隔離された第２の処理環境とを有している。第１の記憶領域は、第１の処理環境および第２の処理環境の両方からアクセス可能であり、第２の記憶領域は、第２の処理環境からのみアクセス可能である。そして、検証値生成部および検証実行部は、第２の処理環境に含まれている。これにより、検証処理それ自体のセキュリティ性および信頼性を高めることができる。

また、本実施の形態１に係る制御システムでは、制御装置の終了時に、検証値生成部による検証値の生成に先立って、制御装置と外部との間の通信機能を無効化する。また、制御装置の起動後に、検証実行部による検証結果が合格の場合に、制御装置と外部との間の通信機能を有効化する、これにより、外部からの通信を介した攻撃による電子情報の改ざんを防ぐことができる。

さらに、本実施の形態１に係る制御システムは、起動要求装置を備えている。起動要求装置の起動指令通知部は、予め決定された時刻になると、制御装置に対して起動指令を通知する。代替的には、起動要求装置の起動指令通知部は、ある時刻から予め決定された時間が経過すると、制御装置に対して起動指令を通知する。これにより、外部機器からの制御装置に対する起動要求が受信されるのに先立って、予め制御装置が起動して、装置内に記憶されている電子情報の改ざんの有無の検証が行われる。

起動要求装置の開始指令通知部は、外部機器からの制御装置に対する起動要求を受信すると、制御装置に対して制御処理の開始指令を通知する。制御装置の起動制御部は、起動要求装置から制御処理の開始指令が通知されると、制御処理部による制御処理の実行を開始させる。これにより、外部機器からの制御装置に対する起動要求が行われた際には、きわめて短時間に制御装置の制御処理が開始される。また、電子情報の改ざんの有無の検証が完了した後に受信される起動要求、すなわち信頼性の高い起動要求のみが有効となるため、制御システムのセキュリティ性がさらに向上する。

なお、以上の説明では、制御処理部１０１による制御処理の実行を禁止する場合には、制御処理部１０１の全ての機能の実行が禁止されるものとして説明した。しかしながら、実施の形態１における禁止処理は、これに限定されるものではない。例えば、制御処理部１０１の一部の機能の実行を禁止した状態で、制御処理部１０１の他の機能の実行を許可するようにしてもよい。

例えば、制御処理部１０１によって、複数の制御処理が実行される場合を考える。この場合、第１の記憶領域１０２ａには、複数の制御処理に対応する複数の電子情報、すなわち複数の制御プログラムおよびデータが記憶されている。

検証値生成部１０３は、車載制御装置１０の終了時に、第１の記憶領域１０２ａに記憶されている複数の電子情報に基づいて、これら複数の電子情報にそれぞれ対応する複数の検証値を生成する。

第２の記憶領域１０２ｂには、複数の検証値と、これら複数の検証値にそれぞれ対応する複数の期待値が記憶される。

検証実行部１０４は、車載制御装置１０の起動時に、第２の記憶領域１０２ｂに記憶されている複数の検証値と複数の期待値とのそれぞれの比較に基づいて、第１の記憶領域１０２ａに記憶されている複数の電子情報の改ざんの有無をそれぞれ検証する。

起動制御部１００は、複数の制御処理の中で、検証実行部１０４による検証結果が合格の制御処理のみ、制御処理部１０１による実行を許可する。

また、上述した実施の形態１に係る車載制御装置１０、起動要求装置２０における各機能は、処理回路によって実現される。各機能を実現する処理回路は、専用のハードウェアであってもよく、メモリに格納されるプログラムを実行するプロセッサであってもよい。図４は、本発明の実施の形態１に係る車載制御装置１０、起動要求装置２０の各機能を専用のハードウェアである処理回路１０００で実現する場合を示した構成図である。また、図５は、本発明の実施の形態１に係る車載制御装置１０、起動要求装置２０の各機能をプロセッサ２００１およびメモリ２００２を備えた処理回路２０００により実現する場合を示した構成図である。

処理回路が専用のハードウェアである場合、処理回路１０００は、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ（ＡｐｐｌｉｃａｔｉｏｎＳｐｅｃｉｆｉｃＩｎｔｅｇｒａｔｅｄＣｉｒｃｕｉｔ）、ＦＰＧＡ（ＦｉｅｌｄＰｒｏｇｒａｍｍａｂｌｅＧａｔｅＡｒｒａｙ）、またはこれらを組み合わせたものが該当する。起動制御部１００、制御処理部１０１、検証値生成部１０３、検証実行部１０４、開始指令通知部２００、起動指令通知部２０１の各部の機能それぞれを個別の処理回路１０００で実現してもよいし、各部の機能をまとめて処理回路１０００で実現してもよい。

一方、処理回路がプロセッサ２００１の場合、起動制御部１００、制御処理部１０１、検証値生成部１０３、検証実行部１０４、開始指令通知部２００、起動指令通知部２０１の各部の機能は、ソフトウェア、ファームウェア、またはソフトウェアとファームウェアとの組み合わせにより実現される。ソフトウェアおよびファームウェアは、プログラムとして記述され、メモリ２００２に格納される。プロセッサ２００１は、メモリ２００２に記憶されたプログラムを読み出して実行することにより、各部の機能を実現する。すなわち、エレベータシステムは、処理回路２０００により実行されるときに、ステップＳ２０１〜Ｓ２０５、ステップＳ３０１〜Ｓ３０７が結果的に実行されることになるプログラムを格納するためのメモリ２００２を備える。

これらのプログラムは、上述した各部の手順あるいは方法をコンピュータに実行させるものであるともいえる。ここで、メモリ２００２とは、例えば、ＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）、ＲＯＭ（ＲｅａｄＯｎｌｙＭｅｍｏｒｙ）、フラッシュメモリ、ＥＰＲＯＭ（ＥｒａｓａｂｌｅＰｒｏｇｒａｍｍａｂｌｅＲｅａｄＯｎｌｙＭｅｍｏｒｙ）、ＥＥＰＲＯＭ（ＥｌｅｃｔｒｉｃａｌｌｙＥｒａｓａｂｌｅａｎｄＰｒｏｇｒａｍｍａｂｌｅＲｅａｄＯｎｌｙＭｅｍｏｒｙ）等の、不揮発性または揮発性の半導体メモリが該当する。また、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等も、メモリ２００２に該当する。

なお、上述した各部の機能について、一部を専用のハードウェアで実現し、一部をソフトウェアまたはファームウェアで実現するようにしてもよい。

このように、処理回路は、ハードウェア、ソフトウェア、ファームウェア、またはこれらの組み合わせによって、上述した各部の機能を実現することができる。

１０車載制御装置（制御装置）、１０ａ第１の処理環境、１０ｂ第２の処理環境、２０起動要求装置、３０信号線、３１信号線、１００起動制御部、１０１制御処理部、１０２ａ第１の記憶領域、１０２ｂ第２の記憶領域、１０３検証値生成部、１０４検証実行部、２００開始指令通知部、２０１起動指令通知部。

Claims

制御装置に対して起動指令を通知する起動指令通知部と
前記制御装置に対して制御処理の開始指令を通知する開始指令通知部と
を含む、起動要求装置と、
前記制御装置による制御処理を実行する制御処理部と、
前記制御処理部によって実行される制御処理に用いられる電子情報を記憶する第１の記憶領域と、
前記制御装置の終了時に、前記第１の記憶領域に記憶されている前記電子情報に基づいて検証値を生成する検証値生成部と、
前記検証値生成部によって生成された前記検証値、および前記第１の記憶領域に記憶されている前記電子情報に基づいて予め作成される期待値を記憶する第２の記憶領域と、
前記制御装置の起動時に、前記第２の記憶領域に記憶されている前記検証値と前記期待値との比較に基づいて、前記第１の記憶領域に記憶されている前記電子情報の改ざんの有無を検証する検証実行部と、
前記起動要求装置の前記起動指令通知部から前記起動指令が通知されると、前記制御装置を起動させ、前記検証実行部による検証の結果、前記第１の記憶領域に記憶されている前記電子情報が改ざんされていないと判定される場合には、前記制御処理部による前記制御処理の実行を許可し、前記検証実行部による検証の結果、前記第１の記憶領域に記憶されている前記電子情報が改ざんされていると判定される場合には、前記制御処理部による前記制御処理の実行を禁止する起動制御部と
を含む、制御装置と
を備え、
前記制御装置は、第１の処理環境および第２の処理環境を有し、
前記第１の記憶領域は、前記第１の処理環境および前記第２の処理環境の両方からアクセス可能であり、
前記第２の記憶領域は、前記第２の処理環境からのみアクセス可能であり、
前記検証値生成部および前記検証実行部は、前記第２の処理環境に含まれ、
前記起動要求装置の前記起動指令通知部は、予め決定された時刻になると、または、ある時刻から予め決定された時間が経過すると、前記制御装置に対して前記起動指令を通知し、
前記起動要求装置の前記開始指令通知部は、外部機器からの前記制御装置に対する起動要求を受信すると、前記制御装置に対して制御処理の開始指令を通知し、
前記制御装置の前記起動制御部は、前記起動要求装置から前記制御処理の開始指令が通知されると、前記制御処理部による前記制御処理の実行を開始させる、制御システム。
前記起動制御部は、前記制御装置の終了時に、前記検証値生成部による前記検証値の生成に先立って、前記制御装置と外部との間の通信機能を無効化し、前記制御装置の起動後に、前記検証実行部による検証の結果、前記第１の記憶領域に記憶されている前記電子情報が改ざんされていないと判定される場合に、前記制御装置と外部との間の通信機能を有効化する、請求項１に記載の制御システム。
前記制御処理部は、複数の制御処理を実行し、
前記第１の記憶領域には、前記制御処理部によって実行される前記複数の制御処理に対応する複数の電子情報が記憶され、
前記検証値生成部は、前記制御装置の終了時に、前記第１の記憶領域に記憶されている前記複数の電子情報に基づいて、該複数の電子情報にそれぞれ対応する複数の検証値を生成し、
前記第２の記憶領域は、前記検証値生成部によって生成された前記複数の検証値、および前記第１の記憶領域に記憶されている前記複数の電子情報に基づいて予め作成される、該複数の電子情報にそれぞれ対応する複数の期待値を記憶し、
前記検証実行部は、前記制御装置の起動時に、前記第２の記憶領域に記憶されている前記複数の検証値と前記複数の期待値とのそれぞれの比較に基づいて、前記第１の記憶領域に記憶されている前記複数の電子情報の改ざんの有無をそれぞれ検証し、
前記起動制御部は、前記複数の制御処理の中で、前記検証実行部による検証の結果、改ざんされていないと判定される電子情報に対応する制御処理のみ実行を許可する、請求項１または２に記載の制御システム。