JP6898643B2

JP6898643B2 - Electronic control device for vehicles

Info

Publication number: JP6898643B2
Application number: JP2017155342A
Authority: JP
Inventors: 英一白石; 真吾山本; 貴之長瀬
Original assignee: Subaru Corp
Current assignee: Subaru Corp
Priority date: 2017-08-10
Filing date: 2017-08-10
Publication date: 2021-07-07
Anticipated expiration: 2037-08-10
Also published as: JP2019034579A

Description

本発明は、２つのマイクロコントローラを備える車両用の電子制御装置に関する。 The present invention relates to an electronic control device for a vehicle including two microcontrollers.

自動車等の車両には、エンジンや電動パワーステアリング等の制御対象の動作制御を所定のプログラムに基づいて実行する複数の電子制御装置が配設されている。電子制御装置は、プログラムの書き換えが可能である。 A vehicle such as an automobile is provided with a plurality of electronic control devices that execute operation control of a controlled object such as an engine or an electric power steering based on a predetermined program. The electronic control device can rewrite the program.

特開２０１２−２４２９００号公報に開示の車載制御ユニットは、制御対象の動作制御を実行するメインマイコンと、メインマイコンのプログラムを不正に書き換える処理を監視するサブマイコンと、を備えており、サブマイコンは、正規のプログラムの書き換え処理では使用されない通信用端子への通信信号の入力の有無を監視し、通信用端子への通信信号の入力を検出した場合にメインマイコンの動作を阻止する。このような構成を有する特開２０１２−２４２９００号公報に開示の車載制御ユニットは、制御対象を制御するためのプログラムの不正な書き換えを防止することができる。 The in-vehicle control unit disclosed in Japanese Patent Application Laid-Open No. 2012-242900 includes a main microcomputer that executes operation control of a controlled object and a sub-microcomputer that monitors a process of illegally rewriting a program of the main microcomputer. Monitors the presence or absence of the input of the communication signal to the communication terminal, which is not used in the rewriting process of the regular program, and blocks the operation of the main microcomputer when the input of the communication signal to the communication terminal is detected. The in-vehicle control unit disclosed in Japanese Patent Application Laid-Open No. 2012-242900 having such a configuration can prevent unauthorized rewriting of a program for controlling a controlled object.

特開２０１２−２４２９００号公報Japanese Unexamined Patent Publication No. 2012-242900

特開２０１２−２４２９００号公報に開示の技術では、メインマイコンの正規のプログラムの書き換え処理で用いられる通信用端子を経由したプログラムの不正な書き換え処理を防止することができない。例えば、特開２０１２−２４２９００号公報に開示の技術では、不正行為者によって、正規のプログラムの書き換え処理で用いられる通信用端子を経由したメインマイコンとの間のデータ通信の認証が突破されてしまえば、メインマイコンのプログラムの不正な書き換えが可能となってしまう。 The technique disclosed in Japanese Patent Application Laid-Open No. 2012-242900 cannot prevent an illegal rewriting process of a program via a communication terminal used in a rewriting process of a regular program of a main microcomputer. For example, in the technology disclosed in Japanese Patent Application Laid-Open No. 2012-242900, an unauthorized person breaks through the authentication of data communication with the main microcomputer via the communication terminal used in the rewriting process of a legitimate program. For example, the program of the main microcomputer can be illegally rewritten.

また、特開２０１２−２４２９００号公報に開示の技術では、プログラムの不正な書き換え処理を検出した場合には、電子制御装置による制御対象の制御動作が停止してしまう。 Further, in the technique disclosed in Japanese Patent Application Laid-Open No. 2012-242900, when an illegal rewriting process of a program is detected, the control operation of the controlled object by the electronic control device is stopped.

本発明は前述した問題を解決するものであり、制御対象の制御動作を停止することなくプログラムの不正な書き換えを防止することができる車両用の電子制御装置を提供することを目的とする。 The present invention solves the above-mentioned problems, and an object of the present invention is to provide an electronic control device for a vehicle capable of preventing unauthorized rewriting of a program without stopping the control operation of a controlled object.

本発明の一態様の電子制御装置は、車両の通信システムに接続され、第１プログラムに基づいて前記車両が備える制御対象を制御する第１マイクロコントローラと、前記通信システムに接続され、第２プログラムに基づいて前記制御対象を制御する第２マイクロコントローラと、前記第１および第２マイクロコントローラの間のデータ通信を行う内部通信部と、前記第１マイクロコントローラに設けられ、前記第１マイクロコントローラの前記通信システムを経由するデータ通信の認証を所定の第１認証方式により行う第１認証部と、前記第１マイクロコントローラに設けられ、前記第１認証部による認証が成功した場合にのみ、前記通信システムを経由するデータ通信による前記第１プログラムの書き換え処理の実行を許可する第１制御部と、前記第２マイクロコントローラに設けられ、前記第２マイクロコントローラの前記内部通信部を経由するデータ通信の認証を前記第１認証方式とは異なる所定の第２認証方式により行う第２認証部と、前記第２マイクロコントローラに設けられ、前記第２認証部による認証が成功した場合にのみ、前記内部通信部を経由するデータ通信による前記第２プログラムの書き換え処理の実行を許可する第２制御部と、前記第２マイクロコントローラに設けられ、前記内部通信部を経由するデータ通信において前記第２認証部による認証が失敗した場合に、前記第１プログラムを、第２プログラムと同等なプログラムに書き換える書き換え部と、を備える。 The electronic control device of one aspect of the present invention is connected to a communication system of a vehicle, and is connected to a first microcomputer that controls a control target included in the vehicle based on the first program, and a second program. A second microcontroller that controls the control target based on the above, an internal communication unit that performs data communication between the first and second microcontrollers, and the first microcontroller provided in the first microcontroller. The communication is provided only when the first authentication unit that authenticates the data communication via the communication system by a predetermined first authentication method and the first authentication unit provided in the first microcontroller and the authentication by the first authentication unit is successful. A first control unit that permits execution of the rewriting process of the first program by data communication via the system, and a data communication provided in the second microcontroller and via the internal communication unit of the second microcontroller. The internal communication is provided only when a second authentication unit that performs authentication by a predetermined second authentication method different from the first authentication method and a second authentication unit provided on the second microcontroller and authentication by the second authentication unit is successful. A second control unit that permits execution of the rewriting process of the second program by data communication via the unit, and a second authentication unit provided in the second microcontroller and in data communication via the internal communication unit. It is provided with a rewriting unit that rewrites the first program to a program equivalent to the second program when the authentication fails.

本発明によれば、制御対象の制御動作を停止することなくプログラムの不正な書き換えを防止することができる車両用の電子制御装置を提供することが可能である。 According to the present invention, it is possible to provide an electronic control device for a vehicle that can prevent unauthorized rewriting of a program without stopping the control operation of a controlled object.

電子制御装置の構成を示す図である。It is a figure which shows the structure of an electronic control device.

以下に、本発明の好ましい形態について図面を参照して説明する。なお、以下の説明に用いる各図においては、各構成要素を図面上で認識可能な程度の大きさとするため、構成要素毎に縮尺を異ならせてあるものであり、本発明は、これらの図に記載された構成要素の数量、構成要素の形状、構成要素の大きさの比率、及び各構成要素の相対的な位置関係のみに限定されるものではない。 Hereinafter, preferred embodiments of the present invention will be described with reference to the drawings. In each of the drawings used in the following description, the scale is different for each component in order to make each component recognizable in the drawings. It is not limited to the number of components, the shape of the components, the size ratio of the components, and the relative positional relationship of each component described in.

図１において、符号１は、自動車等の車両の電子制御装置であり、所定のプログラムに基づき車両の動作制御を実施する。車両において、本実施形態の電子制御装置１が制御を行う対象（制御対象２０）は特に限定されるものではない。例えば、電子制御装置１の制御対象２０は、エンジンや電動モータ等の動力発生装置であってもよいし、電動パワーステアリング装置であってもよい。また、車両は本実施形態の電子制御装置１を複数備えていてもよい。 In FIG. 1, reference numeral 1 is an electronic control device for a vehicle such as an automobile, and controls the operation of the vehicle based on a predetermined program. In the vehicle, the target (control target 20) controlled by the electronic control device 1 of the present embodiment is not particularly limited. For example, the controlled object 20 of the electronic control device 1 may be a power generating device such as an engine or an electric motor, or may be an electric power steering device. Further, the vehicle may be provided with a plurality of electronic control devices 1 of the present embodiment.

電子制御装置１は、第１マイクロコントローラ（以下では、第１マイコンと称する）２、第２マイクロコントローラ（以下では、第２マイコンと称する）３、および内部通信部５を備える。 The electronic control device 1 includes a first microcontroller (hereinafter referred to as a first microcomputer) 2, a second microcontroller (hereinafter referred to as a second microcomputer) 3, and an internal communication unit 5.

第１マイコン２および第２マイコン３は、それぞれＣＰＵ、ＲＯＭ、入出力装置等がバスに接続されたコンピュータである。第１マイコン２と第２マイコン３との間は、内部通信部５を介したデータ通信が可能である。 The first microcomputer 2 and the second microcomputer 3 are computers in which a CPU, a ROM, an input / output device, and the like are connected to a bus, respectively. Data communication is possible between the first microcomputer 2 and the second microcomputer 3 via the internal communication unit 5.

また、第１マイコン２および第２マイコン３は、通信システム１０に並列に接続されており、通信システム１０との間での信号の授受を行うことができる。通信システム１０には、車両が備える他の複数の電子制御装置等が接続されている。通信システム１０は、車両が備える複数の電子制御装置間のデータ通信を行う。本実施形態では一例として、通信システム１０は、一般にＣｏｎｔｒｏｌｌｅｒＡｒｅａＮｅｔｗｏｒｋ等と称される形態のものである。電子制御装置１は、通信システム１０を介したデータ通信により、車両が備える他の電子制御装置と協調した制御動作が可能である。 Further, the first microcomputer 2 and the second microcomputer 3 are connected in parallel to the communication system 10, and can exchange signals with and from the communication system 10. A plurality of other electronic control devices included in the vehicle are connected to the communication system 10. The communication system 10 performs data communication between a plurality of electronic control devices included in the vehicle. As an example in the present embodiment, the communication system 10 has a form generally referred to as a Controller Area Network or the like. The electronic control device 1 can perform a control operation in cooperation with other electronic control devices included in the vehicle by data communication via the communication system 10.

詳しくは後述するが、第１マイコン２および第２マイコン３は制御対象２０に並列に電気的に接続されている。第１マイコン２および第２マイコン３は、所定のプログラムに基づいて、制御対象２０を同様に制御することができる。 As will be described in detail later, the first microcomputer 2 and the second microcomputer 3 are electrically connected to the controlled object 20 in parallel. The first microcomputer 2 and the second microcomputer 3 can similarly control the control target 20 based on a predetermined program.

第１マイコン２および第２マイコン３による制御対象２０の制御は、例えば通常時は第１マイコン２のみによって実行され、第１マイコン２の動作に障害が発生した場合に第２マイコンのみにより実行される排他的な形態であってもよい。また、例えば、第１マイコン２および第２マイコン３による制御対象２０の制御は、通常時は第１マイコン２および第２マイコン３の双方の協調動作により実行され、第１マイコン２および第２マイコン３の一方の動作に障害が発生した場合に他方のみによって実行される形態であってもよい。いずれの形態であっても、電子制御装置１は、第１マイコン２および第２マイコン３を備えることにより、一方のマイコンの動作に障害が発生した後も他方のマイコンにより制御対象２０の制御を続行することができる冗長性を有している。 The control of the controlled object 20 by the first microcomputer 2 and the second microcomputer 3 is executed only by the first microcomputer 2 in normal times, and is executed only by the second microcomputer when an operation failure of the first microcomputer 2 occurs, for example. It may be an exclusive form. Further, for example, the control of the control target 20 by the first microcomputer 2 and the second microcomputer 3 is normally executed by the cooperative operation of both the first microcomputer 2 and the second microcomputer 3, and the first microcomputer 2 and the second microcomputer 3 are controlled. It may be a form that is executed only by the other when a failure occurs in one of the operations of 3. In either form, the electronic control device 1 includes the first microcomputer 2 and the second microcomputer 3, so that the control target 20 can be controlled by the other microcomputer even after an operation failure of one microcomputer occurs. It has redundancy that can be continued.

通信システム１０には、端末接続部１１が設けられている。端末接続部１１は、電子機器である端末装置２１を通信システム１０に接続するためのコネクタである。端末装置２１は、コンピュータを備え、車両の診断時等に一時的に端末接続部１１に接続される装置である。端末装置２１は、端末接続部１１および通信システム１０を経由して、電子制御装置１とのデータ通信を行うことができる。詳しくは後述するが、端末装置２１は、電子制御装置１のプログラムの書き換えが可能である。 The communication system 10 is provided with a terminal connection portion 11. The terminal connection unit 11 is a connector for connecting the terminal device 21 which is an electronic device to the communication system 10. The terminal device 21 is a device provided with a computer and temporarily connected to the terminal connection unit 11 at the time of diagnosis of a vehicle or the like. The terminal device 21 can perform data communication with the electronic control device 1 via the terminal connection unit 11 and the communication system 10. As will be described in detail later, the terminal device 21 can rewrite the program of the electronic control device 1.

より具体的に、第１マイコン２は、第１記憶部２ａ、第１制御部２ｂ、第１データ通信部２ｃ、第１入出力部２ｄ、第１内部通信部２ｅおよび第１認証部２ｆを備える。なお、第１マイコン２が備えるこれらの構成は、ハードウェアとして実装されていてもよいし、ソフトウェアとして実装されていてもよい。 More specifically, the first microcomputer 2 includes a first storage unit 2a, a first control unit 2b, a first data communication unit 2c, a first input / output unit 2d, a first internal communication unit 2e, and a first authentication unit 2f. Be prepared. These configurations included in the first microcomputer 2 may be implemented as hardware or software.

第１マイコン２が備える書き換え可能な記憶装置である第１記憶部２ａは、電子制御装置１による制御対象２０の制御動作を定める第１プログラム２ｐを記憶する。第１マイコン２は、第１入出力部２ｄを介して制御対象２０が備えるアクチュエータ、センサ、表示装置等の電子機器に電気的に接続される。 The first storage unit 2a, which is a rewritable storage device included in the first microcomputer 2, stores the first program 2p that determines the control operation of the control target 20 by the electronic control device 1. The first microcomputer 2 is electrically connected to electronic devices such as actuators, sensors, and display devices included in the controlled object 20 via the first input / output unit 2d.

第１データ通信部２ｃは、通信システム１０に電気的に接続されている。第１データ通信部２ｃは、第１マイコン２と通信システム１０との間での信号の授受を行う。第１制御部２ｂは、第１プログラム２ｐに基づき、制御対象２０を制御する。 The first data communication unit 2c is electrically connected to the communication system 10. The first data communication unit 2c exchanges signals between the first microcomputer 2 and the communication system 10. The first control unit 2b controls the control target 20 based on the first program 2p.

第１内部通信部２ｅは、内部通信部５を経由して第２マイコン３との間でデータ通信を行う。内部通信部５を介した第１マイコン２と第２マイコン３との間のデータ通信のプロトコルは、通信システム１０と同様であってもよいし、通信システム１０とは異なっていてもよい。 The first internal communication unit 2e performs data communication with the second microcomputer 3 via the internal communication unit 5. The protocol for data communication between the first microcomputer 2 and the second microcomputer 3 via the internal communication unit 5 may be the same as that of the communication system 10 or may be different from that of the communication system 10.

第１認証部２ｆは、通信システム１０を経由する第１マイコン２と端末装置２１との間のデータ通信の認証を、所定の第１認証方式により行う。第１制御部２ｂは、第１認証部２ｆによる認証が成功した場合にのみ、端末装置２１による第１プログラム２ｐの書き換え処理の実行を許可する。すなわち、第１制御部２ｂは、第１認証部２ｆによる認証が失敗した場合には、端末装置２１による第１プログラム２ｐの書き換え処理の実行を拒否する。また、第１制御部２ｂは、内部通信部５を経由するデータ通信による第１プログラム２ｐの書き換え処理の実行を許可する。内部通信部５を経由するデータ通信による第１プログラム２ｐの書き換え処理は、後述する書き換え部３ｂ１により行われる。 The first authentication unit 2f authenticates the data communication between the first microcomputer 2 and the terminal device 21 via the communication system 10 by a predetermined first authentication method. The first control unit 2b permits the terminal device 21 to execute the rewriting process of the first program 2p only when the authentication by the first authentication unit 2f is successful. That is, when the authentication by the first authentication unit 2f fails, the first control unit 2b refuses the execution of the rewriting process of the first program 2p by the terminal device 21. Further, the first control unit 2b permits execution of the rewriting process of the first program 2p by data communication via the internal communication unit 5. The rewriting process of the first program 2p by data communication via the internal communication unit 5 is performed by the rewriting unit 3b1 described later.

第１認証部２ｆによる認証は、端末装置２１が車両の製造者が正規に認めた型式のものであるか否かを認証するものであってもよいし、端末装置２１から第１マイコン２に送信される第１プログラム２ｐを書き換えるための書き換えプログラムが車両の製造者が正規に認めた型式のものであるか否かを認証するものであってもよい。 The authentication by the first authentication unit 2f may authenticate whether or not the terminal device 21 is of a model officially approved by the manufacturer of the vehicle, or the terminal device 21 to the first microcomputer 2 The rewriting program for rewriting the transmitted first program 2p may be used to authenticate whether or not the rewriting program is of a type officially approved by the vehicle manufacturer.

第１認証方式の形態は特に限定されるものではない。例えば、第１認証方式は、ＲＦＩＤの読み取り装置等の通信システム１０とは異なる経路により、端末装置２１が有する認証情報を読み取ることにより認証を行うものであってもよいし、また例えば、第１認証方式は、通信システム１０を介した端末装置２１との間の所定の暗号方式のデータ通信に基づく認証を行うものであってもよい。 The form of the first authentication method is not particularly limited. For example, the first authentication method may perform authentication by reading the authentication information possessed by the terminal device 21 by a route different from that of the communication system 10 such as an RFID reader, or, for example, the first authentication method. The authentication method may be one that performs authentication based on data communication of a predetermined encryption method with the terminal device 21 via the communication system 10.

第２マイコン３は、第２記憶部３ａ、第２制御部３ｂ、第２データ通信部３ｃ、第２入出力部３ｄ、第２内部通信部３ｅ、第２認証部３ｆ、および書き換え部３ｂ１を備える。なお、第２マイコン３が備えるこれらの構成は、ハードウェアとして実装されていてもよいし、ソフトウェアとして実装されていてもよい。 The second microcomputer 3 includes a second storage unit 3a, a second control unit 3b, a second data communication unit 3c, a second input / output unit 3d, a second internal communication unit 3e, a second authentication unit 3f, and a rewriting unit 3b1. Be prepared. These configurations included in the second microcomputer 3 may be implemented as hardware or software.

第２マイコン３が備える書き換え可能な記憶装置である第２記憶部３ａは、電子制御装置１による制御対象２０の制御動作を定める第２プログラム３ｐを記憶する。第２マイコン３は、第２入出力部３ｄを介して制御対象２０が備えるアクチュエータ、センサ、表示装置等の電子機器に電気的に接続される。 The second storage unit 3a, which is a rewritable storage device included in the second microcomputer 3, stores a second program 3p that determines the control operation of the control target 20 by the electronic control device 1. The second microcomputer 3 is electrically connected to electronic devices such as actuators, sensors, and display devices included in the controlled object 20 via the second input / output unit 3d.

第２データ通信部３ｃは、通信システム１０に電気的に接続されている。第２データ通信部３ｃは、第２マイコン３と通信システム１０との間での信号の授受を行う。第２制御部３ｂは、第２プログラム３ｐに基づき、制御対象２０を制御する。 The second data communication unit 3c is electrically connected to the communication system 10. The second data communication unit 3c exchanges signals between the second microcomputer 3 and the communication system 10. The second control unit 3b controls the control target 20 based on the second program 3p.

第２プログラム３ｐに基づく第２マイコン３による制御対象２０の制御動作は、第１プログラム２ｐに基づく第１マイコン２による制御対象の制御動作と同一である。 The control operation of the control target 20 by the second microcomputer 3 based on the second program 3p is the same as the control operation of the control target 20 by the first microcomputer 2 based on the first program 2p.

第２内部通信部３ｅは、内部通信部５を経由して第１マイコン２との間でデータ通信を行う。第２認証部３ｆは、第１マイコン２および内部通信部５を経由する第２マイコン３と端末装置２１との間のデータ通信の認証を、前述した第１認証部２ｆによる第１認証方式とは異なる所定の第２認証方式により行う。 The second internal communication unit 3e performs data communication with the first microcomputer 2 via the internal communication unit 5. The second authentication unit 3f authenticates the data communication between the second microcomputer 3 and the terminal device 21 via the first microcomputer 2 and the internal communication unit 5, with the first authentication method by the first authentication unit 2f described above. Is performed by a different predetermined second authentication method.

第２制御部３ｂは、第２認証部３ｆによる認証が成功した場合にのみ、端末装置２１による第２プログラム３ｐの書き換え処理の実行を許可する。 The second control unit 3b permits the terminal device 21 to execute the rewriting process of the second program 3p only when the authentication by the second authentication unit 3f is successful.

すなわち、第２制御部３ｂは、第２認証部３ｆによる認証が失敗した場合には、端末装置２１による第２プログラム３ｐの書き換え処理の実行を拒否する。また、第２制御部３ｂは、内部通信部５を経由しないデータ通信による第２プログラム３ｐの書き換え処理の実行を拒否する。具体的に、内部通信部５を経由しないデータ通信とは、第２データ通信部３ｃを経由するデータ通信のことである。 That is, when the authentication by the second authentication unit 3f fails, the second control unit 3b refuses the execution of the rewriting process of the second program 3p by the terminal device 21. Further, the second control unit 3b refuses to execute the rewriting process of the second program 3p by data communication that does not go through the internal communication unit 5. Specifically, the data communication that does not go through the internal communication unit 5 is the data communication that goes through the second data communication unit 3c.

第２認証部３ｆによる認証は、端末装置２１が車両の製造者が正規に認めた型式のものであるか否かを認証するものであってもよいし、端末装置２１から第２マイコン３に送信される第２プログラム３ｐを書き換えるための書き換えプログラムが車両の製造者が正規に認めた型式のものであるか否かを認証するものであってもよい。 The authentication by the second authentication unit 3f may authenticate whether or not the terminal device 21 is of a model officially approved by the vehicle manufacturer, or the terminal device 21 to the second microcomputer 3 The rewriting program for rewriting the transmitted second program 3p may be used to authenticate whether or not the rewriting program is of a type officially approved by the vehicle manufacturer.

第２認証方式の形態は特に限定されるものではない。例えば、第２認証方式は、第１マイコン２および内部通信部５を介した端末装置２１との間の所定の暗号方式のデータ通信に基づく認証を行う。 The form of the second authentication method is not particularly limited. For example, the second authentication method performs authentication based on data communication of a predetermined encryption method between the first microcomputer 2 and the terminal device 21 via the internal communication unit 5.

また、第２制御部３ｂは、書き換え部３ｂ１を備える。書き換え部３ｂ１は、第１マイコン２との間の内部通信部５を経由したデータ通信において、第２認証部３ｆによる認証が失敗した場合に、第１マイコン２の第１記憶部２ａに記憶されている第１プログラム２ｐを、第２マイコン３の第２記憶部３ａに記憶されている第２プログラム３ｐと同等なプログラムに書き換える。 Further, the second control unit 3b includes a rewriting unit 3b1. The rewriting unit 3b1 is stored in the first storage unit 2a of the first microcomputer 2 when the authentication by the second authentication unit 3f fails in the data communication with the first microcomputer 2 via the internal communication unit 5. The first program 2p is rewritten with a program equivalent to the second program 3p stored in the second storage unit 3a of the second microcomputer 3.

ここで、第２マイコン３の第２記憶部３ａに記憶されている第２プログラム３ｐと同等なプログラム、とは、当該プログラムに基づく第１マイコン２による制御対象の制御動作が、第２プログラム３ｐに基づく第２マイコン３による制御対象の制御動作と同一となるものことである。すなわち、書き換え部３ｂ１によって第１プログラム２ｐが書き換えられた後の第１マイコン２は、第２マイコン３と同一の制御動作を行うようになる。 Here, a program equivalent to the second program 3p stored in the second storage unit 3a of the second microcomputer 3 means that the control operation of the controlled object by the first microcomputer 2 based on the program is the second program 3p. It is the same as the control operation of the control target by the second microcomputer 3 based on the above. That is, after the first program 2p is rewritten by the rewriting unit 3b1, the first microcomputer 2 performs the same control operation as the second microcomputer 3.

以上のように構成された本実施形態の電子制御装置１において、第１マイコン２が正常に動作している場合には、端末装置２１と第２マイコン３との間のデータ通信は第１マイコン２および内部通信部５を経由する必要がある。したがって、第１マイコン２が正常に動作している場合において、端末装置２１によって第２マイコン３の第２プログラム３ｐを書き換えるには、第１認証部２ｆによる第１認証方式と、第２認証部３ｆによる第２認証方式と、の２つの異なる認証が成功しなければならない。 In the electronic control device 1 of the present embodiment configured as described above, when the first microcomputer 2 is operating normally, the data communication between the terminal device 21 and the second microcomputer 3 is performed by the first microcomputer. It is necessary to go through 2 and the internal communication unit 5. Therefore, in order to rewrite the second program 3p of the second microcomputer 3 by the terminal device 21 when the first microcomputer 2 is operating normally, the first authentication method by the first authentication unit 2f and the second authentication unit Two different authentications, the second authentication method by 3f, must succeed.

したがって、本実施形態の電子制御装置１では、１つの認証方式が成功すればプログラムの書き換えが可能であった従来技術に比して、不正にプログラムを書き換えることがより困難となる。 Therefore, in the electronic control device 1 of the present embodiment, it becomes more difficult to illegally rewrite the program as compared with the conventional technique in which the program can be rewritten if one authentication method succeeds.

また、本実施形態の電子制御装置１では、端末装置２１により電子制御装置１のプログラムを不正に書き換える試みにおいて、第１認証部３ｆによる認証が成功して第１プログラム２ｐが不正に書き換えられた場合であっても、第２認証部３ｆによる認証が失敗した場合には、第２マイコン３によって、第１マイコン２の第１プログラム２ｐが第２マイコン３の第２プログラム３ｐと同等なプログラムに書き換えられる。この時、第２マイコン３の第２プログラム３ｐは、端末装置２１によって不正な書き換えがなされていない状態であるから、第２マイコン３によって書き換えられた後の第１マイコン２の第１プログラム２ｐは、不正な書き換えがなされる前の状態に戻る。 Further, in the electronic control device 1 of the present embodiment, in an attempt to illegally rewrite the program of the electronic control device 1 by the terminal device 21, the authentication by the first authentication unit 3f succeeded and the first program 2p was illegally rewritten. Even in this case, if the authentication by the second authentication unit 3f fails, the second microcomputer 3 makes the first program 2p of the first microcomputer 2 a program equivalent to the second program 3p of the second microcomputer 3. Can be rewritten. At this time, since the second program 3p of the second microcomputer 3 is in a state in which the terminal device 21 has not been illegally rewritten, the first program 2p of the first microcomputer 2 after being rewritten by the second microcomputer 3 is , Returns to the state before the illegal rewriting was done.

したがって、本実施形態の電子制御装置１では、プログラムを不正に書き換える試みが行われた後にも、制御対象２０の制御動作を停止することなく継続することができる。 Therefore, in the electronic control device 1 of the present embodiment, even after an attempt to illegally rewrite the program is made, the control operation of the control target 20 can be continued without stopping.

本発明は、上述した実施形態に限られるものではなく、請求の範囲及び明細書全体から読み取れる発明の要旨或いは思想に反しない範囲で適宜変更可能であり、そのような変更を伴う車両用の電子制御装置もまた本発明の技術的範囲に含まれるものである。 The present invention is not limited to the above-described embodiment, and can be appropriately modified within the scope of claims and within a range not contrary to the gist or idea of the invention that can be read from the entire specification, and the electronic vehicle for a vehicle accompanied by such a modification. Control devices are also included in the technical scope of the present invention.

１電子制御装置、
２第１マイクロコントローラ（第１マイコン）、
２ａ第１記憶部、
２ｂ第１制御部、
２ｃ第１データ通信部、
２ｄ第１入出力部、
２ｅ第１内部通信部、
２ｆ第１認証部、
２ｐ第１プログラム、
３第２マイクロコントローラ（第２マイコン）、
３ａ第２記憶部、
３ｂ第２制御部、
３ｂ１書き換え部、
３ｃ第２データ通信部、
３ｄ第２入出力部、
３ｅ第２内部通信部、
３ｆ第２認証部、
３ｐ第２プログラム、
５内部通信部、
１０通信システム、
１１端末接続部、
２０制御対象、
２１端末装置。 1 Electronic control device,
2 1st microcontroller (1st microcontroller),
2a 1st storage unit,
2b 1st control unit,
2c 1st data communication unit,
2d 1st input / output unit,
2e 1st internal communication unit,
2f 1st Certification Department,
2p 1st program,
3 Second microcontroller (second microcontroller),
3a 2nd storage unit,
3b 2nd control unit,
3b1 rewrite part,
3c 2nd data communication unit,
3d 2nd input / output unit,
3e 2nd internal communication unit,
3f 2nd Certification Department,
3p second program,
5 Internal communication unit,
10 communication system,
11 Terminal connection,
20 Control target,
21 Terminal device.

Claims

A first microcontroller connected to the vehicle's communication system and controlling a controlled object included in the vehicle based on the first program.
A second microcontroller connected to the communication system and controlling the control target based on the second program,
An internal communication unit that performs data communication between the first and second microcontrollers,
A first authentication unit provided in the first microcontroller and performing authentication of data communication via the communication system of the first microcontroller by a predetermined first authentication method.
A first control unit provided in the first microcontroller and permitting execution of a rewriting process of the first program by data communication via the communication system only when the authentication by the first authentication unit is successful.
A second authentication unit provided in the second microcontroller and performing authentication of data communication via the internal communication unit of the second microcontroller by a predetermined second authentication method different from the first authentication method.
A second control unit provided in the second microcontroller and permitting execution of the rewriting process of the second program by data communication via the internal communication unit only when the authentication by the second authentication unit is successful. ,
A rewriting unit provided in the second microcontroller that rewrites the first program to a program equivalent to the second program when authentication by the second authentication unit fails in data communication via the internal communication unit. ,
An electronic control device comprising.