JP7196532B2

JP7196532B2 - Control device

Info

Publication number: JP7196532B2
Application number: JP2018199896A
Authority: JP
Inventors: 康樹大越
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2018-10-24
Filing date: 2018-10-24
Publication date: 2022-12-27
Anticipated expiration: 2038-10-24
Also published as: JP2020067802A

Description

本開示は、通信線を介して他の装置と情報をやり取りしながら対象機器を制御する制御装置に関する。 The present disclosure relates to a control device that controls a target device while exchanging information with another device via a communication line.

従来、この種の制御装置として、中央処理部と、当該中央処理部からの実行依頼に応じてセキュリティ情報を使用したセキュリティ処理を実施するセキュリティ処理部と、セキュリティ処理部からはアクセス可能で中央処理部からはアクセスできないセキュア領域とセキュリティ処理部および中央処理部の双方からアクセス可能なユーザ領域とを有する不揮発性メモリと、セキュリティ処理部からはアクセス可能で中央処理部からはアクセスできないセキュアメモリとを含むものが知られている（例えば、特許文献１参照）。この制御装置において、不揮発性メモリのセキュア領域には複数のセキュリティ情報が記憶されており、セキュリティ処理部は、当該セキュア領域から複数のセキュリティ情報の一部を読み出してセキュアメモリに格納し、セキュリティ処理で使用するセキュリティ情報がセキュアメモリに記憶されている場合は、セキュアメモリからセキュリティ情報を読み出して使用する。これにより、セキュリティ処理の実行に際してセキュリティ処理部により使用される情報がセキュアメモリに格納されていれば、セキュリティ処理部が不揮発性メモリのセキュア領域にアクセスする必要がなくなるので、中央処理部とセキュリティ処理部とが不揮発性メモリに同時にアクセスするのを回避することができる。 Conventionally, this type of control device includes a central processing unit, a security processing unit that performs security processing using security information in response to an execution request from the central processing unit, and a central processing unit accessible from the security processing unit. a non-volatile memory having a secure area inaccessible from the internal processing unit and a user area accessible from both the security processing unit and the central processing unit; and a secure memory accessible from the security processing unit but inaccessible from the central processing unit. Those containing are known (see, for example, Patent Document 1). In this control device, a plurality of pieces of security information are stored in the secure area of the nonvolatile memory, and the security processing unit reads part of the plurality of pieces of security information from the secure area, stores the pieces in the secure memory, and performs the security processing. If the security information used in is stored in the secure memory, the security information is read from the secure memory and used. As a result, if information used by the security processing unit when executing security processing is stored in the secure memory, the security processing unit does not need to access the secure area of the nonvolatile memory. access to the non-volatile memory at the same time.

特開２０１８－１０６６２８号公報JP 2018-106628 A

しかしながら、特許文献１に記載された発明は、上述のようなセキュアメモリ（揮発性メモリ）の存在を前提としたものであり、コスト低減化を図るべく当該セキュアメモリが省略された制御装置には適用され得ない。そして、上述のようなセキュアメモリを含まない制御装置では、中央処理部とセキュリティ処理部とが不揮発性メモリに同時にアクセスするのを回避し得なくなり、他の装置からの情報に対するセキュリティ処理に遅延を生じてしまうおそれがある。 However, the invention described in Patent Document 1 is premised on the presence of the secure memory (volatile memory) as described above. cannot be applied. In a control device that does not include a secure memory as described above, it is impossible to prevent the central processing unit and the security processing unit from accessing the non-volatile memory at the same time, delaying security processing for information from other devices. It may occur.

そこで、本開示は、制御装置のコストアップを抑制しつつ、他の装置との間でやり取りされる情報に対するセキュリティ処理の遅延を抑制することを主目的とする。 Accordingly, a main object of the present disclosure is to suppress a delay in security processing for information exchanged with another device while suppressing an increase in the cost of a control device.

本開示の制御装置は、通信線を介して他の装置と情報をやり取りしながら対象機器を制御する制御装置において、制御プログラムを実行する中央処理部と、セキュリティ情報を用いて前記他の装置との間でやり取りされる前記情報に対するセキュリティ処理を実行するセキュリティ処理部と、前記中央処理部および前記セキュリティ処理部の双方からアクセス可能であり、前記制御プログラムの実行に用いられる情報および前記セキュリティ情報を格納する不揮発性メモリとを含み、前記中央処理部が、少なくとも前記セキュリティ処理部により前記セキュリティ処理が実行される間、前記不揮発性メモリへのアクセスを停止することを特徴とする A control device of the present disclosure is a control device that controls a target device while exchanging information with another device via a communication line. A security processing unit that executes security processing for the information exchanged between the central processing unit and the security processing unit, and is accessible from both the central processing unit and the security processing unit, and is used to execute the control program and the security information. and a non-volatile memory for storing security information, wherein the central processing unit suspends access to the non-volatile memory at least while the security processing is being performed by the security processing unit.

本開示の制御装置では、少なくともセキュリティ処理部によりセキュリティ処理が実行される間、中央処理部が不揮発性メモリへのアクセスを停止する。これにより、セキュリティ情報を格納するセキュリティ処理部に専用のメモリが制御装置から省略されていても、中央処理部とセキュリティ処理部とが不揮発性メモリに同時にアクセスするのを回避し、セキュリティ処理部の不揮発性メモリへのアクセスを優先させることができる。この結果、制御装置のコストアップを抑制しつつ、他の装置との間でやり取りされる情報に対するセキュリティ処理の遅延を抑制することが可能となる。 In the control device of the present disclosure, the central processing unit suspends access to the nonvolatile memory at least while the security processing unit is executing security processing. This prevents the central processing unit and the security processing unit from accessing the non-volatile memory at the same time even if a dedicated memory for the security processing unit storing security information is omitted from the control device. Priority can be given to access to non-volatile memory. As a result, it is possible to suppress delays in security processing for information exchanged with other devices while suppressing an increase in the cost of the control device.

また、前記セキュリティ処理部は、一定の周期で前記セキュリティ処理の実行を開始するものであってもよく、前記中央処理部は、前記不揮発性メモリへのアクセスの終了前であっても、前記セキュリティ処理部による前記セキュリティ処理の開始タイミングの予め定められた第１の後処理時間だけ前に前記不揮発性メモリへのアクセスを中断するものであってもよい。これにより、他の装置との間でやり取りされる情報に対するセキュリティ処理の遅延をより確実に抑制することが可能となる。 Further, the security processing unit may start executing the security processing at regular intervals, and the central processing unit may perform the security processing even before the end of the access to the nonvolatile memory. The access to the non-volatile memory may be interrupted a predetermined first post-processing time before the start timing of the security processing by the processing unit. This makes it possible to more reliably suppress delays in security processing for information exchanged with other devices.

更に、前記中央処理部は、前記不揮発性メモリへのアクセスの中断後に該アクセスを再開する場合、前記セキュリティ処理部による前記セキュリティ処理の終了タイミングから予め定められた第２の後処理時間が経過した時点で前記アクセスを再開するものであってもよい。これにより、不揮発性メモリへのアクセス再開後に中央処理部に円滑にデータ処理を実行させることが可能となる。 Further, when resuming access to the non-volatile memory after interruption of access to the non-volatile memory, the central processing unit determines that a predetermined second post-processing time has elapsed from the end timing of the security processing by the security processing unit. The access may be resumed at a point in time. This enables the central processing unit to smoothly execute data processing after resuming access to the nonvolatile memory.

本開示の制御装置を含む車両の一例を示す概略構成図である。1 is a schematic configuration diagram showing an example of a vehicle including a control device of the present disclosure; FIG. 本開示の制御装置の中央処理部により実行されるメモリアクセス許否判定ルーチンの一例を示すフローチャートである。4 is a flowchart showing an example of a memory access permission/denial determination routine executed by the central processing unit of the control device of the present disclosure; 本開示の制御装置の動作状態を例示するタイムチャートである。4 is a time chart illustrating operating states of the control device of the present disclosure;

次に、図面を参照しながら本開示の発明を実施するための形態について説明する。 Next, a mode for carrying out the invention of the present disclosure will be described with reference to the drawings.

図１は、本開示の制御装置であるモータ電子制御装置（以下、「ＭＧＥＣＵ」という。）２０を含む車両１の概略構成図である。同図に示す車両１は、炭化水素系の燃料と空気との混合気の爆発燃焼により動力を発生する内燃機関であるエンジン２と、シングルピニオン式のプラネタリギヤ３と、主に発電機として作動するモータジェネレータＭＧ１と、主に走行用の動力や回生制動力を出力するモータジェネレータＭＧ２と、蓄電装置（バッテリ）４と、当該蓄電装置４に接続されると共にモータジェネレータＭＧ１およびＭＧ２を駆動する電力制御装置（ＰＣＵ）５とを含むハイブリッド車両である。モータジェネレータＭＧ１，ＭＧ２は、何れも同期発電電動機（三相交流電動機）であり、蓄電装置４は、例えばリチウムイオン二次電池あるいはニッケル水素二次電池等である。電力制御装置５は、モータジェネレータＭＧ１を駆動する第１インバータ５１やモータジェネレータＭＧ２を駆動する第２インバータ５２、図示しない昇圧コンバータ等を含む。 FIG. 1 is a schematic configuration diagram of a vehicle 1 including a motor electronic control unit (hereinafter referred to as "MGECU") 20, which is a control device of the present disclosure. A vehicle 1 shown in the figure has an engine 2 which is an internal combustion engine that generates power by explosive combustion of a mixture of hydrocarbon fuel and air, a single pinion type planetary gear 3, and mainly operates as a generator. Motor generator MG1, motor generator MG2 that mainly outputs driving power and regenerative braking force, power storage device (battery) 4, and electric power control that is connected to power storage device 4 and drives motor generators MG1 and MG2. It is a hybrid vehicle including a device (PCU) 5. Motor generators MG1 and MG2 are both synchronous generator motors (three-phase AC motors), and power storage device 4 is, for example, a lithium-ion secondary battery or a nickel-hydrogen secondary battery. Power control device 5 includes a first inverter 51 that drives motor generator MG1, a second inverter 52 that drives motor generator MG2, a boost converter (not shown), and the like.

ＭＧＥＣＵ２０は、車両１の全体を制御するハイブリッド電子制御装置（以下、「ＨＶＥＣＵ」という。）１０等と協働して電力制御装置５を制御するように構成されている。図１に示すように、ＭＧＥＣＵ２０は、ＨＶＥＣＵ１０やエンジン２を制御する図示しないエンジン電子制御装置（エンジンＥＣＵ）等と共に、ＬｏおよびＨｉの２本の通信線（ワイヤーハーネス）を含むＣＡＮバスである共用通信線（多重通信バス）ＭＢに接続されており、当該共用通信線ＭＢを介してＣＡＮ通信により制御に必要な情報（通信フレーム）を相互にやり取りする。 The MGECU 20 is configured to control the power control device 5 in cooperation with a hybrid electronic control unit (hereinafter referred to as “HVECU”) 10 that controls the vehicle 1 as a whole. As shown in FIG. 1, the MGECU 20, together with the HVECU 10 and an engine electronic control unit (engine ECU) (not shown) for controlling the engine 2, shares a CAN bus including two Lo and Hi communication lines (wire harnesses). It is connected to a communication line (multiplex communication bus) MB, and exchanges information (communication frames) required for control by CAN communication via the shared communication line MB.

また、ＭＧＥＣＵ２０は、ＬｏおよびＨｉの２本の通信線（ワイヤーハーネス）を含むＣＡＮバスである専用通信線（ローカル通信バス）ＬＢを介してＨＶＥＣＵ１０に個別に接続されており、当該専用通信線ＬＢを介してＨＶＥＣＵ１０との間でＣＡＮ通信により制御に必要な情報（通信フレーム）をやり取りする。これにより、ＨＶＥＣＵ１０とＭＧＥＣＵ２０との間で重要度の高い情報を速やかにやり取りすることが可能となる。本実施形態において、共用通信線ＭＢにおける伝送速度と専用通信線ＬＢにおける伝送速度とは同一である。ただし、共用通信線ＭＢにおける伝送速度と専用通信線ＬＢにおける伝送速度とは互いに異なっていてもよい。 The MGECU 20 is individually connected to the HVECU 10 via a dedicated communication line (local communication bus) LB, which is a CAN bus including two communication lines (wire harnesses) of Lo and Hi. Information (communication frames) necessary for control is exchanged with the HVECU 10 via CAN communication. As a result, it is possible to quickly exchange highly important information between the HVECU 10 and the MGECU 20 . In this embodiment, the transmission speed on the shared communication line MB and the transmission speed on the dedicated communication line LB are the same. However, the transmission speed on the shared communication line MB and the transmission speed on the dedicated communication line LB may be different from each other.

図１に示すように、ＭＧＥＣＵ２０は、ＣＰＵ（中央処理部）２１０、何れも図示しないＲＯＭおよびＲＡＭ（揮発性メモリ）、第１ＣＡＮコントローラ２１１、第２ＣＡＮコントローラ２１２、セキュリティ処理部（セキュアＩＰ）２１４、不揮発性メモリ２１５等を含むマイクロコンピュータ（以下、「マイコン」という。）２１と、マイコン２１の第１ＣＡＮコントローラ２１１および共用通信線ＭＢに接続された第１ＣＡＮトランシーバ２５１と、マイコン２１の第２ＣＡＮコントローラ２１２および専用通信線ＬＢに接続された第２ＣＡＮトランシーバ２５２とを含む。 As shown in FIG. 1, the MGECU 20 includes a CPU (central processing unit) 210, ROM and RAM (volatile memory) (not shown), a first CAN controller 211, a second CAN controller 212, a security processing unit (secure IP) 214, A microcomputer (hereinafter referred to as a "microcomputer") 21 including a nonvolatile memory 215 and the like, a first CAN controller 211 of the microcomputer 21, a first CAN transceiver 251 connected to the shared communication line MB, and a second CAN controller 212 of the microcomputer 21. and a second CAN transceiver 252 connected to the dedicated communication line LB.

マイコン２１のＣＰＵ２１０は、当該マイコン２１に接続された図示しないセンサの検出値やＨＶＥＣＵ１０等からの情報に基づいて、ＲＯＭに格納された電力制御装置５を作動させるための各種制御プログラムを実行する。また、ＣＰＵ２１０は、ＨＶＥＣＵ１０等に共用通信線ＭＢを介して情報を送信する際、当該情報に応じた信号を第１ＣＡＮトランシーバ２５１から共用通信線ＭＢに出力させるように第１ＣＡＮコントローラ２１１に指令信号を与える。更に、ＣＰＵ２１０は、ＨＶＥＣＵ１０等に専用通信線ＬＢを介して情報を送信する際、当該情報に応じた信号を第２ＣＡＮトランシーバ２５２から専用通信線ＬＢに出力させるように第２ＣＡＮコントローラ２１２に指令信号を与える。第１および第２ＣＡＮコントローラ２１１，２１２は、ＣＡＮプロトコルの機能を実現するものであり、ＣＰＵ２１０からの指令信号に応じたデジタル信号を第１または第２ＣＡＮトランシーバ２５１，２５２に与える。 The CPU 210 of the microcomputer 21 executes various control programs stored in the ROM for operating the power control device 5 based on the detected values of sensors (not shown) connected to the microcomputer 21 and information from the HVECU 10 and the like. Further, when transmitting information to the HVECU 10 or the like via the shared communication line MB, the CPU 210 issues a command signal to the first CAN controller 211 to output a signal corresponding to the information from the first CAN transceiver 251 to the shared communication line MB. give. Furthermore, when transmitting information to the HVECU 10 or the like via the dedicated communication line LB, the CPU 210 issues a command signal to the second CAN controller 212 to output a signal corresponding to the information from the second CAN transceiver 252 to the dedicated communication line LB. give. The first and second CAN controllers 211 and 212 implement CAN protocol functions, and provide digital signals to the first and second CAN transceivers 251 and 252 according to command signals from the CPU 210 .

また、第１および第２ＣＡＮトランシーバ２５１，２５２は、それぞれ対応する第１または第２ＣＡＮコントローラ２１１，２１２からのデジタル信号をＣＡＮ通信プロトコルに従う差動信号に変換して共用通信線ＭＢまたは専用通信線ＬＢに出力する。また、第１および第２ＣＡＮトランシーバ２５１，２５２は、共用通信線ＭＢまたは専用通信線ＬＢからの差動信号をデジタル信号に変換して第１または第２ＣＡＮコントローラ２１１，２１２に与え、第１および第２ＣＡＮコントローラ２１１，２１２により受信された情報は、ＣＰＵ２１０に与えられる。本実施形態において、第１および第２ＣＡＮトランシーバ２５１，２５２等を介した情報の送受信処理は、予め定められた一定の周期Ｔ（例えば、１ｍｓｅｃ）で実行（開始）される。 Also, the first and second CAN transceivers 251 and 252 convert the digital signals from the corresponding first or second CAN controllers 211 and 212 into differential signals conforming to the CAN communication protocol, and transmit them to the shared communication line MB or the dedicated communication line LB. output to Also, the first and second CAN transceivers 251 and 252 convert the differential signal from the shared communication line MB or the dedicated communication line LB into a digital signal and apply it to the first or second CAN controllers 211 and 212 to Information received by the 2CAN controllers 211 and 212 is provided to the CPU 210 . In the present embodiment, information transmission/reception processing via the first and second CAN transceivers 251, 252, etc. is executed (started) at a predetermined constant period T (for example, 1 msec).

セキュリティ処理部２１４は、第１および第２ＣＡＮトランシーバ２５１，２５２等を介した情報の送受信処理に同期して、すなわち一定の周期ＴでＭＧＥＣＵ２０とＨＶＥＣＵ１０等との間で送受信される情報に対するセキュリティ処理（認証処理）を実行する。すなわち、セキュリティ処理部２１４は、複数のＥＣＵ間で共有される共通鍵といったセキュリティ情報や乱数等を用いてＭＧＥＣＵ２０から送信される情報に付与されるメッセージ認証コード（ＭＡＣ）を生成する。また、セキュリティ処理部２１４は、第１、第２ＣＡＮトランシーバ２５１，２５２等により受信された情報をＣＰＵ２１０から受け取り、当該情報に付与されたＭＡＣをセキュリティ情報に基づいて検証することで、いわゆるなりすまし攻撃等による情報の改ざんの有無の判定や、不正メッセージの処理等を実行する。 The security processing unit 214 performs security processing ( authentication process). That is, the security processing unit 214 generates a message authentication code (MAC) attached to information transmitted from the MGECU 20 using security information such as a common key shared among a plurality of ECUs, random numbers, and the like. Also, the security processing unit 214 receives information received by the first and second CAN transceivers 251, 252, etc. from the CPU 210, and verifies the MAC attached to the information based on the security information. It determines whether or not information has been falsified, and processes fraudulent messages.

不揮発性メモリ２１５は、ＣＰＵ２１０およびセキュリティ処理部２１４の双方からアクセス可能となるようにバスを介して両者に接続されたフラッシュメモリである。不揮発性メモリ２１５には、各種制御プログラムやセキュリティ処理の実行に際してＣＰＵ２１０やセキュリティ処理部２１４により用いられる情報が格納される作業領域と、セキュリティ処理部２１４により用いられるセキュリティ情報が格納（記憶）される領域とが設けられている。すなわち、本実施形態において、セキュリティ処理部２１４には、揮発性メモリ等の専用メモリが設けられてはおらず、当該セキュリティ処理部２１４は、不揮発性メモリ２１５に格納されたセキュリティ情報を用いて上述のようなセキュリティ処理を実行する。なお、詳細な説明は省略するが、本実施形態の車両１では、ＨＶＥＣＵ１０やエンジンＥＣＵ等も、ＭＧＥＣＵ２０と同様のセキュリティ処理を実行するように構成されている。 The nonvolatile memory 215 is a flash memory connected to both the CPU 210 and the security processing unit 214 via a bus so as to be accessible from both. The nonvolatile memory 215 stores (memorizes) a work area for storing information used by the CPU 210 and the security processing unit 214 when executing various control programs and security processing, and security information used by the security processing unit 214. area is provided. That is, in the present embodiment, the security processing unit 214 is not provided with a dedicated memory such as a volatile memory. perform security operations such as Although detailed description is omitted, in the vehicle 1 of the present embodiment, the HVECU 10, the engine ECU, and the like are also configured to perform security processing similar to that of the MGECU 20. FIG.

次に、図２および図３を参照しながら、ＭＧＥＣＵ２０の動作について説明する。図２は、ＭＧＥＣＵ２０のマイコン２１のＣＰＵ２１０によって微小時間おきに繰り返し実行されるメモリアクセス許否判定ルーチンの一例を示すフローチャートである。 Next, the operation of the MGECU 20 will be described with reference to FIGS. 2 and 3. FIG. FIG. 2 is a flow chart showing an example of a memory access permission/prohibition determination routine repeatedly executed by the CPU 210 of the microcomputer 21 of the MGECU 20 at minute intervals.

図２に示すメモリアクセス許否判定ルーチンの開始に際し、ＣＰＵ２１０は、上記情報の送受信処理が実行される周期Ｔを計時する送受信タイマの計時値ｔを取得する（ステップＳ１００）。送受信タイマは、計時の開始後に計時値ｔが周期Ｔになるとリセットされて再度計時を開始するようにバードウェアまたはソフトウェアにより構成されたものである。次いで、ＣＰＵ２１０は、ステップＳ１００にて取得した計時値ｔがセキュリティ処理部２１４によるセキュリティ処理の実行に要する時間ｔｍと予め定められた後処理時間（遅延時間、例えば５０－３００μｓｅｃ程度）ｔｐａとの和を上回っているか否かを判定する（ステップＳ１１０）。後処理時間ｔｐａは、セキュリティ処理部２１４が不揮発性メモリ２１５にアクセスした後（データの読み書きを行った後）に当該不揮発性メモリ２１５へのデータの格納や作業領域からのデータの削除等に要する時間としてマイコン２１の仕様等に応じて予め定められた時間である。 At the start of the memory access permission determination routine shown in FIG. 2, the CPU 210 acquires the clock value t of the transmission/reception timer that counts the cycle T for executing the transmission/reception processing of the above information (step S100). The transmission/reception timer is configured by hardware or software so that it is reset when the counted value t reaches the period T after starting time counting, and restarts time counting. Next, the CPU 210 determines that the time value t obtained in step S100 is the sum of the time tm required for the security processing unit 214 to execute security processing and a predetermined post-processing time (delay time, for example, about 50 to 300 μsec) tpa. is exceeded (step S110). The post-processing time tpa is required for storing data in the non-volatile memory 215 and deleting data from the work area after the security processing unit 214 accesses the non-volatile memory 215 (after reading and writing data). This time is predetermined according to the specifications of the microcomputer 21 or the like.

ステップＳ１１０にて計時値ｔが時間ｔｍと後処理時間ｔｐａとの和を上回っていると判定した場合（ステップＳ１１０：ＹＥＳ）、ＣＰＵ２１０は、ステップＳ１００にて取得した計時値ｔが上記周期Ｔから予め定められた後処理時間（遅延時間、例えば１００－３００μｓｅｃ程度）ｔｐｂを減じた値未満であるか否かを判定する（ステップＳ１２０）。後処理時間ｔｐｂは、ＣＰＵ２１０が不揮発性メモリ２１５にアクセスした後（データの読み書きを行った後）に当該不揮発性メモリ２１５へのデータの格納や作業領域からのデータの削除等に要する時間としてマイコン２１の仕様等に応じて予め定められた時間である。 When it is determined in step S110 that the measured value t exceeds the sum of the time tm and the post-processing time tpa (step S110: YES), the CPU 210 determines that the measured value t obtained in step S100 It is determined whether or not it is less than a value obtained by subtracting a predetermined post-processing time (delay time, eg, about 100 to 300 μsec) tpb (step S120). The post-processing time tpb is the time required for storing data in the nonvolatile memory 215 and deleting data from the work area after the CPU 210 accesses the nonvolatile memory 215 (after reading and writing data). This time is predetermined according to the specifications of V.21.

ステップＳ１２０にて計時値ｔが周期Ｔから後処理時間ｔｐｂを減じた値未満であると判定した場合（ステップＳ１２０：ＹＥＳ）、ＣＰＵ２１０は、当該ＣＰＵ２１０の不揮発性メモリ２１５へのアクセスを許容すべくメモリアクセス許可フラグをオンし（ステップＳ１３０）、図２のルーチンを一旦終了させる。これに対して、ステップＳ１１０にて計時値ｔが時間ｔｍと後処理時間ｔｐａとの和以下であると判定した場合（ステップＳ１１０：ＮＯ）、およびステップＳ１２０にて計時値ｔが周期Ｔから後処理時間ｔｐｂを減じた値以上であると判定した場合（ステップＳ１２０：ＮＯ）、ＣＰＵ２１０は、当該ＣＰＵ２１０の不揮発性メモリ２１５へのアクセスを禁止すべくメモリアクセス許可フラグをオフし（ステップＳ１４０）、図２のルーチンを一旦終了させる。 If it is determined in step S120 that the measured value t is less than the value obtained by subtracting the post-processing time tpb from the period T (step S120: YES), the CPU 210 permits access to the nonvolatile memory 215 by the CPU 210. The memory access permission flag is turned on (step S130), and the routine of FIG. 2 is terminated. On the other hand, if it is determined in step S110 that the measured value t is equal to or less than the sum of the time tm and the post-processing time tpa (step S110: NO), and if the measured value t is after the period T in step S120 If it is determined to be equal to or greater than the value obtained by subtracting the processing time tpb (step S120: NO), the CPU 210 turns off the memory access permission flag to prohibit the CPU 210 from accessing the nonvolatile memory 215 (step S140), The routine of FIG. 2 is terminated once.

上述のような図２のメモリアクセス許否判定ルーチンが実行される結果、ＭＧＥＣＵ２０では、図３に示すように、少なくともセキュリティ処理部２１４によりセキュリティ処理が実行される間、ＣＰＵ２１０が不揮発性メモリ２１５へのアクセスを停止する。より詳細には、ＣＰＵ２１０は、セキュリティ処理部２１４によるセキュリティ処理の開始タイミングの後処理時間ｔｐｂだけ前から、当該セキュリティ処理の終了後に後処理時間ｔｐａが経過するまでの間（図３における時刻ｔ１－ｔ２間、時刻ｔ３－ｔ４間、時刻ｔ５－ｔ６間）、不揮発性メモリ２１５へのアクセスを停止する。これにより、セキュリティ情報を格納するセキュリティ処理部２１４に専用のメモリがＭＧＣＥＵ２０から省略されていても、ＣＰＵ２１０とセキュリティ処理部２１４とが不揮発性メモリ２１５に同時にアクセスするのを回避し、セキュリティ処理部２１４の不揮発性メモリ２１５へのアクセスを優先させることができる。この結果、ＭＧＥＣＵ２０のコストアップを抑制しつつ、ＨＶＥＣＵ１０等の他の装置との間でやり取りされる情報に対するセキュリティ処理の遅延を抑制することが可能となる。 As a result of executing the memory access permission/denial determination routine of FIG. 2 as described above, in the MGECU 20, as shown in FIG. Stop access. More specifically, CPU 210 controls a period from a post-processing time tpb before the start timing of security processing by security processing unit 214 to a post-processing time tpa after the end of the security processing (time t1- in FIG. 3). t2, time t3-t4, and time t5-t6), access to the nonvolatile memory 215 is stopped. This prevents the CPU 210 and the security processing unit 214 from accessing the non-volatile memory 215 at the same time, even if a dedicated memory for the security processing unit 214 that stores security information is omitted from the MGCEU 20 . access to the non-volatile memory 215 of each can be prioritized. As a result, it is possible to suppress a delay in security processing for information exchanged with other devices such as the HVECU 10 while suppressing an increase in the cost of the MGECU 20 .

また、ＭＧＥＣＵ２０において、ＣＰＵ２１０は、不揮発性メモリ２１５へのアクセス（データの読み書き）の終了前であっても、セキュリティ処理部２１４によるセキュリティ処理の開始タイミングの後処理時間（第１の後処理時間）ｔｐｂだけ前（図３における時刻ｔ１，ｔ３，ｔ５）に不揮発性メモリ２１５へのアクセスを中断する。更に、ＣＰＵ２１０は、不揮発性メモリ２１５へのアクセスの中断後に当該アクセスを再開する場合、セキュリティ処理部２１４によるセキュリティ処理の終了タイミングから後処理時間（第２の後処理時間）ｔｐａが経過した時点（図３における時刻ｔ２，ｔ４，ｔ６）で不揮発性メモリ２１５へのアクセスを再開する。これにより、ＨＶＥＣＵ１０等の他の装置との間でやり取りされる情報に対するセキュリティ処理の遅延をより確実に抑制すると共に、不揮発性メモリ２１５へのアクセス再開後にＣＰＵ２１０に円滑にデータ処理を実行させることが可能となる。 Further, in the MGECU 20, the CPU 210 sets the post-processing time (first post-processing time) at the security processing start timing by the security processing unit 214 even before the end of the access to the nonvolatile memory 215 (reading and writing of data). Access to the nonvolatile memory 215 is interrupted tpb earlier (time t1, t3, t5 in FIG. 3). Furthermore, when resuming the access to the nonvolatile memory 215 after the access to the nonvolatile memory 215 has been interrupted, the CPU 210 waits until the post-processing time (second post-processing time) tpa has elapsed from the end timing of the security processing by the security processing unit 214 ( Access to the nonvolatile memory 215 is resumed at times t2, t4, and t6 in FIG. As a result, delays in security processing for information exchanged with other devices such as the HVECU 10 can be more reliably suppressed, and the CPU 210 can be caused to smoothly execute data processing after access to the nonvolatile memory 215 is resumed. It becomes possible.

以上説明したように、本開示の制御装置としてのＭＧＥＣＵ２０は、共用通信線ＭＢや専用通信線ＬＢを介してＨＶＥＣＵ１０等の他の装置と情報をやり取りしながら電力制御装置５（対象機器）を制御するものであり、各種制御プログラムを実行するＣＰＵ２１０と、セキュリティ情報を用いてＨＶＥＣＵ１０等との間でやり取りされる情報に対するセキュリティ処理を実行するセキュリティ処理部２１４と、ＣＰＵ２１０およびセキュリティ処理部２１４の双方からアクセス可能であって制御プログラムの実行に用いられる情報やセキュリティ情報を格納する不揮発性メモリ２１５とを含む。そして、ＣＰＵ２１０は、少なくともセキュリティ処理部２１４によりセキュリティ処理が実行される間、不揮発性メモリ２１５へのアクセスを停止する（図２のステップＳ１１０：ＮＯ，Ｓ１２０：ＮＯ）。これにより、ＭＧＥＣＵ２０のコストアップを抑制しつつ、ＨＶＥＣＵ１０等の他の装置との間でやり取りされる情報に対するセキュリティ処理の遅延を抑制することが可能となる。 As described above, the MGECU 20 as the control device of the present disclosure controls the power control device 5 (target device) while exchanging information with other devices such as the HVECU 10 via the shared communication line MB and the dedicated communication line LB. A CPU 210 that executes various control programs, a security processing unit 214 that executes security processing for information exchanged between the HVECU 10 and the like using security information, and both the CPU 210 and the security processing unit 214 and a non-volatile memory 215 that is accessible and stores security information and information used in the execution of the control program. Then, the CPU 210 suspends access to the nonvolatile memory 215 at least while the security processing unit 214 is executing the security processing (steps S110: NO, S120: NO in FIG. 2). This makes it possible to suppress delays in security processing for information exchanged with other devices such as the HVECU 10 while suppressing an increase in the cost of the MGECU 20 .

なお、上記実施形態において、後処理時間ｔｐａ，ｔｐｂは、それぞれ一定の値として例示されているが、これに限られるものではない。すなわち、後処理時間ｔｐａ，ｔｐｂは、ＣＰＵ２１０の不揮発性メモリ２１５へのアクセスの中断回数や再開回数に応じてそれぞれ変更されてもよい。また、本開示の構成は、車両等に搭載されて共用通信線や専用通信線を介して他の装置と情報をやり取りする任意の制御装置に適用され得るものである。更に、ＭＧＥＣＵ２０は、モータジェネレータＭＧ１に対応したマイコンと、モータジェネレータＭＧ２に対応したマイコンと含むものであってもよく、この場合、２つのマイコンの一方が上記ＭＧＥＣＵ２０と同様に構成されてもよい。また、本開示の発明が適用される車両は、１モータ式のハイブリッド車両であってもよく、シリーズ式のハイブリッド車両であってもよく、プラグイン式のハイブリッド車両であってもよく、電気自動車であってもよく、走行用動力の発生源としてエンジン（内燃機関）のみを含む車両であってもよい。 In the above embodiment, the post-processing times tpa and tpb are exemplified as constant values, but they are not limited to this. That is, the post-processing times tpa and tpb may be changed according to the number of interruptions and restarts of access to the nonvolatile memory 215 by the CPU 210 . Also, the configuration of the present disclosure can be applied to any control device that is mounted on a vehicle or the like and exchanges information with other devices via a shared communication line or a dedicated communication line. Further, MGECU 20 may include a microcomputer corresponding to motor generator MG1 and a microcomputer corresponding to motor generator MG2. In this case, one of the two microcomputers may be configured in the same manner as MGECU 20. Further, the vehicle to which the invention of the present disclosure is applied may be a one-motor hybrid vehicle, a series hybrid vehicle, a plug-in hybrid vehicle, or an electric vehicle. or a vehicle that includes only an engine (internal combustion engine) as a source of power for running.

そして、本開示の発明は上記実施形態に何ら限定されるものではなく、本開示の外延の範囲内において様々な変更をなし得ることはいうまでもない。更に、上記発明を実施するための形態は、あくまで課題を解決するための手段の欄に記載された発明の具体的な一形態に過ぎず、課題を解決するための手段の欄に記載された発明の要素を限定するものではない。 It goes without saying that the invention of the present disclosure is not limited to the above-described embodiments, and various modifications can be made within the scope of the present disclosure. Furthermore, the above-described embodiment of the invention is merely a specific embodiment of the invention described in the column of Means for Solving the Problems, and is described in the column of Means for Solving the Problems. It is not intended to limit the inventive elements.

本開示の発明は、制御装置の製造産業等において利用可能である。 INDUSTRIAL APPLICABILITY The invention of the present disclosure can be used in the manufacturing industry of control devices and the like.

１車両、２エンジン、３プラネタリギヤ、４蓄電装置、５電力制御装置（ＰＣＵ）、５１第１インバータ、５２第２インバータ、１０ハイブリッド電子制御装置（ＨＶＥＣＵ）、２０モータ電子制御装置（ＭＧＥＣＵ）、２１マイクロコンピュータ（マイコン）、２１０ＣＰＵ（中央処理部）、２１１第１ＣＡＮコントローラ、２１２第２ＣＡＮコントローラ、２１４セキュリティ処理部、２１５不揮発性メモリ、２５１第１ＣＡＮトランシーバ、２５２第２ＣＡＮトランシーバ、ＬＢ専用通信線、ＭＢ共用通信線、ＭＧ１，ＭＧ２モータジェネレータ。 1 Vehicle 2 Engine 3 Planetary Gear 4 Power Storage Device 5 Power Control Unit (PCU) 51 First Inverter 52 Second Inverter 10 Hybrid Electronic Control Unit (HVECU) 20 Motor Electronic Control Unit (MGECU) 21 Microcomputer (microcomputer), 210 CPU (central processing unit), 211 first CAN controller, 212 second CAN controller, 214 security processing unit, 215 nonvolatile memory, 251 first CAN transceiver, 252 second CAN transceiver, LB dedicated communication line, MB Common communication line, MG1, MG2 motor generator.

Claims

In a control device that controls a target device while exchanging information with another device via a communication line,
a central processing unit that executes a control program;
a security processing unit that uses the security information to perform security processing on the information exchanged with the other device;
a non-volatile memory that is accessible from both the central processing unit and the security processing unit and stores information used to execute the control program and the security information;
with
The security processing unit starts executing the security processing at regular intervals,
The central processing unit suspends access to the nonvolatile memory at least while the security processing is being executed by the security processing unit , and even before the end of access to the nonvolatile memory, the security processing unit stops access to the nonvolatile memory. A control device that interrupts access to the nonvolatile memory a predetermined post-processing time before the start timing of the security processing by a processing unit.