KR20050075768A

KR20050075768A - 제어 장치의 마이크로콘트롤러의 메모리 영역의 정확한검사를 위한 방법 및 보호 마이크로콘트롤러를 포함하는제어 장치

Info

Publication number: KR20050075768A
Application number: KR1020057008070A
Authority: KR
Inventors: 클라우스 슈나이더; 악셀 아우에
Original assignee: 로베르트 보쉬 게엠베하
Priority date: 2002-11-07
Filing date: 2003-11-05
Publication date: 2005-07-21
Also published as: ATE375568T1; DE50308367D1; AU2003291928A8; EP1563358A2; AU2003291928A1; JP2006505841A; CN1331014C; JP4643268B2; WO2004042592A2; KR101028935B1; CN1692322A; US20060117131A1; US7293148B2; WO2004042592A3; DE10251839A1; WO2004042592A8; EP1563358B1

Abstract

본 발명은 중앙 프로세서, 적어도 하나의 읽기 전용 메모리 영역 및 적어도 하나의 재기록 메모리 영역을 포함하는 차량의 제어 장치의 마이크로콘트롤러의 제어 방법에 관한 것이다. 재기록 메모리 영역에는, 중앙 프로세서에 의한 처리를 위해 구비되는 적어도 하나의 제어 프로그램이 저장된다. 마이크로콘트롤러의 메모리의 검사를 허가되지 않는 접근으로부터 보다 양호하게 보호하는, 제어 장치의 마이크로콘트롤러의 제어를 위한 방법을 고안하기 위해, 재기록 메모리 영역의 1회 기록 메모리 영역에 검사 프로그램을 저장하고 읽기 전용 메모리 영역에 서비스 프로그램을 저장하는 것이 제안된다. 검사 프로그램은 서비스 프로그램을 사용하여 제어 프로그램에 의해 정기적 간격으로 호출되어 재기록 메모리 영역의 적어도 일 부분을 검사한다. 또한, 서비스 프로그램은 카운터를 복귀시킨다. 검사 프로그램은 검사된 메모리 영역 또는 카운터의 인식된 조작 시 카운터가 충만되면 제어 장치의 리셋을 작동한다.

Description

제어 장치의 마이크로콘트롤러의 메모리 영역의 정확한 검사를 위한 방법 및 보호 마이크로콘트롤러를 포함하는 제어 장치{METHOD FOR THE SECURE CHECKING OF A MEMORY REGION OF A MICROCONTROLLER IN A CONTROL DEVICE AND CONTROL DEVICE WITH A PROTECTED MICROCONTROLLER}

본 발명은 중앙 프로세서, 적어도 하나의 읽기 전용 메모리 영역 및 적어도 하나의 재기록 메모리 영역을 포함하는 차량의 제어 장치의 마이크로콘트롤러의 제어 방법에 관한 것이다. 재기록 메모리 영역에는, 중앙 프로세서에 의한 처리를 위해 구비되는 적어도 하나의 제어 프로그램이 저장된다.

또한, 본 발명은 마이크로콘트롤러를 포함하는 이러한 유형의 차량용 제어 장치에 관한 것이다.

여기서 차량은 본질적으로 제어 장치에 의해 제어될 수 있는 엔진을 포함하는 차량으로 이해된다. 이러한 제어 장치는 차량 기술에서 여러 기능을 위해, 예를 들면 엔진 제어 장치로서 사용된다. 이러한 경우 예를 들면 엔진 제어 장치의 칩 튠업 시 종종 비휘발성이지만 복수 회 기록 가능한 메모리(예를 들면 플래시)가 조작된다. 여기에 저장된 메모리는 보다 높은 엔진 성능에 도달하도록 변경된다. 종래 기술에서, 시동 시 그리고/또는 제어 프로그램의 작동 시간 동안 검사 루틴을 활성화하는 마이크로콘트롤러의 제어 방법이 공지되어 있다. 또한, 변속기 또는 ABS 시스템을 제어하는 이와 같은 제어 장치도 사용된다.

독일 특허출원공개 제DE 197 53 730호로부터 엔진 제어 방법 및 장치가 공지되어 있다. 상기 장치는 적어도 하나의 마이크로 프로세서, 적어도 하나의 프로그램화 가능한 메모리 및 재기록 메모리를 포함한다. 재기록 메모리에는 마이크로 프로세서에 의해 처리되는 프로그램 및/또는 데이터가 저장된다. 프로그램은 검사 직후 제거된다. 프로그램화 가능한 메모리의 내용물이 제1 값을 채택하면, 프로그램은 곧 검사를 제거하고, 다른 경우에는 적어도 하나의 다른 검사가 이루어진다. 이러한 방법에 의해, 데이터 기록, 변경된 데이터 및/또는 제어 장치 제작자에 의해 주어지지 않는 프로그램이 포함되거나 시리즈 제어 장치 상에서 실행 가능할 수 있다. 이와 동시에, 차량 제작자는 제어 장치를 적용하는, 즉, 각 제어 장치에서 데이터 기록을 변경하는 방법을 갖는데, 검사의 인식을 갖지는 않는다. 이러한 경우, 프로그램화 가능한 메모리의 내용물의 보호가 문제가 된다.

독일 특허출원공개 제DE 197 23 332 A1호에는 프로그램의 조작에 대한 마이크로 프로세서의 보호 방법 및 이와 같이 보호되는 마이크로 프로세서가 개시되어 있다. 마이크로 프로세서는 중앙 프로세서, 읽기 전용 메모리 및 재기록 메모리를 포함한다. 읽기 전용 메모리에는, 키에 의해 재기록 메모리의 메모리 내용물로부터 코드를 형성하는 검사 프로그램이 저장된다. 코드는 마찬가지로 재기록 메모리에 저장되는 비교 코드와 비교된다. 이러한 비교에 따라 마이크로 프로세서는 차단되거나 또는 해제된다.

공지된 방법에서, 보호되는 내부 플래시 영역을 사용하는 경우, 이 사용이 내부 플래시 영역을 필요로 하고 외부 메모리를 필요로 하지 않을 때, 보호가 가능하다. 상기 사용은 그러나 일반적으로 외부 메모리를 사용하므로, 장착된 조작 보호 장치는 이러한 사용에서 작동하지 않거나 또는 회피된다. 또한, 검사 루틴의 조작은 내부 보호되는 메모리가 없는 콘트롤러가 사용될 때, 가능하다. 가장 간단한 경우, 이러한 루틴의 호출이 방해된다.

이러한 검사 루틴이 변경되지 않는 영역에서 콘트롤러에 저장되면(예를 들면 ROM), 이는 한편으로 비용 증가를 의미하고, 다른 한편으로 알고리즘의 선택에서의 보다 적은 유연성을 의미한다. 또한, 이러한 경우, 종종, ROM이 상응하는 콘트롤러 기술에서 구현될 수 없다. ROM이 사용 가능하면, 기본적으로 큰 ROM 영역의 사용 시 주의를 기울여야 하는 문제점이 존재한다. 프로그램 코드의 변경은 매우 비용이 드는데, 왜냐하면 각 새로운 마스크가 필요하기 때문이다. 코드가 변경되어야 한다면, 새로운 코드가 프로젝트에서 사용될 수 있을 때까지, 적어도 4분이 지속된다(선형 경과 시간). 맞춤식 코드의 경우 각 고객은 고유의 ROM이거나 또는 ROM이 상응하게 대형화되어야 한다. 양자는 고객 및 반도체 제작자의 관심사가 아닌 비용 초과액을 발생시킨다. 코드의 실행이 어떻게 강요될 수 있는지는 해결될 수 없다.

본 발명의 기초가 되는 관심사는 허가되지 않는 접근에 대해 보다 양호하게 보호를 수행하는 제어 장치의 마이크로콘트롤러의 메모리의 검사 방법을 제공하는 것이다. 또한, 본 발명의 목적은 제어 장치의 마이크로콘트롤러에서 메모리 내용물의 허가되지 않은 조작을 효율적으로 방지하는 것이다.

이하에서 본 발명의 실시예가 2개의 도면에 의해 상세하게 설명된다.

도1은 본 발명에 따른 제어 장치용 마이크로콘트롤러의 블록도이다.

도2는 본 발명에 따른 방법의 흐름도이다.

본 발명에 따른 방법은 재기록 메모리 영역의 1회 기록 메모리 영역의 검사 프로그램을 저장하는 단계와, 읽기 전용 메모리 영역에 서비스 프로그램을 저장하는 단계와, 제어 프로그램에 의해 정기적 간격으로 서비스 프로그램을 호출하는 단계와, 서비스 프로그램을 통해 검사 프로그램을 호출하는 단계와, 제어 프로그램의 호출 시 서비스 프로그램을 통해 카운터를 복귀시키는 단계와, 검사 프로그램을 통해 재기록 메모리 영역의 적어도 일 부분을 검사하는 단계와, 검사된 메모리 영역 또는 카운터의 조작 시 카운터가 충만되면 검사 프로그램을 통해 리셋(RESET)을 작동하는 단계를 포함한다.

본 발명에 따른 방법은 메모리의 검사를 위한 코드 시퀀스(검사 프로그램)가 1회 기록 메모리에서 조작될 수 없는 것을 특징으로 한다. 이러한 1회 기록 메모리는 예를 들면 존재하는 내부 재기록 메모리(플래시)에 구현될 수 있다. 수 개의 마이크로콘트롤러는 내부 플래시의 부분에 예를 들면 보호 패스워드를 포함한다. 다른 한편으로, 본 발명에 따른 방법에서 이러한 코드 시퀀스의 실행은 효율적으로 보장된다. 제어 장치의 각 제어 프로그램에는 설정될 수 있는 정기적 간격으로 검사 프로그램의 호출이 포함된다. 검사 프로그램은 읽기 전용 메모리에 저장되는 서비스 프로그램에 의해 호출된다. 따라서, 이러한 서비스 프로그램은 허가되지 않는 접근 및 조작에 대해 보호된다.

이러한 서비스 프로그램은 정기적으로 호출되어야 하는데, 왜냐하면 다른 경우 행정 공급 장치에 의해 영향을 받지 않고 계속적으로 작동되는 카운터가 충만 상태를 신호화되기 때문이다. 카운터는 정지될 수 없으며, 서비스 프로그램의 호출에 의해서만 복귀된다. 카운터가 서비스 프로그램의 호출 전에 충만 상태에 도달되면, 카운터는 마이크로콘트롤러의 리셋을 발생한다.

카운터는 분리된 카운터 구성 요소로서 마이크로콘트롤러 내부의 보호 영역 또는 제어 장치에 배치되는 수 개의 행정 공급 장치에 의해 구현된다. 마찬가지로, 적합한 마이크로콘트롤러에서 프로그램 기술상의 장치가 고려될 수 있다. 카운터 충만 상태는 예를 들면 카운터 단부의 도달을 통해 작동될 수 있다. 충만 상태의 도달 시점은 시간적 간격을 결정하는데, 이 시간적 간격 후 카운터가 리셋을 작동하지 않고 서비스 프로그램이 다시 호출되어야 한다. 시점의 설정 후, 카운터가 상응하는 카운터 단부에 의해 선택되거나 또는 도달 시 마찬가지로 충만 상태를 신호화하는 카운터 상태가 설정된다. 제어 프로그램을 통해 서비스 프로그램을 호출하는 경우, 한편으로 검사 프로그램이 호출되고 다른 한편으로 카운터가 복귀된다.

리셋은 예를 들면 제어 장치가 차단되거나 또는 제한된 기능한 허용하는 데이터 기록에 의해 작동되는 것일 수 있다. 이러한 경우, 이와 동시에 상응하는 신호가 다른 제어 장치에 전달될 수 있다. 특히 정비소에서 차량의 수리를 위한 요구를 작동하는 경고 신호를 출력하는 것이 중요하다.

또한, 본 발명의 목적은 재기록 메모리 영역의 1회 기록 메모리 영역이 검사 프로그램의 저장을 위해 구비되며, 읽기 전용 메모리 영역이 서비스 프로그램의 저장을 위해 구비되며, 중앙 프로세서가 제어 프로그램에 의해 호출 후 정기적 간격으로 서비스 프로그램을 처리하며, 중앙 프로세서가 호출 후 서비스 프로그램을 통해 검사 프로그램을 처리하며, 제어 프로그램을 통한 호출 시 서비스 프로그램을 통해 복귀될 수 있는 카운터가 구비되며, 검사 프로그램을 통해 재기록 메모리 영역의 적어도 일 부분이 검사되며, 검사된 메모리 영역의 조작 시 또는 카운터가 충만되면 검사 프로그램을 통해 리셋을 작동하는, 마이크로콘트롤러를 포함하는 차량용 제어 장치를 통해 달성된다.

본 발명의 특히 양호한 실시예가 종속항에 개시된다.

도1에는 본 발명에 따른 제어 장치용 마이크로콘트롤러(1)가 도시된다. 마이크로콘트롤러(1)는 중앙 프로세서(2), 읽기 전용 메모리(3), 1회 기록 메모리(4) 및 재기록 메모리(5)를 포함한다. 제어 장치는 예를 들면 스로틀밸브, 분사 연료량 또는 다른 변수를 제어하는 엔진 제어 장치일 수 있다. 그러나, 변속기, ABS 시스템 또는 차량의 다른 시스템을 제어하는 제어 장치일 수도 고려될 수 있다. 중앙 프로세서(2)는 저장된 프로그램 및 데이터를 처리하는 일반적인 마이크로프로세서이다. 읽기 전용 메모리 또는 ROM(Read Only Memory)(3)은 ROM(3)의 교환에 의해서만 변경될 수 있는 고정 저장된 프로그램을 포함한다. 이러한 메모리에는 일반적으로, 중앙 프로세서(2)가 다른 메모리로부터의 프로그램 및 데이터를 처리할 수 있게 하는 최소 프로그램이 저장된다.

재기록 메모리(5)는 일반적으로 EPROM 또는 플래시 EPROM으로 이루어지며, 제어 장치의 변경 가능한 프로그램 및 데이터를 포함한다. 1회 기록 메모리(4)는 패스워드를 통해 보호되는 재기록 메모리(5)(플래시)의 메모리 영역이다. 이러한 메모리 영역(4)에는 마이크로콘트롤러(1)의 코드 및 데이터 영역을 검사하는 역할을 하는 코드 시퀀스가 저장된다. 이러한 검사 프로그램은 인식된 조작 시, 일반적으로 리셋의 작동인 대응 조치를 취한다. 이러한 경우, 리셋의 범위는 각각의 원하는 대응 조치에 맞추어진다. 제어 장치는 예를 들면 완전히 차단될 수 있으며, 이는 엔진 제어 장치에서 차량의 즉각적인 정지 상태를 발생시킨다. 또는, 제어 장치에는 최소 구조가 공급될 수 있어, 제어 장치는 기능 상태로 유지되지만, 완전한 기능을 위해서는 정비소에서의 수리가 요구된다.

여러 메모리 영역이 도1에 분리된 상태로 도시되며, 이를 통해 자체의 여러 기능만이 표시되어야 한다. 이는 분리된 구성 요소를 통해 공통된 구성 요소에서 메모리 영역을 구현하도록 여러 기능성을 유지하는 상태에서 가능하다. 따라서, 특히 플래시 메모리가 마이크로콘트롤러 구성 요소 내부 뿐만 아니라 외부 메모리 구성 요소에서도 구현될 수 있다. 도2에는 본 발명에 따른 방법의 흐름이 개략적으로 도시된다. 영역(A, B, C, D)은 각 프로그램 및 데이터가 저장되어 있는 여러 기능 메모리 영역을 나타낸다. 도시된 실시예에서 A는 마이크로콘트롤러의 하드웨어 영역을 나타내며, B는 마이크로콘트롤러의 ROM 영역을 나타내며, C는 마이크로콘트롤러의 플래시 영역을 나타내며, D는 외부 플래시 메모리 영역을 나타낸다.

외부 플래시(D)에는 사용 코드로서 제어 장치용 제어 프로그램이 저장된다. 프로그램은 코드에서, 마이크로콘트롤러의 ROM 메모리 영역(B)에 저장되어 있는 서비스 프로그램을 호출하는 '콜(CALL)' 명령을 포함한다. 상응하는 입장 코드에서는, 서비스 프로그램의 '서비스'가 작동된다. 이러한 서비스 프로그램은 2가지 일을 작동하는데, 한편으로 마이크로콘트롤러(A)에서 카운터 구성 요소로서 구현되는 카운터 '카운터(COUNTER)'가 복귀된다. 카운터 구성 요소는 행정 라인과 결합되어, 종속 없이 계속적으로 작동된다. 최소 카운터 상태가 도달되면, 충만 상태가 신호화된다. 다른 한편으로, 이와 동시에 점프 '점프(JUMP)'가 검사 프로그램에서 작동된다. 이러한 검사 프로그램은 코드 시퀀스로서 1회 기록 메모리 영역에서 내부 플래시에 저장된다. 마이크로콘트롤러의 내부 플래시는 이를 위해, 패스워드를 통해 보호되어 1회 기록 가능한 영역을 포함한다.

검사 프로그램은 마이크로콘트롤러에 의해 사용되는 메모리의 적어도 일 부분을 예를 들면 검사 합계 형성 방법과 같은 공지된 검사 방법에 의해 검사한다. 검사에 의해, 저장된 데이터 및/또는 프로그램에 대한 조작이 확인되면, 리셋이 작동된다. 허가되지 않은 변화가 확인되지 않는다면, '리턴(RETURN)' 명령에 의해 다시 제어 프로그램으로 복귀된다.

카운터가 충만을 신호화하면, 즉, 한정된 시간이 경과되면, 마찬가지로 리셋이 작동된다. 이러한 리셋은 선택적으로, 제어 장치가 완전 차단되거나 또는 제어 장치가 사전에 한정된 변수를 사용하여 작동된다는 것을 의미한다. 이러한 구조가 제어 장치의 기능성을 보장하지만 정비소에서의 수리를 수리가 즉각적으로 요구되는 최소 구조이다. 리셋은 장치가 오프되고 다시 온될 때까지(소위 파워-온 리셋) 활성화 상태로 유지된다.

카운터는 영향을 받지 않는 상태로 계속해서 작동되므로, 카운터가 정기적으로 복귀될 때, 충만 상태의 달성 및 이와 강제적으로 관련된 제어 장치의 리셋이 방지될 수 있다. 이는 서비스 프로그램에 의해 마찬가지로 조작되지 않은 ROM 영역(B)에서 작동될 수 있으므로, 다시 서비스 프로그램이 정기적으로 제어 프로그램에 의해 호출되어야 한다. 따라서, '콜(CALL)' 명령을 포함해야 하는 제어 프로그램은 상대적으로 보호되지 않는 플래시 영역(D)에 저장될 수 있다. 왜냐하면 조작을 통해 이러한 방법에 의해 마이크로콘트롤러의 메모리의 검사가 방해되지 않기 때문이다. 마이크로콘트롤러의 메모리가 조작되지 않는 경우, 제어 장치의 영구적 기능성이 보장된다.

본 발명에 따른 방법은 공지된 방법에 비해 수 개의 장점을 제공한다. 콘트롤러 칩에 대해 비용 초과액이 매우 적게 또는 거의 발생되지 않는데, 왜냐하면 최소 비용이 필요하기 때문이다. 또한, 검사 프로그램이 각각 요구 사항 또는 필요 사항에 맞추어지는데, 왜냐하면 이러한 코드 시퀀스가 ROM 마스크에 포함되지 않기 때문이다. 따라서, 이는 맞춤식으로 유지될 수 있다. 또한, 콘트롤러 제작자은 다른 고객에게도 이러한 기능성을 제공할 수 있다.

콘트롤러 내부 플래시 없는 시스템에 대해 이와 동일한 방법이 사용될 수 있다. 따라서, 이러한 방법은 내부 및 외부 플래시를 포함하는 시스템에 대해 보다 작은 보호가 이루어지는 단점을 제거하므로, 구조 요소 쌍과 조합된 상태로 매우 안전한 방법이다. 재기록 메모리가 상기 실시예에서 마이크로콘트롤러 내부에 존재할지라도, 이는 물론 그 외부에도 존재할 수 있다.

도면 부호 리스트

1: 마이크로콘트롤러

2: 중앙 프로세서

3: 읽기 전용 메모리

4: 기록 메모리 영역

5: 재기록 메모리 영역

Claims

중앙 프로세서(2), 적어도 하나의 읽기 전용 메모리 영역(3) 및 적어도 하나의 재기록 메모리 영역(5)을 포함하며, 재기록 메모리 영역(5)에는, 중앙 프로세서(2)에 의한 처리를 위해 구비되는 적어도 하나의 제어 프로그램이 저장되는, 차량의 제어 장치의 마이크로콘트롤러(1)의 제어 방법이며, 적어도 이하의 단계, 즉,

재기록 메모리 영역(5)의 1회 기록 메모리 영역(4)의 검사 프로그램을 저장하는 단계와,

읽기 전용 메모리 영역(3)에 서비스 프로그램을 저장하는 단계와,

제어 프로그램에 의해 정기적 간격으로 서비스 프로그램을 호출하는 단계와,

서비스 프로그램을 통해 검사 프로그램을 호출하는 단계와,

제어 프로그램을 통한 호출 시 서비스 프로그램을 통해 카운터를 복귀시키는 단계와,

검사 프로그램을 통해 재기록 메모리 영역의 적어도 일 부분을 검사하는 단계와,

검사된 메모리 영역의 조작 시 또는 카운터를 통해 카운터가 충만되면 검사 프로그램을 통해 리셋을 작동하는 단계를 포함하는 방법.
제1항에 있어서, 제어 프로그램은 마이크로콘트롤러(1)의 내부 메모리 영역에 저장되는 것을 특징으로 하는 방법.
제1항에 있어서, 제어 프로그램은 마이크로콘트롤러(1)의 외부의 외부 메모리 영역에 저장되는 것을 특징으로 하는 방법.
제1항에 있어서, 검사 프로그램은 마이크로콘트롤러(1)의 내부 메모리 영역에 저장되는 것을 특징으로 하는 방법.
제4항에 있어서, 검사 프로그램은 패스워드를 통해 보호되는 마이크로콘트롤러(1)의 내부 메모리 영역에 저장되는 것을 특징으로 하는 방법.
중앙 프로세서(2), 적어도 하나의 읽기 전용 메모리 영역(3) 및 적어도 하나의 재기록 메모리 영역(5)을 포함하며, 재기록 메모리 영역(5)에는, 중앙 프로세서(2)에 의한 처리를 위해 구비되는 적어도 하나의 제어 프로그램이 저장되는, 마이크로콘트롤러(1)를 포함하는 차량용 제어 장치이며,

재기록 메모리 영역(5)의 1회 기록 메모리 영역(4)이 검사 프로그램의 저장을 위해 구비되며,

읽기 전용 메모리 영역(3)이 서비스 프로그램의 저장을 위해 구비되며,

중앙 프로세서(2)가 호출 후 제어 프로그램에 의해 정기적 간격으로 서비스 프로그램을 처리하며,

중앙 프로세서(2)가 호출 후 서비스 프로그램을 통해 검사 프로그램을 처리하며,

제어 프로그램을 통한 호출 시 서비스 프로그램을 통해 복귀될 수 있는 카운터가 구비되며,

검사 프로그램을 통해 재기록 메모리 영역(5)의 적어도 일 부분이 검사되며,

검사된 메모리 영역의 조작 시 또는 카운터가 충만되면 검사 프로그램을 통해 리셋을 작동하는 제어 장치.
제6항에 있어서, 1회 기록 메모리 영역(4)이 마이크로콘트롤러(1)의 내부에 배치되는 것을 특징으로 하는 제어 장치.
제6항에 있어서, 재기록 메모리 영역(5)이 플래시 메모리로 형성되는 것을 특징으로 하는 제어 장치.