WO2017122402A1 - 車両用データ通信システム - Google Patents
車両用データ通信システム Download PDFInfo
- Publication number
- WO2017122402A1 WO2017122402A1 PCT/JP2016/080513 JP2016080513W WO2017122402A1 WO 2017122402 A1 WO2017122402 A1 WO 2017122402A1 JP 2016080513 W JP2016080513 W JP 2016080513W WO 2017122402 A1 WO2017122402 A1 WO 2017122402A1
- Authority
- WO
- WIPO (PCT)
- Prior art keywords
- program
- electronic control
- relay device
- rewritten
- rewriting
- Prior art date
Links
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
- G06F9/44—Arrangements for executing specific programs
- G06F9/445—Program loading or initiating
- G06F9/44589—Program code verification, e.g. Java bytecode verification, proof-carrying code
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
- G06F11/0751—Error or fault detection not based on redundancy
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/14—Error detection or correction of the data by redundancy in operation
- G06F11/1402—Saving, restoring, recovering or retrying
- G06F11/1415—Saving, restoring, recovering or retrying at system level
- G06F11/1417—Boot up procedures
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F13/00—Interconnection of, or transfer of information or other signals between, memories, input/output devices or central processing units
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
- G06F21/572—Secure firmware programming, e.g. of basic input output system [BIOS]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F8/00—Arrangements for software engineering
- G06F8/60—Software deployment
- G06F8/65—Updates
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
- G06F9/44—Arrangements for executing specific programs
- G06F9/4401—Bootstrapping
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
- H04L2209/84—Vehicles
Definitions
- This disclosure relates to a vehicle data communication system.
- a vehicle data communication system including a relay device that receives a program to be rewritten from a rewriting device and an electronic control device (hereinafter referred to as ECU) that receives and rewrites the program to be rewritten from the relay device.
- ECU electronice control device
- Patent Document 1 As a method for detecting whether or not the rewriting target program has been rewritten normally, there is a method disclosed in Patent Document 1, for example.
- a plurality of ECUs generate verification messages by the same algorithm and transmit them to the server.
- the server determines that the values stored in each of the plurality of verification messages received from the plurality of ECUs are different or that the verification message to be received cannot be received, the rewriting of the program to be rewritten is illegally performed. Identifies
- Patent Document 1 has the following problems.
- the verification message cannot be received from the ECU when the rewriting target program is rewritten illegally, but the verification message cannot be received even when a hardware failure occurs in the ECU. Therefore, in the server, when the verification message cannot be received from the ECU, it is difficult to classify and specify whether the rewriting target program has been rewritten illegally or a hardware failure has occurred.
- the server only specifies that the rewriting target program has been illegally rewritten by any of the plurality of ECUs. However, it is difficult to identify an ECU that has been illegally implemented.
- An object of the present disclosure is to provide a vehicular data communication system that can appropriately specify an electronic control device in which rewriting of a rewrite target program is illegally performed.
- the electronic control device decrypts a signature that is encrypted and temporarily stored when the rewrite target program is stored in the second storage device, the decrypted signature, It is provided so that it may have a collator which collates with the signature computed from the program for rewriting memorized by the 2nd memory.
- the electronic control unit activates the program to be rewritten stored in the second storage device, and sends a collation result response signal indicating that the collation result is successful to the relay device.
- the electronic control unit starts the communication control program stored in the first storage device and relays a collation result response signal indicating that the collation result is unsuccessful. Send to device.
- the relay apparatus When the relay apparatus receives a verification result response signal indicating that the verification result is successful after transmitting the verification result request signal to the electronic control apparatus, the relay apparatus transmits the verification result response signal to the electronic control apparatus that has transmitted the verification result response signal.
- the rewriting target program is identified as having been successfully rewritten.
- the relay device receives a verification result response signal indicating that the verification result is unsuccessful from the electronic control device, the rewrite target program is illegally rewritten to the electronic control device that transmitted the verification result response signal. Identifies
- the electronic control device activates the communication control program and transmits a verification result response signal indicating that the verification result has failed to the relay device.
- the relay device receives a verification result response signal indicating that the verification result is unsuccessful from the electronic control device, rewriting of the program to be rewritten to the electronic control device that transmitted the verification result response signal is illegal.
- the relay apparatus can identify that the rewriting of the rewriting target program has been performed illegally by receiving the collation result response signal indicating that the collation result is failure.
- the relay device can identify that a hardware failure has occurred by not receiving the verification result response signal.
- the relay device can distinguish and specify whether the rewriting target program has been illegally rewritten or a hardware failure has occurred. Moreover, when the relay device specifies that the rewriting target program has been rewritten illegally, the relay device can specify the electronic control device in which the rewriting target program has been rewritten illegally. In this way, it is possible to appropriately specify the electronic control device in which the rewriting target program has been illegally rewritten.
- the vehicle data communication system 1 includes a relay device 2, a plurality of electronic control devices (hereinafter referred to as ECUs) 3, 4, a display device 5, and a communication device 6.
- the relay device 2 is an ECU that functions as a gateway.
- the ECUs 3 and 4 are ECUs that perform, for example, fuel system control and intake / exhaust system control as vehicle control.
- the display device 5 is constituted by a display device of a navigation system, for example.
- the communication device 6 is constituted by a data communication unit, for example.
- the relay device 2 and the ECUs 3 and 4 are connected via a bus 7.
- the relay device 2 and the display device 5 are connected via a bus 8.
- the relay device 2 and the communication device 6 are connected via a bus 9.
- the buses 7 to 9 are data buses that perform data communication using a communication protocol defined by CAN, for example.
- the relay device 2 is configured such that a rewriting device 10 as a reprogram tool can be connected via a bus 11.
- the bus 11 is also a bus that performs data communication using a communication protocol defined by CAN, for example.
- the relay device 2 includes a microcomputer 12 and a transceiver 13.
- the microcomputer 12 includes a CPU 14, a ROM 15, a nonvolatile RAM 16 (corresponding to a nonvolatile memory), and a flash memory 17, which are interconnected via an internal bus 18. .
- the CPU 14 controls the operation of the relay device 2 by executing a control program stored in the flash memory 17.
- the CPU 14 receives the received rewrite data. Is transmitted from the transceiver 13 to the ECUs 3 and 4 via the bus 7.
- the first ECU 3 includes a microcomputer 19 and a transceiver 20.
- the microcomputer 19 includes a CPU 21, a ROM 22 (corresponding to a first storage device), a flash memory 23 (corresponding to a second storage device), and a collator 24. These are interconnected via an internal bus 25.
- the ROM 22 is a storage element in which data cannot be rewritten, and stores an activation program that activates the first ECU 3 and a communication control program that controls data communication.
- the flash memory 23 is a storage element that can rewrite data.
- the flash memory 23 stores an application program for controlling the operation of the first ECU 3 and can store an encrypted signature.
- the application program includes a communication control program that controls data communication.
- the CPU 21 executes the activation program stored in the ROM 22 to activate the first ECU 3, and then executes the application program stored in the flash memory 23 to control the operation of the first ECU 3.
- the collator 24 includes a signature calculator 24a that calculates a signature, a public key storage 24b that stores a public key, and a decoder 24c that decrypts the encrypted signature using the public key.
- the second ECU 4 has the same configuration as the first ECU 3 described above, and includes a microcomputer 26 and a transceiver 27.
- the microcomputer 26 includes a CPU 28, a ROM 29 (corresponding to a first storage device), a flash memory 30 (corresponding to a second storage device), and a collator 31, which are connected to an internal bus 32. And are interconnected via each other.
- the CPU 28, ROM 29, flash memory 30, collator 31, and internal bus 32 of the microcomputer 26 are the same as the CPU 21, ROM 22, flash memory 23, collator 24, and internal bus 25 of the microcomputer 19, respectively.
- the transceiver 27 is equivalent to the transceiver 20.
- the operation of the above configuration will be described with reference to FIGS.
- stored in 1st ECU3 is rewritten is demonstrated.
- the first ECU 3 for rewriting the application program is the rewriting target ECU, and the application program transmitted from the rewriting device 10 to the first ECU 3 via the relay device 2 is the rewriting target program.
- the rewriting device 10 When an operator who rewrites the application program connects the rewriting device 10 to the relay device 2 via the bus 11 and performs rewriting operation of the application program in the rewriting device 10, the rewriting device 10 relays the rewrite start request signal. Transmit to device 2.
- the CPU 14 In the microcomputer 12 of the relay device 2, when the rewrite start request signal is received by the transceiver 13 from the rewrite device 10, the CPU 14 causes the transceiver 13 to transmit the received rewrite start request signal to the first ECU 3.
- the CPU 14 starts to receive the rewrite data constituting the rewrite target program from the rewrite device 10 to the transceiver 13, the CPU 14 starts to transmit the received rewrite data from the transceiver 13 to the first ECU 3.
- the CPU 21 starts receiving rewrite data from the relay device 2
- the CPU 21 starts storing the received rewrite data in the flash memory 23.
- the CPU 21 stores in the flash memory 23 a signature encrypted using the secret key from the rewrite target program.
- the CPU 21 causes the transceiver 20 to transmit a rewrite end notification signal indicating that the rewrite of the rewrite target program has ended.
- the CPU 21 stores the device information that can identify the first ECU 3 in the rewrite completion notification signal, and transmits it from the transceiver 20 to the relay device 2.
- the device information that can identify the first ECU 3 is, for example, a CANID uniquely assigned to the first ECU 3.
- Information is used not only as a countable noun but also as a countable noun, and is equivalent to an information item.
- One information item is equivalent to one information item, and a plurality of information items are equivalent to a plurality of information items.
- the CPU 14 extracts the device information stored in the received rewrite completion notification signal.
- the extracted device information is stored in the RAM 16.
- the CPU 14 causes the rewrite device 10 to transmit a rewrite completion notification signal from the transceiver 13.
- the relay device 2 and the first ECU 3 are each switched from power on to power off, and from power off to power on. ,restart.
- the first ECU 3 When the first ECU 3 is restarted, the first ECU 3 performs pre-processing at startup shown in FIG.
- the relay device 2 When the relay device 2 is restarted, it performs the rewrite fraud detection process shown in FIG.
- each processing will be described.
- the CPU 21 reads the encrypted signature stored in the flash memory 23 and reads the read signature. Is decrypted by the decryptor 24c using the public key stored in the public key storage 24b (A1).
- the CPU 21 calculates a signature from the rewrite target program (that is, the rewritten application program) stored in the flash memory 23 by the signature calculator 24a (A2).
- the CPU 21 collates the signature decrypted by the decryptor 24c with the signature calculated by the signature calculator 24a (A3).
- the CPU 21 determines whether or not the transceiver 20 has received a verification result request signal from the relay device 2 within a predetermined time from the time when the rewriting target program is activated (A6).
- the CPU 21 determines that the collation result request signal has been received within a certain time from the start of the program to be rewritten (A6: YES)
- it sends a collation result response signal indicating that the collation result is successful from the transceiver 20 to the relay device. 2 (A7).
- the CPU 21 shifts to a normal operation process (A8). If the CPU 21 determines that a predetermined time has passed since the verification result request signal has not been received since the program to be rewritten is activated (A6: NO), the CPU 21 causes the transceiver 20 to transmit the verification result response signal to the relay device 2. Then, the process proceeds to the normal operation process (A8).
- the CPU 21 determines whether or not the transceiver 20 has received a verification result request signal from the relay device 2 within a predetermined time from the time when the communication control program is activated (A10).
- the CPU 21 determines that the collation result request signal has been received within a predetermined time from the time when the communication control program is activated (A10: YES)
- the CPU 21 transmits a collation result response signal indicating that the collation result has failed from the transceiver 20 to the relay device.
- the CPU 21 shifts to a shutdown process for shutting down the microcomputer 19 (A12). If the CPU 21 determines that a predetermined time has passed since the verification result request signal has not been received since the program to be rewritten is activated (A10: NO), the CPU 21 transmits the verification result response signal from the transceiver 20 to the relay device 2. The process proceeds to the shutdown process (A12).
- (2) Rewrite fraud detection process In the microcomputer 12 of the relay device 2, when the CPU 14 starts the rewrite fraud detection process, the CPU 14 reads the device information stored in the RAM 16 and reads the ECU in which the rewrite target program has been rewritten. Specify (B1). In the present embodiment, the CPU 14 specifies the first ECU 3 as the ECU in which the rewriting target program has been rewritten. The CPU 14 initializes the count value of the transmission number counter to “0” (B2), causes the verification result request signal to be transmitted from the transceiver 13 to the identified first ECU 3 (B3), and from the first ECU 3 Wait for reception of the verification result response signal. The CPU 14 determines whether or not the verification result response signal is received by the transceiver 13 from the relay device 2 within a predetermined time from the time when the verification result request signal is transmitted (B4).
- the CPU 14 determines that a predetermined time has passed since the verification result response signal has not been received since the verification result request signal was transmitted (B4: NO)
- the CPU 14 increments the count value of the transmission counter (B5). It is determined whether or not the incremented count value exceeds a preset setting value (B6). If the CPU 14 determines that the incremented count value does not exceed the set value (B6: NO), the CPU 14 returns to step B3, repeats step B3 and the subsequent steps, and sends the verification result request signal from the transceiver 13 to the identified first To the ECU 3 again.
- the CPU 14 when determining that the incremented count value exceeds the set value (B6: YES), the CPU 14 specifies that a hardware failure has occurred in the first ECU 3 (B7), and stores the first stored in the RAM 16. Is deleted (B8), and the rewrite fraud detection process is terminated.
- the CPU 14 determines that the verification result response signal has been received within a predetermined time from the time when the verification result request signal is transmitted (B4: YES), the CPU 14 is a verification result response signal indicating that the verification result is a failure. Whether or not (B9).
- the CPU 14 determines that the collation result is not a collation result response signal indicating that the collation result is unsuccessful, that is, the collation result response signal indicating that the collation result is successful (B9: NO)
- the rewriting target program is rewritten. It is determined that the operation has been normally performed (B10), the device information of the first ECU 3 stored in the RAM 16 is deleted (B8), and the rewrite fraud detection process is terminated.
- the CPU 14 determines that the verification result is a verification result response signal indicating failure (B9: YES), it identifies that the rewriting target program has been rewritten illegally (B11), and Unauthorized information indicating that the rewriting has been performed illegally is stored in the RAM 16 as a log (B12), and the rewriting fraud detection process is terminated.
- a verification result response signal indicating failure B9: YES
- the CPU 14 causes the transceiver 13 to transmit an illegal identification signal to the second ECU 4, the display device 5, and the communication device 6.
- the second ECU 4 receives the fraud identification signal from the relay device 2
- the second ECU 4 identifies that the program to be rewritten to the first ECU 3 has been illegally rewritten, for example, interrupts the process associated with the first ECU 3.
- Implement fail-safe measures such as When the fraud identification signal is received from the relay device 2, the display device 5 displays display information indicating that the rewriting of the program to be rewritten to the first ECU 3 has been illegally performed.
- the communication device 6 sends transmission information indicating that the rewriting of the program to be rewritten to the first ECU 3 has been illegally performed, for example, via a wide area data communication network. 40.
- the ECUs 3 and 4 start the communication control program stored in the ROM 22 even if it is determined that the rewriting of the rewriting target program is unsuccessful, and indicate that the collation result is unsuccessful.
- the verification result response signal is transmitted to the relay device 2.
- the relay device 2 receives the collation result response signal indicating that the collation result is unsuccessful from the ECUs 3 and 4, the rewrite target program is rewritten to the ECUs 3 and 4 that transmitted the collation result response signal. Identify. Thereby, the relay apparatus 2 can identify that the rewriting target program has been rewritten illegally by receiving the collation result response signal indicating that the collation result is failure.
- the relay device 2 can specify that a hardware failure has occurred by not receiving the verification result response signal. In this way, the relay device 2 can distinguish and specify whether the rewriting target program has been rewritten illegally or a hardware failure has occurred. Moreover, when the relay device 2 specifies that the rewriting target program has been illegally rewritten, the relay device 2 can specify the ECUs 3 and 4 in which the rewriting target program has been illegally rewritten.
- the relay device 2 stores device information that can identify the ECUs 3 and 4 for which the rewriting of the rewriting target program has been completed in the nonvolatile RAM 16. As a result, even when the relay device 2 is restarted, the relay device 2 acquires device information stored in the nonvolatile RAM 16 and transmits a verification result request signal to the ECUs 3 and 4 specified by the device information. be able to.
- the relay device 2 when the relay device 2 does not receive the verification result response signal from the ECUs 3 and 4 within a predetermined time from the time when the verification result request signal is transmitted to the ECUs 3 and 4, the relay device 2 transmits the verification result request signal to the ECUs 3 and 4 again. Thereby, the opportunity to receive the verification result response signal from the ECUs 3 and 4 can be increased, and it is possible to more reliably distinguish and specify whether the rewriting target program has been rewritten illegally or a hardware failure has occurred. , Can improve accuracy.
- the relay device 2 when the relay device 2 identifies that the rewriting target program has been rewritten illegally, the relay device 2 transmits an unauthorized identification signal to the ECUs 3 and 4 that are different from the ECUs 3 and 4 that have identified that the rewriting target program has been rewritten illegally. To do.
- the other ECU 3 or 4 receives the fraud identification signal from the relay device 2, the ECU 3 or 4 identifies that the rewriting of the program to be rewritten to the ECU 3 or 4 has been performed illegally.
- Implement fail-safe such as interrupting the processing in cooperation with the executed ECUs 3 and 4. As a result, it is possible to suppress the influence caused by illegally rewriting the program to be rewritten, and improve safety.
- the relay device 2 when the relay device 2 specifies that the rewriting target program has been rewritten illegally, the relay device 2 transmits an unauthorized identification signal to the display device 5.
- the display device 5 displays display information indicating that the rewriting of the program to be rewritten to the first ECUs 3 and 4 has been illegally performed. As a result, it is possible to notify the driver or the like of the situation in which the rewriting is performed illegally.
- the relay device 2 when the relay device 2 specifies that the rewriting target program has been rewritten illegally, the relay device 2 transmits an unauthorized identification signal to the communication device 6.
- the communication device 6 receives the fraud identification signal from the relay device 2, the communication device 6 sends transmission information indicating that the rewriting of the program to be rewritten to the first ECUs 3 and 4 has been performed illegally via, for example, a wide area data communication network.
- the server 40 can collect and manage the situation where rewriting of the rewriting target program is illegally performed by receiving the transmission information. If the server 40 is a server managed by, for example, a vehicle manufacturer, an appropriate measure can be taken, for example, by the vehicle manufacturer investigating the state of unauthorized rewriting.
- the configuration in which the pre-processing at the time of starting is performed by restarting the first ECU 3 and the rewriting fraud detection processing is performed by restarting the relay device 2 is exemplified.
- the first ECU 3 is optional.
- the pre-processing at the time of activation may be performed at the timing, and the relay device 2 may perform the rewrite fraud detection processing at an arbitrary timing. For example, even if the first ECU 3 and the relay device 2 are not restarted, the pre-processing at the time of starting may be performed after a predetermined time has elapsed from the time when the first ECU 3 transmitted the rewriting end notification signal.
- the rewrite fraud detection process may be performed after a predetermined time has elapsed since the reception of the rewrite end notification signal.
- the configuration for transmitting the illegal identification signal to another ECU 3, 4, the display device 5, or the communication device 6 may be omitted.
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Software Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- General Physics & Mathematics (AREA)
- Physics & Mathematics (AREA)
- Computer Hardware Design (AREA)
- Quality & Reliability (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Stored Programmes (AREA)
- Information Transfer Between Computers (AREA)
Abstract
電子制御装置(3、4)は、照合器の照合結果が成功であると、第2の記憶器(23、30)に記憶されている書き換え対象プログラムを起動し、照合結果が成功である旨を示す照合結果応答信号を中継装置(2)に送信し、照合結果が失敗であると、第1の記憶器(22,29)に記憶されている通信制御プログラムを起動し、照合結果が失敗である旨を示す照合結果応答信号を中継装置に送信する。中継装置は、照合結果が成功である旨を示す照合結果応答信号を受信すると、書き換え対象プログラムの書き換えが正常に実施されたと特定し、照合結果が失敗である旨を示す照合結果応答信号を受信すると、書き換え対象プログラムの書き換えが不正に実施されたと特定する。
Description
本出願は、2016年1月14日に出願された日本出願番号2016-5238号に基づくもので、ここにその記載内容を援用する。
本開示は、車両用データ通信システムに関する。
従来より、書き換え装置から書き換え対象プログラムを受信する中継装置と、中継装置から書き換え対象プログラムを受信して書き換える電子制御装置(以下、ECUと称する)とを備えた車両用データ通信システムが供されている。この種の車両用データ通信システムは、書き換え対象プログラムの書き換えが不正に実施される虞があるという事情から、書き換え対象プログラムの書き換えが正常に実施されたか否かを検出する必要がある。
書き換え対象プログラムの書き換えが正常に実施されたか否かを検出する方法として、例えば特許文献1に開示されている方法がある。特許文献1に開示されている方法では、複数のECUは、検証メッセージを同一のアルゴリズムにより生成してサーバに送信する。サーバは、複数のECUから受信した複数の検証メッセージの各々に格納されている値が異なるか、又は受信すべき検証メッセージを受信不可であると判定すると、書き換え対象プログラムの書き換えが不正に実施されたと特定する。
しかしながら、特許文献1に開示されている方法では以下の問題がある。サーバでは、書き換え対象プログラムの書き換えが不正に実施された場合にECUから検証メッセージを受信不可となるが、ECUにハードウェア故障が発生した場合にも検証メッセージを受信不可となる。そのため、サーバでは、ECUから検証メッセージを受信不可となった場合に、書き換え対象プログラムの書き換えが不正に実施されたかハードウェア故障が発生したかを区分して特定することが困難である。又、サーバでは、複数の検証メッセージの各々に格納されている値が異なると、複数のECUのうち何れかで書き換え対象プログラムの書き換えが不正に実施されたと特定するに止まり、書き換え対象プログラムの書き換えが不正に実施されたECUを特定することが困難である。
本開示の目的は、書き換え対象プログラムの書き換えが不正に実施された電子制御装置を適切に特定することができる車両用データ通信システムを提供することにある。
本開示の一つの観点によれば、電子制御装置は、書き換え対象プログラムが第2の記憶器に記憶される際に暗号化されて一旦記憶された署名を復号化し、その復号化した署名と、第2の記憶器に記憶されている書き換え対象プログラムから算出した署名とを照合する照合器を有する、ように提供される。電子制御装置は、照合器の照合結果が成功であると、第2の記憶器に記憶されている書き換え対象プログラムを起動し、照合結果が成功である旨を示す照合結果応答信号を中継装置に送信する。一方、電子制御装置は、照合器の照合結果が失敗であると、第1の記憶器に記憶されている通信制御プログラムを起動し、照合結果が失敗である旨を示す照合結果応答信号を中継装置に送信する。
中継装置は、照合結果要求信号を電子制御装置に送信した後に、照合結果が成功である旨を示す照合結果応答信号を電子制御装置から受信すると、その照合結果応答信号を送信した電子制御装置への書き換え対象プログラムの書き換えが正常に実施されたと特定する。一方、中継装置は、照合結果が失敗である旨を示す照合結果応答信号を電子制御装置から受信すると、その照合結果応答信号を送信した電子制御装置への書き換え対象プログラムの書き換えが不正に実施されたと特定する。
即ち、電子制御装置は、書き換え対象プログラムの書き換えが失敗であると判定しても、通信制御プログラムを起動し、照合結果が失敗である旨を示す照合結果応答信号を中継装置に送信する。これに応じて、中継装置は、照合結果が失敗である旨を示す照合結果応答信号を電子制御装置から受信すると、その照合結果応答信号を送信した電子制御装置への書き換え対象プログラムの書き換えが不正に実施されたと特定する。これにより、中継装置は、照合結果が失敗である旨を示す照合結果応答信号を受信することで、書き換え対象プログラムの書き換えが不正に実施されたと特定することができる。一方、中継装置は、照合結果応答信号を受信しないことで、ハードウェア故障が発生したと特定することできる。中継装置は、このようにして書き換え対象プログラムの書き換えが不正に実施されたかハードウェア故障が発生したかを区別して特定することができる。しかも、中継装置は、書き換え対象プログラムの書き換えが不正に実施されたと特定すると、その書き換え対象プログラムの書き換えが不正に実施された電子制御装置を特定することができる。このようして書き換え対象プログラムの書き換えが不正に実施された電子制御装置を適切に特定することができる。
本開示についての上記目的およびその他の目的、特徴や利点は、添付の図面を参照しながら下記の詳細な記述により、より明確になる。
本開示の一実施形態の全体構成を示す機能ブロック図
電子制御装置のマイクロコンピュータの構成を示す機能ブロック図
シーケンス図
起動時の前処理を示すフローチャート
書き換え不正検出処理を示すフローチャート
以下、本開示の一実施形態について図面を参照して説明する。車両用データ通信システム1は、中継装置2と、複数の電子制御装置(以下、ECUと称する)3,4と、表示装置5と、通信装置6とを有する。中継装置2は、ゲートウェイとして機能するECUである。ECU3,4は、車両制御として例えば燃料系統の制御や吸排気系統の制御等を行うECUである。表示装置5は、例えばナビゲーションシステムのディスプレイ装置により構成される。通信装置6は、例えばデータ通信ユニットにより構成される。中継装置2とECU3,4とはバス7を介して接続されている。本実施形態では複数のECUとして第1のECU3と第2のECU4との2個のECUがバス7に接続されている構成を例示しているが、3個以上のECUがバス7に接続されている構成でも良い。中継装置2と表示装置5とはバス8を介して接続されている。中継装置2と通信装置6とはバス9を介して接続されている。バス7~9は例えばCANで規定されている通信プロトコルによりデータ通信を行うバスである。又、中継装置2は、リプログツールとしての書き換え装置10がバス11を介して接続可能に構成されている。バス11も例えばCANで規定されている通信プロトコルによりデータ通信を行うバスである。
中継装置2は、マイクロコンピュータ12と、トランシーバ13とを有する。マイクロコンピュータ12は、CPU14と、ROM15と、不揮発性のRAM16(不揮発性記憶器に相当する)と、フラッシュメモリ17とを有し、それらが内部バス18を介して相互接続されて構成されている。CPU14は、フラッシュメモリ17に記憶されている制御プログラムを実行することで、中継装置2の動作を制御する。CPU14は、書き換え装置10がバス11を介して中継装置2に接続されている状態で、書き換え装置10から書き換え対象プログラムを構成する書き換えデータがトランシーバ13に受信されると、その受信された書き換えデータをトランシーバ13からバス7を介してECU3,4に送信させる。
第1のECU3は、マイクロコンピュータ19と、トランシーバ20とを有する。マイクロコンピュータ19は、図2にも示すように、CPU21と、ROM22(第1の記憶器に相当する)と、フラッシュメモリ23(第2の記憶器に相当する)と、照合器24とを有し、それらが内部バス25を介して相互接続されて構成されている。ROM22は、データを書き換え不能な記憶素子であり、第1のECU3を起動させる起動プログラムと、データ通信を制御する通信制御プログラムとを記憶している。フラッシュメモリ23は、データを書き換え可能な記憶素子であり、第1のECU3の動作を制御するアプリケーションプログラムを記憶すると共に、暗号化された署名を記憶可能となっている。アプリケーションプログラムには、データ通信を制御する通信制御プログラムが含まれる。CPU21は、ROM22に記憶されている起動プログラムを実行して第1のECU3を起動し、その後、フラッシュメモリ23に記憶されているアプリケーションプログラムを実行して第1のECU3の動作を制御する。照合器24は、署名を算出する署名算出器24aと、公開鍵を記憶している公開鍵記憶器24bと、暗号化されている署名を公開鍵により復号化する復号器24cとを有する。
第2のECU4は、上記した第1のECU3と同様の構成であり、マイクロコンピュータ26と、トランシーバ27とを有する。マイクロコンピュータ26は、CPU28と、ROM29(第1の記憶器に相当する)と、フラッシュメモリ30(第2の記憶器に相当する)と、照合器31とを有し、それらが内部バス32を介して相互接続されて構成されている。マイクロコンピュータ26のCPU28、ROM29、フラッシュメモリ30、照合器31、内部バス32はそれぞれマイクロコンピュータ19のCPU21、ROM22、フラッシュメモリ23、照合器24、内部バス25と同等である。トランシーバ27はトランシーバ20と同等である。
次に、上記した構成の作用について図3から図5を参照して説明する。ここでは、第1のECU3に記憶されているアプリケーションプログラムを書き換える場合を説明する。この場合、アプリケーションプログラムを書き換える第1のECU3が書き換え対象ECUであり、書き換え装置10から中継装置2を経由して第1のECU3に送信されるアプリケーションプログラムが書き換え対象プログラムである。
アプリケーションプログラムの書き換え作業を行う作業者が書き換え装置10をバス11を介して中継装置2に接続し、書き換え装置10においてアプリケーションプログラムの書き換え操作を行うと、書き換え装置10は、書き換え開始要求信号を中継装置2に送信する。中継装置2のマイクロコンピュータ12において、CPU14は、書き換え装置10から書き換え開始要求信号がトランシーバ13に受信されると、その受信された書き換え開始要求信号をトランシーバ13から第1のECU3に送信させる。次いで、CPU14は、書き換え装置10から書き換え対象プログラムを構成する書き換えデータのトランシーバ13への受信を開始すると、その受信された書き換えデータのトランシーバ13から第1のECU3への送信を開始する。
第1のECU3のマイクロコンピュータ19において、CPU21は、中継装置2からの書き換えデータの受信を開始すると、その受信された書き換えデータのフラッシュメモリ23への記憶を開始する。このとき、CPU21は、書き換え対象プログラムから秘密鍵が用いられて暗号化された署名をフラッシュメモリ23に記憶させる。CPU21は、中継装置2から書き換えデータの受信を終了すると、書き換え対象プログラムの書き換えが終了した旨を示す書き換え終了通知信号をトランシーバ20から中継装置2に送信させる。このとき、CPU21は、第1のECU3を特定可能な装置情報を書き換え終了通知信号に格納してトランシーバ20から中継装置2に送信させる。第1のECU3を特定可能な装置情報は、例えば第1のECU3に対して固有に付与されているCANID等である。尚、「情報」は、不可算名詞のみならず、可算名詞としても使用され、情報項目と同等である。一つの情報は一つの情報項目と、複数の情報は、複数の情報項目と同等である。
中継装置2のマイクロコンピュータ12において、CPU14は、第1のECU3から書き換え終了通知信号がトランシーバ13に受信されると、その受信された書き換え終了通知信号に格納されている装置情報を抽出し、その抽出した装置情報をRAM16に記憶する。次いで、CPU14は、書き換え終了通知信号をトランシーバ13から書き換え装置10に送信させる。
その後、例えば作業者が車両のイグニッションをオンからオフに切り換え、オフからオンに切り換えると、中継装置2及び第1のECU3はそれぞれ電源オンから電源オフに切り換わり、電源オフから電源オンに切り換わり、再起動する。第1のECU3は、再起動すると、図4に示す起動時の前処理を行う。中継装置2は、再起動すると、図5に示す書き換え不正検出処理を行う。以下、それぞれの処理について説明する。
(1)起動時の前処理
第1のECU3のマイクロコンピュータ19において、CPU21は、起動時の前処理を開始すると、フラッシュメモリ23に記憶されている暗号化された署名を読み出し、その読み出した署名を公開鍵記憶器24bに記憶されている公開鍵を用いて復号器24cにより復号化する(A1)。CPU21は、フラッシュメモリ23に記憶されている書き換え対象プログラム(即ち書き換えられたアプリケーションプログラム)から署名算出器24aにより署名を算出する(A2)。CPU21は、復号器24cにより復号化した署名と、署名算出器24aにより算出した署名とを照合する(A3)。
第1のECU3のマイクロコンピュータ19において、CPU21は、起動時の前処理を開始すると、フラッシュメモリ23に記憶されている暗号化された署名を読み出し、その読み出した署名を公開鍵記憶器24bに記憶されている公開鍵を用いて復号器24cにより復号化する(A1)。CPU21は、フラッシュメモリ23に記憶されている書き換え対象プログラム(即ち書き換えられたアプリケーションプログラム)から署名算出器24aにより署名を算出する(A2)。CPU21は、復号器24cにより復号化した署名と、署名算出器24aにより算出した署名とを照合する(A3)。
CPU21は、両者が一致し、照合に成功したと判定すると(A4:YES)、書き換え対象プログラムを起動し(A5)、中継装置2からの照合結果要求信号の受信を待機する。CPU21は、書き換え対象プログラムを起動した時点から一定時間内に中継装置2から照合結果要求信号がトランシーバ20に受信されたか否かを判定する(A6)。CPU21は、書き換え対象プログラムを起動した時点から一定時間内に照合結果要求信号が受信されたと判定すると(A6:YES)、照合結果が成功である旨を示す照合結果応答信号をトランシーバ20から中継装置2に送信させる(A7)。そして、CPU21は、通常動作処理に移行する(A8)。尚、CPU21は、書き換え対象プログラムを起動した時点から照合結果要求信号が受信されずに一定時間が経過したと判定すると(A6:NO)、照合結果応答信号をトランシーバ20から中継装置2に送信させることなく、通常動作処理に移行する(A8)。
一方、CPU21は、両者が一致せず、照合に失敗したと判定すると(A4:NO)、ROM22に記憶されている通信制御プログラムを起動し(A9)、中継装置2からの照合結果要求信号の受信を待機する。CPU21は、通信制御プログラムを起動した時点から一定時間内に中継装置2から照合結果要求信号がトランシーバ20に受信されたか否かを判定する(A10)。CPU21は、通信制御プログラムを起動した時点から一定時間内に照合結果要求信号が受信されたと判定すると(A10:YES)、照合結果が失敗である旨を示す照合結果応答信号をトランシーバ20から中継装置2に送信させる(A11)。そして、CPU21は、マイクロコンピュータ19をシャットダウンさせるシャットダウン処理に移行する(A12)。尚、CPU21は、書き換え対象プログラムを起動した時点から照合結果要求信号が受信されずに一定時間が経過したと判定すると(A10:NO)、照合結果応答信号をトランシーバ20から中継装置2に送信させることなく、シャットダウン処理に移行する(A12)。
(2)書き換え不正検出処理
中継装置2のマイクロコンピュータ12において、CPU14は、書き換え不正検出処理を開始すると、RAM16に記憶されている装置情報を読み出し、その書き換え対象プログラムの書き換えが実施されたECUを特定する(B1)。本実施形態では、CPU14は、書き換え対象プログラムの書き換えが実施されたECUとして第1のECU3を特定する。CPU14は、送信回数カウンタのカウント値を「0」に設定して初期化し(B2)、照合結果要求信号をトランシーバ13から当該特定した第1のECU3に送信させ(B3)、第1のECU3から照合結果応答信号の受信を待機する。CPU14は、照合結果要求信号を送信させた時点から一定時間内に中継装置2から照合結果応答信号がトランシーバ13に受信されたか否かを判定する(B4)。
中継装置2のマイクロコンピュータ12において、CPU14は、書き換え不正検出処理を開始すると、RAM16に記憶されている装置情報を読み出し、その書き換え対象プログラムの書き換えが実施されたECUを特定する(B1)。本実施形態では、CPU14は、書き換え対象プログラムの書き換えが実施されたECUとして第1のECU3を特定する。CPU14は、送信回数カウンタのカウント値を「0」に設定して初期化し(B2)、照合結果要求信号をトランシーバ13から当該特定した第1のECU3に送信させ(B3)、第1のECU3から照合結果応答信号の受信を待機する。CPU14は、照合結果要求信号を送信させた時点から一定時間内に中継装置2から照合結果応答信号がトランシーバ13に受信されたか否かを判定する(B4)。
CPU14は、照合結果要求信号を送信させた時点から照合結果応答信号が受信されずに一定時間が経過したと判定すると(B4:NO)、送信回数カウンタのカウント値をインクリメントし(B5)、そのインクリメントしたカウント値が予め設定している設定値を超えたか否かを判定する(B6)。CPU14は、そのインクリメントしたカウント値が設定値を超えていないと判定すると(B6:NO)、ステップB3に戻り、ステップB3以降を繰り返して行い、照合結果要求信号をトランシーバ13から当該特定した第1のECU3に再度送信させる。一方、CPU14は、そのインクリメントしたカウント値が設定値を超えたと判定すると(B6:YES)、第1のECU3にハードウェア故障が発生したと特定し(B7)、RAM16に記憶されている第1のECU3の装置情報を削除し(B8)、書き換え不正検出処理を終了する。
又、CPU14は、照合結果要求信号を送信させた時点から一定時間内に照合結果応答信号が受信されたと判定すると(B4:YES)、照合結果が失敗である旨を示す照合結果応答信号であるか否かを判定する(B9)。CPU14は、照合結果が失敗である旨を示す照合結果応答信号でない、即ち、照合結果が成功である旨を示す照合結果応答信号であると判定すると(B9:NO)、書き換え対象プログラムの書き換えが正常に実施されたと特定し(B10)、RAM16に記憶されている第1のECU3の装置情報を削除し(B8)、書き換え不正検出処理を終了する。
一方、CPU14は、照合結果が失敗である旨を示す照合結果応答信号であると判定すると(B9:YES)、書き換え対象プログラムの書き換えが不正に実施されたと特定し(B11)、書き換え対象プログラムの書き換えが不正に実施された旨を示す不正情報をRAM16にログとして記憶し(B12)、書き換え不正検出処理を終了する。
尚、CPU14は、このようにして書き換え対象プログラムの書き換えが不正に実施されたと特定すると、不正特定信号をトランシーバ13から第2のECU4、表示装置5、通信装置6に送信させる。第2のECU4は、中継装置2から不正特定信号が受信されると、第1のECU3への書き換え対象プログラムの書き換えが不正に実施されたと特定し、例えば第1のECU3と連携する処理を中断する等のフェールセーフを実施する。表示装置5は、中継装置2から不正特定信号が受信されると、第1のECU3への書き換え対象プログラムの書き換えが不正に実施された旨を示す表示情報を表示する。通信装置6は、中継装置2から不正特定信号が受信されると、第1のECU3への書き換え対象プログラムの書き換えが不正に実施された旨を示す送信情報を例えば広域データ通信網を介してサーバ40に送信する。
尚、以上は、第1のECU3に記憶されているアプリケーションプログラムを書き換える場合を説明したが、第2のECU4に記憶されているアプリケーションプログラムを書き換える場合も同様である。
以上説明したように本実施形態によれば、次に示す効果を得ることができる。
車両用データ通信システム1において、ECU3,4は、書き換え対象プログラムの書き換えが失敗であると判定しても、ROM22に記憶されている通信制御プログラムを起動し、照合結果が失敗である旨を示す照合結果応答信号を中継装置2に送信する。中継装置2は、照合結果が失敗である旨を示す照合結果応答信号をECU3,4から受信すると、その照合結果応答信号を送信したECU3,4への書き換え対象プログラムの書き換えが不正に実施されたと特定する。これにより、中継装置2は、照合結果が失敗である旨を示す照合結果応答信号を受信することで、書き換え対象プログラムの書き換えが不正に実施されたと特定することができる。一方、中継装置2は、照合結果応答信号を受信しないことで、ハードウェア故障が発生したと特定することができる。中継装置2は、このようにして書き換え対象プログラムの書き換えが不正に実施されたかハードウェア故障が発生したかを区別して特定することができる。しかも、中継装置2は、書き換え対象プログラムの書き換えが不正に実施されたと特定すると、その書き換え対象プログラムの書き換えが不正に実施されたECU3,4を特定することができる。
又、中継装置2は、書き換え対象プログラムの書き換えが終了したECU3,4を特定可能な装置情報を不揮発性のRAM16に記憶する。これにより、中継装置2は、再起動した場合でも、その不揮発性のRAM16に記憶されている装置情報を取得することで、照合結果要求信号を当該装置情報により特定されるECU3,4に送信することができる。
又、中継装置2は、照合結果要求信号をECU3,4に送信した時点から一定時間内にECU3,4から照合結果応答信号を受信しないと、照合結果要求信号をECU3,4に再度送信する。これにより、照合結果応答信号をECU3,4から受信する機会を高めることができ、書き換え対象プログラムの書き換えが不正に実施されたかハードウェア故障が発生したかをより確実に区別して特定することができ、精度を高めることができる。
又、中継装置2は、書き換え対象プログラムの書き換えが不正に実施されたと特定すると、不正特定信号を書き換え対象プログラムの書き換えが不正に実施されたと特定したECU3,4とは別のECU3,4に送信する。別のECU3,4は、中継装置2から不正特定信号が受信されると、ECU3,4への書き換え対象プログラムの書き換えが不正に実施された旨を特定し、例えば書き換え対象プログラムの書き換えが不正に実施されたECU3,4と連携する処理を中断する等のフェールセーフを実施する。これにより、書き換え対象プログラムの書き換えが不正に実施されたことによる影響を抑えることができ、安全性を高めることができる。
又、中継装置2は、書き換え対象プログラムの書き換えが不正に実施されたと特定すると、不正特定信号を表示装置5に送信する。表示装置5は、中継装置2から不正特定信号が受信されると、第1のECU3,4への書き換え対象プログラムの書き換えが不正に実施された旨を示す表示情報を表示する。これにより、書き換えが不正に実施された状況を運転者等に知らせることができる。
又、中継装置2は、書き換え対象プログラムの書き換えが不正に実施されたと特定すると、不正特定信号を通信装置6に送信する。通信装置6は、中継装置2から不正特定信号が受信されると、第1のECU3,4への書き換え対象プログラムの書き換えが不正に実施された旨を示す送信情報を例えば広域データ通信網を介してサーバ40に送信する。これにより、サーバ40は、送信情報が受信されることで、書き換え対象プログラムの書き換えが不正に実施された状況を集約して管理することができる。サーバ40が例えば車両メーカが管理するサーバであれば、不正な書き換えの状況を車両メーカが調査する等して適切な措置を講じることができる。
本開示は、上記した実施形態で例示したものに限定されることなく、その範囲を逸脱しない範囲で任意に変形又は拡張することができる。
本実施形態では、第1のECU3が再起動することで起動時の前処理を行い、中継装置2が再起動することで書き換え不正検出処理を行う構成を例示したが、第1のECU3が任意のタイミングで起動時の前処理を行っても良く、中継装置2が任意のタイミングで書き換え不正検出処理を行っても良い。例えば第1のECU3及び中継装置2が再起動しなくとも、第1のECU3が書き換え終了通知信号を送信した時点から一定時間が経過した後に起動時の前処理を行っても良く、中継装置2が書き換え終了通知信号を受信した時点から一定時間が経過した後に書き換え不正検出処理を行っても良い。
不正特定信号を別のECU3,4や表示装置5や通信装置6に送信する構成を省いても良い。
本開示は、実施例に準拠して記述されたが、本開示は当該実施例や構造に限定されるものではないと理解される。本開示は、様々な変形例や均等範囲内の変形をも包含する。加えて、様々な組み合わせや形態、さらには、それらに一要素のみ、それ以上、あるいはそれ以下、を含む他の組み合わせや形態をも、本開示の範疇や思想範囲に入るものである。
Claims (7)
- 書き換え装置(10)から通信制御プログラムを含む書き換え対象プログラムを受信し、その受信した書き換え対象プログラムを電子制御装置(3,4)に送信すると共に、前記電子制御装置から照合結果を受信する中継装置(2)と、
通信制御プログラムを記憶する第1の記憶器(22,29)と、書き換え対象プログラムを記憶する第2の記憶器(23,30)と、書き換え対象プログラムが前記第2の記憶器に記憶される際に暗号化されて一旦記憶された署名を復号化し、その復号化した署名と、前記第2の記憶器に記憶されている書き換え対象プログラムから算出した署名とを照合する照合器(24,31)と、を有する電子制御装置と、を備え、
前記電子制御装置は、前記照合器の照合結果が成功であると、前記第2の記憶器に記憶されている書き換え対象プログラムを起動し、照合結果が成功である旨を示す照合結果応答信号を前記中継装置に送信し、前記照合器の照合結果が失敗であると、前記第1の記憶器に記憶されている通信制御プログラムを起動し、照合結果が失敗である旨を示す照合結果応答信号を前記中継装置に送信し、
前記中継装置は、照合結果要求信号を電子制御装置に送信した後に、照合結果が成功である旨を示す照合結果応答信号を前記電子制御装置から受信すると、その照合結果応答信号を送信した電子制御装置への書き換え対象プログラムの書き換えが正常に実施されたと特定し、照合結果が失敗である旨を示す照合結果応答信号を前記電子制御装置から受信すると、その照合結果応答信号を送信した電子制御装置への書き換え対象プログラムの書き換えが不正に実施されたと特定する
車両用データ通信システム。 - 請求項1に記載した車両用データ通信システムにおいて、
前記中継装置は、不揮発性記憶器(16)を備え、書き換え対象プログラムの書き換えが終了した電子制御装置を特定可能な装置情報を前記不揮発性記憶器に記憶する
車両用データ通信システム。 - 請求項1又は2に記載した車両用データ通信システムにおいて、
前記中継装置は、照合結果要求信号を前記電子制御装置に送信した時点から一定時間内に前記電子制御装置から照合結果応答信号を受信しないと、照合結果要求信号を前記電子制御装置に再度送信する
車両用データ通信システム。 - 請求項3に記載した車両用データ通信システムにおいて、
前記中継装置は、照合結果要求信号を前記電子制御装置に送信した回数の値が設定値を超えると、前記電子制御装置にハードウェア故障が発生したと特定する
車両用データ通信システム。 - 請求項1から4の何れか一項に記載した車両用データ通信システムにおいて、
前記中継装置は、書き換え対象プログラムの書き換えが不正に実施されたと特定すると、不正特定信号を書き換え対象プログラムの書き換えが不正に実施されたと特定した電子制御装置とは別の電子制御装置に送信する
車両用データ通信システム。 - 請求項1から5の何れか一項に記載した車両用データ通信システムにおいて、
表示情報を表示可能な表示装置(5)を備え、
前記中継装置は、書き換え対象プログラムの書き換えが不正に実施されたと特定すると、不正特定信号を前記表示装置に送信し、
前記表示装置は、前記中継装置から不正特定信号を受信すると、書き換え対象プログラムの書き換えが不正に実施された旨を示す表示情報を表示する
車両用データ通信システム。 - 請求項1から6の何れか一項に記載した車両用データ通信システムにおいて、
送信情報をサーバ(40)に送信可能な通信装置(6)を備え、
前記中継装置は、書き換え対象プログラムの書き換えが不正に実施されたと特定すると、不正特定信号を前記通信装置に送信し、
前記通信装置は、前記中継装置から不正特定信号を受信すると、書き換え対象プログラムの書き換えが不正に実施された旨を示す送信情報を前記サーバに送信する
車両用データ通信システム。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
US15/748,394 US10417016B2 (en) | 2016-01-14 | 2016-10-14 | Data communication system for vehicle |
Applications Claiming Priority (2)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2016005238A JP6508067B2 (ja) | 2016-01-14 | 2016-01-14 | 車両用データ通信システム |
JP2016-005238 | 2016-01-14 |
Publications (1)
Publication Number | Publication Date |
---|---|
WO2017122402A1 true WO2017122402A1 (ja) | 2017-07-20 |
Family
ID=59311159
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
PCT/JP2016/080513 WO2017122402A1 (ja) | 2016-01-14 | 2016-10-14 | 車両用データ通信システム |
Country Status (3)
Country | Link |
---|---|
US (1) | US10417016B2 (ja) |
JP (1) | JP6508067B2 (ja) |
WO (1) | WO2017122402A1 (ja) |
Families Citing this family (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US20170232133A1 (en) * | 2016-02-16 | 2017-08-17 | Tamicare Ltd. | Articles and Method for Improved Transfer of Bodily Fluids |
JP2019160107A (ja) * | 2018-03-16 | 2019-09-19 | 日立オートモティブシステムズ株式会社 | 変速機制御装置 |
CN111832012B (zh) * | 2020-07-15 | 2024-04-05 | 北京经纬恒润科技股份有限公司 | 一种ecu及其启动方法 |
Citations (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2000207681A (ja) * | 1999-01-18 | 2000-07-28 | Fujitsu Ten Ltd | 車載端末用プログラムの復旧方式 |
JP2006503509A (ja) * | 2002-10-18 | 2006-01-26 | ジョンソン コントロールズ テクノロジー カンパニー | 遠隔電子システムから車両内で無線ステータス信号を受信するシステム及び方法 |
JP2014220703A (ja) * | 2013-05-09 | 2014-11-20 | 日本放送協会 | アプリケーション配信管理システム及び受信機プログラム |
JP2015079440A (ja) * | 2013-10-18 | 2015-04-23 | 富士通株式会社 | 修正プログラム確認方法、修正プログラム確認プログラム、及び情報処理装置 |
JP2015103163A (ja) * | 2013-11-27 | 2015-06-04 | 株式会社オートネットワーク技術研究所 | プログラム更新システム及びプログラム更新方法 |
Family Cites Families (8)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JPH06223041A (ja) * | 1993-01-22 | 1994-08-12 | Fujitsu Ltd | 広域環境利用者認証方式 |
JP3493141B2 (ja) * | 1998-06-12 | 2004-02-03 | 富士通株式会社 | ゲートウェイシステムおよび記録媒体 |
NO318842B1 (no) * | 2002-03-18 | 2005-05-09 | Telenor Asa | Autentisering og tilgangskontroll |
JP2004128894A (ja) * | 2002-10-02 | 2004-04-22 | Nec Corp | 電子データ送受信システム |
JP2007060467A (ja) * | 2005-08-26 | 2007-03-08 | Fuji Xerox Co Ltd | インターネットファクシミリ中継装置、プログラム、方法、ファクシミリ受信装置 |
JP5949572B2 (ja) | 2013-01-18 | 2016-07-06 | トヨタ自動車株式会社 | 車両不正状態検出方法、車載システムにおける制御方法、およびシステム |
JP5920260B2 (ja) * | 2013-03-19 | 2016-05-18 | 富士ゼロックス株式会社 | 通信システム、中継装置及びプログラム |
JP2016045950A (ja) * | 2014-08-19 | 2016-04-04 | 株式会社リコー | ハードウェアデバイス制御装置、画像形成装置、および制御方法 |
-
2016
- 2016-01-14 JP JP2016005238A patent/JP6508067B2/ja active Active
- 2016-10-14 US US15/748,394 patent/US10417016B2/en active Active
- 2016-10-14 WO PCT/JP2016/080513 patent/WO2017122402A1/ja active Application Filing
Patent Citations (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2000207681A (ja) * | 1999-01-18 | 2000-07-28 | Fujitsu Ten Ltd | 車載端末用プログラムの復旧方式 |
JP2006503509A (ja) * | 2002-10-18 | 2006-01-26 | ジョンソン コントロールズ テクノロジー カンパニー | 遠隔電子システムから車両内で無線ステータス信号を受信するシステム及び方法 |
JP2014220703A (ja) * | 2013-05-09 | 2014-11-20 | 日本放送協会 | アプリケーション配信管理システム及び受信機プログラム |
JP2015079440A (ja) * | 2013-10-18 | 2015-04-23 | 富士通株式会社 | 修正プログラム確認方法、修正プログラム確認プログラム、及び情報処理装置 |
JP2015103163A (ja) * | 2013-11-27 | 2015-06-04 | 株式会社オートネットワーク技術研究所 | プログラム更新システム及びプログラム更新方法 |
Also Published As
Publication number | Publication date |
---|---|
JP6508067B2 (ja) | 2019-05-08 |
JP2017126204A (ja) | 2017-07-20 |
US20180232246A1 (en) | 2018-08-16 |
US10417016B2 (en) | 2019-09-17 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
JP6724717B2 (ja) | 車載機器判定システム | |
US10723361B2 (en) | Monitoring apparatus, communication system, vehicle, monitoring method, and non-transitory storage medium | |
US10049232B2 (en) | Rewrite detection system, rewrite detection device and information processing device | |
WO2017122402A1 (ja) | 車両用データ通信システム | |
JP2005196568A (ja) | 車両の部品管理方法及び装置、車両の部品管理データ更新方法及び装置、並びに車両部品管理センタ | |
CN107833321B (zh) | 一种设备绑定、解绑方法、锁车方法及相关设备 | |
CN110069266B (zh) | 应用升级方法、装置、计算机设备以及存储介质 | |
JP7006335B2 (ja) | 車載通信システム、車載通信方法、およびプログラム | |
JP2012242900A (ja) | 車載制御ユニット | |
US20210034749A1 (en) | Information processing apparatus | |
JP5783013B2 (ja) | 車載通信システム | |
CN110915170A (zh) | Ecu | |
CN112242903A (zh) | 混合设备以及针对混合设备执行安全引导过程的方法 | |
JP6483461B2 (ja) | 管理方法、管理プログラム、管理装置、管理システムおよび情報処理方法 | |
JP6662657B2 (ja) | 車両用監視システム | |
JP7095240B2 (ja) | 電子制御装置 | |
CN110968841A (zh) | 可编程逻辑控制器的激活方法、装置和系统 | |
CN111746464B (zh) | 防盗校验的匹配码生成方法及装置 | |
WO2018037894A1 (ja) | 車両用認証装置 | |
JP6461272B1 (ja) | 制御装置 | |
JP2018121120A (ja) | 通信装置及び通信コントローラ | |
JP2001202266A (ja) | 車載制御ユニットの検査方法 | |
WO2019175940A1 (ja) | 車両制御装置、無効化装置、コンピュータプログラム及び無効化方法 | |
JP7025200B2 (ja) | プログラム制御装置、プログラム制御システムおよびプログラム制御方法 | |
CN114499831B (zh) | 车辆通信系统、通信方法以及记录有通信程序的记录介质 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
121 | Ep: the epo has been informed by wipo that ep was designated in this application |
Ref document number: 16885005 Country of ref document: EP Kind code of ref document: A1 |
|
WWE | Wipo information: entry into national phase |
Ref document number: 15748394 Country of ref document: US |
|
NENP | Non-entry into the national phase |
Ref country code: DE |
|
122 | Ep: pct application non-entry in european phase |
Ref document number: 16885005 Country of ref document: EP Kind code of ref document: A1 |