WO2022130699A1 - 電子制御装置 - Google Patents

電子制御装置 Download PDF

Info

Publication number
WO2022130699A1
WO2022130699A1 PCT/JP2021/031847 JP2021031847W WO2022130699A1 WO 2022130699 A1 WO2022130699 A1 WO 2022130699A1 JP 2021031847 W JP2021031847 W JP 2021031847W WO 2022130699 A1 WO2022130699 A1 WO 2022130699A1
Authority
WO
WIPO (PCT)
Prior art keywords
data block
data
block
update
electronic control
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2021/031847
Other languages
English (en)
French (fr)
Inventor
孝介 角屋
駿 衣笠
雄介 阿部
篤史 弘中
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Astemo Ltd
Original Assignee
Hitachi Astemo Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi Astemo Ltd filed Critical Hitachi Astemo Ltd
Priority to JP2022569710A priority Critical patent/JP7506766B2/ja
Priority to DE112021004928.3T priority patent/DE112021004928T5/de
Priority to US18/254,457 priority patent/US12432062B2/en
Publication of WO2022130699A1 publication Critical patent/WO2022130699A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6209—Protecting access to data via a platform, e.g. using keys or access control rules to a single file or object, e.g. in a secure envelope, encrypted and accessed using a key, or with access control rules appended to the object itself
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/60—Software deployment
    • G06F8/65—Updates
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2107—File encryption

Definitions

  • the present invention relates to an electronic control device mounted on a vehicle.
  • An in-vehicle electronic control device such as an ECU (Electrical Control Unit) is controlled by a microcomputer (hereinafter referred to as a microcomputer).
  • a microcomputer hereinafter referred to as a microcomputer.
  • the ECU controls the target device by executing the control software stored in the flash ROM (Read Only Memory) which is a non-volatile memory.
  • flash ROM Read Only Memory
  • the ECU generally has a means for rewriting the control software written in the memory mounted on the ECU.
  • a means for rewriting the control software written in the memory mounted on the ECU For example, there are the following means: (1) Connect a diagnostic tool to the ECU by wire via an OBD (On-Board Diagnostics) connector, and transmit data to be written to the flash ROM by a signal such as CAN (Control Area Network). Method (conventional method); (2) OTA (Over-The-Air): A method of transmitting updated data to the ECU by wireless communication.
  • updated data may be received while the vehicle is running.
  • the software rewriting time becomes long, and the process may be interrupted due to factors such as the power supply being cut off by the user. In such a case, there is a demand for a resume function that starts from the middle even if software rewriting is interrupted.
  • Patent Document 1 describes the resume function of software rewriting.
  • the data transfer source requests the ECU for the software rewriting start address.
  • the transferred data is divided into several data blocks, encrypted for each data block, and sequentially transmitted to the ECU for each data block.
  • another information for example, an encrypted data block immediately before the transfer start data block
  • the encrypted data block cannot be decrypted on the ECU side only by notifying the data address to be retransmitted as in Patent Document 1.
  • the present invention has been made in view of the above problems, and even when the updated data to be written to the ECU is encrypted, the writing process is appropriate when the writing process is interrupted.
  • the purpose is to provide a technology that can be restarted.
  • the first data block included in the updated data is encrypted using the second data block, and the writing process for writing the first data block to the storage unit is performed. If it is interrupted in the middle, the updated data including both the first data block and the second data block is reacquired, and then the first data block is re-decoded by using the re-acquired second data block. do.
  • the writing process can be appropriately restarted when the writing process is interrupted.
  • FIG. 1 It is a block diagram of the electronic control unit (ECU) 1 which concerns on Embodiment 1.
  • FIG. It is a schematic diagram which shows the state which the update data 3 is encrypted. It is a block diagram of the global header 31. It is a flowchart explaining the resume process in program update. It is a flowchart explaining the process which the update data transmission unit 2 transmits the update data 4. It is a flowchart explaining the detail of S408. It is a flowchart explaining the detail of S603.
  • FIG. It is a block diagram of the ECU 1 which concerns on Embodiment 3.
  • FIG. It is a block diagram of the ECU 1 which concerns on Embodiment 4.
  • FIG. 1 is a block diagram of an electronic control unit (ECU) 1 according to the first embodiment of the present invention.
  • the ECU 1 is mounted on the vehicle.
  • the ECU 1 controls the equipment mounted on the vehicle. Examples of in-vehicle devices include engines, power steering devices, control brake devices, and the like.
  • the ECU 1 controls these devices by executing a control program that implements a process for controlling the in-vehicle devices.
  • the ECU 1 includes a microcomputer 11.
  • the microcomputer 11 has at least one CPU (Central Processing Unit) 12 for executing software, at least one volatile RAM (Random Access Memory) 13, at least one non-volatile memory 15 for holding programs and data, and at least one communication.
  • a unit 14 is provided.
  • the communication unit 14 is connected to an update data transmission unit 2 outside the ECU 1, and receives update data via the update data transmission unit 2 when updating a program.
  • the update data transmission unit 2 may be, for example, a terminal for program update that is preferentially connected to the data communication connector of the vehicle, or may be a server computer that communicates with the ECU 1 by wireless communication. Alternatively, it may be another ECU mounted on the same vehicle.
  • FIG. 2 is a schematic diagram showing how the update data 3 is encrypted.
  • the update data 3 is data including an updated version such as a program executed by the ECU 1.
  • the update data 3 is transmitted to the ECU 1 by wireless communication from, for example, a data center.
  • the update data 3 is configured as, for example, binary data itself stored in the non-volatile memory 15.
  • the update data 3 is composed of a global header 31 and one or more data blocks (data blocks 32, 33, and 3N are exemplified in FIG. 2).
  • the data block is composed of a local header part and a body part (for example, the data block 32 is composed of a local header 321 and a body 322).
  • the size of each data block may be the same or different.
  • the body part of the data block is compressed before being transmitted to the ECU 1.
  • the local header part is not compressed.
  • a local header is added to the compressed body part.
  • Update data 3 is created by concatenating a pair of a local header and a body to form one data, and further adding a global header 31.
  • the local header describes the incidental information of the data block, and the global header describes the incidental information of the entire update data 3. Details of these headers will be described later.
  • the update data 3 is encrypted before being transmitted to the ECU 1 to become the update data 4.
  • the update data 4 has an encrypted data block (data blocks 42, 43, 4N are exemplified in FIG. 2).
  • the global header 31 is added as it is without being encrypted.
  • the encryption algorithm the block cipher is used in this embodiment, but another algorithm may be used. When the block cipher algorithm is used, the update data 4 is encrypted for each data block and then for each block of a certain size.
  • the local header may or may not be encrypted. That is, as will be described later, it suffices if the correspondence between each data block in the update data 4 and the storage address of each data block on the non-volatile memory 15 can be specified. In other words, this correspondence may be described in the global header 31 or in each local header. In the former case, by describing the start address of each data block in the update data 4 in the global header 31, the ECU 1 is between each data block in the update data 4 and the storage destination address in the non-volatile memory 15. Since the correspondence between the two can be specified, each local header may be encrypted. In the latter case, each local header describes the position of the next local header in the update data 4, and by continuing this, the position of each data block in the update data 4 is specified.
  • the local header of the data block describes information that can specify the position (address) in which the data block should be stored in the non-volatile memory 15.
  • the ECU 1 can specify the correspondence relationship between each data block in the update data 4 and the storage destination address in the non-volatile memory 15.
  • the global header 31 is not encrypted.
  • the local header does not necessarily have to be placed at the beginning of the data block, for example, it may be placed at the end of the data block, or it may be placed at an arbitrary position between the beginning and the end.
  • the head of the body of the next data block may be specified, or the local header of the next data block (however, the local header is placed at the head of the data block). (Only when it is) may be specified.
  • FIG. 3 is a configuration diagram of the global header 31.
  • the global header 31 has ROM information 311 and a resume address 312 and an IV (Initial Vector) 313.
  • IV Initial Vector
  • FIG. 3 an example is shown in which the relationship between the data block and the storage destination address in the non-volatile memory 15 (that is, the resume address 312) is stored in the global header 31.
  • the ROM information 311 is information such as the number of blocks constituting the update data 3, the size of the update data 3, and the code indicating the compression / encryption algorithm.
  • the resume address 312 describes the correspondence between the start address of each data block in the update data 3 and the address in which the data block is written in the non-volatile memory 15. The address itself in the non-volatile memory 15 may be described, or other information that can specify the address in the non-volatile memory 15 may be described.
  • IV313 is the information required to decrypt the first encrypted data block (data block 42 in FIG. 2) in the block cipher.
  • the ROM information 311 and the resume address 312 may be included in the local header.
  • the IV 313 may not be included in the global header 31 and may be stored in the non-volatile memory 15 in advance.
  • a part or all of each information in the global header 31 is transmitted to the ECU 1 via the update data transmission unit 2 and then stored in the non-volatile memory 15.
  • the resume address 312 is stored in the non-volatile memory 15, and other information in the global header 31 is not stored.
  • IV313 may be stored in the non-volatile memory 15.
  • FIG. 4 is a flowchart illustrating the resume process in the program update. Each step of FIG. 4 will be described below.
  • the update data transmission unit 2 requests the ECU 1 to transmit the transfer start address of the update data 4.
  • the transfer start address is, for example, an address that specifies from which of the update data 4 the update data 4 is retransmitted to the ECU 1 when the process of writing the update data 4 to the non-volatile memory 15 is interrupted. If it is not interrupted, the start address may be specified.
  • Step S402 The CPU 12 determines whether or not the data block first written to the non-volatile memory 15 is the first data block of the update data 4. This determination can be performed by referring to the write completion block information described later. If the first data block is to be written from now on, the process proceeds to S403, and if a data block other than the first data block is to be written from now on, the process proceeds to S404.
  • Steps S403 and S407 The CPU 12 sets the transfer start request address at the beginning of the update data 4 (S403). The CPU 12 returns the transfer start request address to the update data transmission unit 2 (S407).
  • Steps S404 to S406, S407 The CPU 12 specifies the start address of the area in which the data block in the non-volatile memory 15 has not been written according to the write completion block information (S404).
  • the CPU 12 specifies the corresponding address in the update data 4 according to the specified address (S405). This address becomes the resume address of the update data 4.
  • the correspondence between the address in the non-volatile memory 15 and the address in the update data 4 may be stored in the non-volatile memory 15 in advance, for example.
  • this correspondence relationship is held in advance in the update data transmission unit 2, and the CPU 12 designates the address in the non-volatile memory 15 as the resume address, and the update data transmission unit 2 specifies the correspondence in the update data 4 according to the correspondence relationship. You may specify the address to be used.
  • the CPU 12 sets the resume address as the transfer start request address (S406).
  • the CPU 12 returns the transfer start request address to the update data transmission unit 2 (S407).
  • the position of the data block in the update data 4 may be specified by the address in the update data 4, or may be specified by information other than the address such as the number of the data block. That is, it suffices that at least the information that can specify the correspondence between the data block in the update data 4 and the position in the non-volatile memory 15 can be shared between the update data transmission unit 2 and the ECU 1.
  • Step S408 When the update data transmission unit 2 receives the transfer start request address from the ECU 1, the update data transmission unit 2 transmits the portion of the update data 4 after the transfer start request address to the ECU 1.
  • the CPU 12 receives the update data 4 and writes it to the non-volatile memory 15. Details of this step will be described later.
  • FIG. 5 is a flowchart illustrating a process in which the update data transmission unit 2 transmits the update data 4.
  • the update data transmission unit 2 receives the transfer start request address from the ECU 1, the update data transmission unit 2 starts this flowchart.
  • Each step of FIG. 5 will be described below.
  • Step S501 The update data transmission unit 2 determines whether or not the transfer start request address is the first encrypted data block of the update data 4. If it is the beginning, the process proceeds to S502, and if it is not the beginning, the process proceeds to S503.
  • step S502 The update data transmission unit 2 transmits IV313 used for decrypting the encrypted data block at the beginning of the update data 4 to the ECU 1.
  • the update data transmission unit 2 transmits another encrypted data block used for decrypting the data block of the update data 4 to the ECU 1.
  • the encryption is performed using the encrypted data block immediately before the data block. Therefore, the update data transmission unit 2 transmits the encrypted data block immediately before the data block specified by the transfer start request address to the ECU 1.
  • the update data transmission unit 2 sequentially transmits data to the ECU 1 from the data block designated by the transfer start request address.
  • the ECU 1 can perform decoding of the data block received first by using the data block received in S502 or S503.
  • the previously received data block can be temporarily stored in a RAM 13 or the like, and decoding can be performed using this.
  • the data block used for decoding may be temporarily stored in RAM 13 or the like.
  • FIG. 6 is a flowchart illustrating the details of S408. Each step of FIG. 6 will be described below.
  • the communication unit 14 receives the update data 4 from the update data transmission unit 2.
  • the CPU 12 stores the global header 31 (ROM information 311, resume address 312, IV313) included in the update data 4 in the RAM 13 or the non-volatile memory 15.
  • Step S602 The CPU 12 determines whether or not one or more encrypted data blocks have been received. For example, this determination can be performed based on whether or not the data received from the update data transmission unit 2 has reached the size of the encrypted data block. If one or more encrypted data blocks are received, the process proceeds to S603, and if not received, the process returns to S601 to continue receiving data.
  • Step S603 The CPU 12 decrypts the received encrypted data block.
  • the decoded data is expanded in the RAM 13 or the non-volatile memory 15. The details of the decoding process in this step will be described later.
  • Step S604 The CPU 12 stores the last decrypted encrypted data block in the RAM 13 or the non-volatile memory 15 for use in decrypting the next encrypted data block.
  • Step S605 The CPU 12 determines whether or not one or more compressed data blocks are included in the decoded data. For example, if the decoded data size is less than one compressed data block, it can be determined that there is no compressed data block. If the compressed data block is not included, it returns to S601 and continues to receive data. If the compressed data block is included, the process proceeds to S606.
  • Step S606 The CPU 12 decompresses the compressed data block.
  • Step S607 The CPU 12 determines whether or not the decompressed data has reached the write block size of the non-volatile memory 15. If it has not been reached, the process returns to step S601 to continue receiving data. If it has reached, proceed to S608.
  • Steps S608 to S609 The CPU 12 writes the decompressed data to the non-volatile memory 15 (S608).
  • the CPU 12 stores the write completion data block information indicating that the data block has been written in the non-volatile memory 15 (S609).
  • the write completion data block information can also be used for checking the consistency of the written data block.
  • the CPU 12 may determine whether or not the data block has been normally written by performing error correction processing or the like using the write completion data block information.
  • FIG. 7 is a flowchart illustrating the details of S603.
  • the encryption process and the decryption process use the AES-CBC (Advanced Encryption Standard-Cipher Block Chaining) mode, but the encryption process and the decryption process are not limited to this, and another algorithm may be used. Each step of FIG. 7 will be described below.
  • AES-CBC Advanced Encryption Standard-Cipher Block Chaining
  • Step S701 The CPU 12 determines whether or not the data block to be decrypted is the first encrypted data block (data block 42 in the example of FIG. 2) in the update data 4. If the first encrypted data block is to be decrypted from now on, the process proceeds to S702, and if the second and subsequent encrypted data blocks are to be decrypted from now on, the process proceeds to S704.
  • Step S702 The CPU 12 decrypts the first encrypted data block in the update data 4.
  • the decryption key for example, the same one used in the encryption process for generating the encrypted data block is used.
  • the decryption key may be stored in the non-volatile memory 15 in advance, or may be transmitted to the ECU 1 by another secure method.
  • Step S703 The CPU 12 generates a plaintext block, so-called plain text, by taking an exclusive OR (XOR) between the decrypted encrypted data block and the IV313 stored in the non-volatile memory 15 in S408 of FIG. Can be done.
  • S702 to S703 may be collectively regarded as a decoding process in a broad sense. The same applies to S704 and S705.
  • Step S704 The CPU 12 decrypts the second and subsequent encrypted data blocks in the update data 4.
  • the decryption key is the same as S702.
  • Step S705 The CPU 12 can generate a plaintext block by XORing the decrypted encrypted data block and the encrypted data block stored in the non-volatile memory 15 in S604 of FIG.
  • FIG. 8 is a configuration diagram of the ECU 1 according to the second embodiment of the present invention.
  • the data relay ECU 5 may relay the update data 4.
  • the data relay ECU 5 is a gateway device arranged between the ECU 1 and the update data transmission unit 2, and can be mounted in the same in-vehicle network as the ECU 1.
  • the data relay ECU 5 temporarily saves a copy thereof.
  • the data relay ECU 5 does not decode or decompress the updated data 4.
  • the update data transmission unit 2 in the first embodiment can be replaced with the data relay ECU 5, and the resume can be realized by the same method as the first embodiment.
  • the update data 4 may be retransmitted between the update data transmission unit 2 and the data relay ECU 5. Since the data relay ECU 5 does not decode or decompress the update data 4, the retransmission start address may be simply immediately after the address range saved in the data relay ECU 5.
  • FIG. 9 is a block diagram of the ECU 1 according to the third embodiment of the present invention.
  • the update data 4 may be stored in a non-volatile storage device such as a flash memory 17 arranged outside the microcomputer 11 instead of the non-volatile memory 15.
  • the microcomputer 11 accesses the flash memory 17 via an interface such as the serial communication unit 16 and writes the data block obtained by decoding / decompressing the update data 4.
  • FIG. 10 is a block diagram of the ECU 1 according to the fourth embodiment of the present invention.
  • the present invention can be applied even when the ECU 1 includes two or more microcomputers 11 as shown in FIG. Specifically, one of the microcomputers 11 receives the update data 4.
  • the data block obtained by decompression / decoding from the update data 4 is shared by the other microcomputers 11 via the inter-microcomputer communication unit 18.
  • the ECU 1 is an electronic control device mounted on a vehicle, a calculation unit that executes a program that implements a process for controlling the equipment mounted on the vehicle, and an update used to update the program.
  • the first data block including a communication unit for receiving data and a storage unit for storing the program, and the first data block included in the update data is a second data block included in the update data and different from the first data block.
  • the calculated unit decodes the updated data by decoding the first data block using the second data block, and the arithmetic unit decodes the decoded first data block.
  • the updated data including both the first data block and the second data block is reacquired, and then the reacquired data is performed.
  • the second data block is used to re-decode the first data block.
  • the decoded data which is the target data of the writing process, will be lost. Therefore, when the writing process is restarted, it is necessary to perform the decoding process again, and this decoding process requires not only the block to be decoded but also another block used for decoding. Therefore, when resuming the writing process, not only the block to be the writing process but also the block used for the decoding is instructed to be retransmitted. As a result, the decryption process is appropriately performed, and the write process can be restarted.
  • the first data block is arranged after the second data block in the update data
  • the calculation unit is the first data when the writing process is interrupted in the middle.
  • the update data including both the first data block and the second data block by reacquiring the update data from an address that traces back the difference between the start address of the block and the start address of the second data block. May be configured to reacquire.
  • the arithmetic unit when the first data block and the second data block are reacquired together, specifies a resume address representing the position of the first data block, and then requests the reacquisition. Upon transmission, the arithmetic unit acquires the first data block from the address corresponding to the resume address among the re-acquired update data, and the second data from the address traced back by the difference from the resume address. It may be configured to acquire a block.
  • the resume address of the block to be decrypted is specified, the resume address of both the block to be decrypted and the other block required for decryption can be resumed by setting in advance that another block used for decryption is also transmitted. You do not have to specify. This makes it possible to avoid complicated processing on the ECU 1 side.
  • the update data is subjected to the encryption after being compressed, and the calculation unit performs the decompression process after the update data is decrypted.
  • One data block and the second data block may be acquired from the updated data.
  • the electronic control device further includes an initialization vector storage unit that stores an initialization vector used for decrypting the first encrypted data block in the update data, and the calculation unit is the initialization unit.
  • the initialization vector stored in advance in the encryption vector storage unit may be used to decrypt the first encrypted data block in the update data. By performing an encryption process that requires an initialization vector during the decryption process, more secure data transfer can be performed.
  • this initialization vector is included in the update data, it is not necessary to have the initialization vector on the vehicle side in advance, and it is easy to change the setting such as changing the initialization vector for each specification.
  • the initialization vector is provided in advance on the vehicle side, the transmitted initialization vector does not disappear even when the reason for interrupting the writing process is such as power interruption.
  • the update data includes an initialization vector used to decrypt the first encrypted data block in the update data, and the arithmetic unit uses the initialization vector in the update data. It may be configured to decrypt the first encrypted data block of. Thereby, even when an algorithm for performing decryption using another data block is used, the first encrypted data block can be appropriately decrypted.
  • the initialization vector is included in the header portion at the beginning of the update data, and the calculation unit is in the case where the second data block is the first encrypted data block in the update data. Decodes the second data block using the initialization vector.
  • the initialization vector is included in the global header, which is sent first when sending the update data, so you can be sure to use the initialization vector when decoding the first data block to be decoded. can.
  • the electronic control device further includes a memory for temporarily storing the second data block used by the calculation unit when decoding the update data, and the calculation unit decodes the first data block.
  • the second data block is stored in the memory in advance, and when the writing process is interrupted, the calculation unit reacquires the first data block and the second data from the memory. Reacquire the block. Since another block used for decoding is stored in the memory in advance, the decoding process may be performed by reading another block stored in the memory when performing the decoding process of the block to be decoded. For example, when manufacturing an electronic controller mounted on a vehicle, by storing the initialization vector in the memory in this electronic controller, the initialization vector is used during the decoding process without including the initialization vector in the update data. can do.
  • the update data includes a first data block next to the second data block, and the calculation unit writes the second data block to the storage unit and then writes the first data block. If the process of writing to the storage unit is interrupted, the process of writing the updated data to the storage unit may be restarted from the first data block. Since the write process is restarted from the second data block next to the first data block in which the write process is completed, data transmission and write can be minimized, and efficient write process can be performed. ..
  • the electronic control device further includes a memory for storing write completion block information indicating that the data block of the update data has been written to the storage unit, and the calculation unit is the storage unit.
  • the write completion block information regarding the data block whose writing is completed is stored in the memory, and the calculation unit stores the first data block in the storage unit.
  • the process of writing the update data to the storage unit may be restarted from the first data block.
  • the calculation unit may be configured to diagnose whether or not the update data has been normally written to the storage unit according to the write completion block information. By determining the abnormality of the write process, it is possible to perform a safer write process, that is, a safe program data update process.
  • the vehicle is equipped with a gateway device that temporarily stores the updated data and transfers the temporarily stored update data to the electronic control device, and the communication unit communicates via the gateway device.
  • the gateway device may be configured to reacquire the update data temporarily stored. After the update data is once stored in the gateway, communication between the update data transmission unit 2 and the vehicle becomes unnecessary, so that the program data can be updated regardless of the communication state. Further, since the update data stored in the gateway is used when the writing process is restarted, there is no need to perform communication between the electronic terminal and the vehicle again.
  • the update data includes an initialization vector used to decrypt the first encrypted data block in the update data
  • the calculation unit has the second data block first in the update data.
  • the second data block may be decrypted by acquiring the second data block and the initialization vector together.
  • the decryption process can be appropriately performed by also transmitting the initialization vector required for the decryption process performed before the write process.
  • the update data includes an initialization vector used to decrypt the first encrypted data block in the update data
  • the first data block is the second data block in the update data.
  • the arithmetic unit decodes the first data block by acquiring the first data block and the second data block together. It may be configured to be used.
  • another block is required during the decryption process, so that the decryption process can be appropriately performed by transmitting this block as well.
  • the present invention is not limited to the above embodiment, and includes various modifications.
  • the above-described embodiment has been described in detail in order to explain the present invention in an easy-to-understand manner, and is not necessarily limited to the one including all the described configurations.
  • it is possible to replace a part of the configuration of one embodiment with the configuration of another embodiment and it is also possible to add the configuration of another embodiment to the configuration of one embodiment.
  • the data to be written to the non-volatile memory 15 and the flash memory 17 may remain compressed.
  • the CPU 12 when the CPU 12 uses the compressed data, it may be dynamically decompressed and temporarily stored in the RAM 13, and the decompressed data may be read from the RAM 13 and executed.
  • the microcomputer 11 that first receives the update data 4 may decode the update data 4 and then transmit the decoded data to the other microcomputer 11, or the update data 4 may be transmitted to the other microcomputer 11 as it is. Then, each microcomputer 11 may decode it by itself.
  • ECU 11 Microcomputer 12: CPU 13: RAM 14: Communication unit 15: Non-volatile memory 16: Serial communication unit 17: Flash memory 18: Inter-microcomputer communication unit 2: Update data transmission unit 3: Update data 31: Global headers 321 to 3N1: Local headers 322 to 3N2: Body 4 : Update data 42-4N: Encrypted data block 5: Data relay ECU

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Computer Hardware Design (AREA)
  • Stored Programmes (AREA)
  • Storage Device Security (AREA)

Abstract

本発明は、ＥＣＵに対して書き込む更新版データが暗号化されている場合であっても、書き込み処理が途中中断したときその書き込み処理を適切に再開することができる技術を提供することを目的とする。本発明に係る電子制御装置において、更新データ内に含まれる第１データブロックは第２データブロックを用いて暗号化されており、前記第１データブロックを前記記憶部に対して書き込む書込処理が途中中断した場合は、前記第１データブロックと前記第２データブロックをともに含む前記更新データを再取得した上で、前記再取得した前記第２データブロックを用いて前記第１データブロックを再復号する。

Description

電子制御装置
　本発明は、車両に搭載される電子制御装置に関する。
　ＥＣＵ（Ｅｌｅｃｔｒｉｃａｌ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）などの車載電子制御装置は、マイクロコンピュータ（以下、マイコン）により制御されている。マイコンには様々な機能が割り当てられており、さらにそれらに対応した外部回路が設けられている。ＥＣＵは、不揮発性メモリであるフラッシュＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）に記憶されている制御ソフトウェアを実行することにより、対象装置を制御する。自動車においては、例えば、エンジンの燃料噴射・点火を制御する。
　ＥＣＵは一般に、ＥＣＵに搭載されているメモリに書き込まれている制御ソフトウェアを書き換える手段を有する。例えば以下のような手段がある：（１）ＯＢＤ（Ｏｎ－Ｂｏａｒｄ　Ｄｉａｇｎｏｓｔｉｃ）コネクタを介して有線で診断ツールをＥＣＵへ接続し、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）などの信号によってフラッシュＲＯＭに書き込むデータを送信する方式（従来からの方式）；（２）ＯＴＡ（Ｏｖｅｒ－Ｔｈｅ－Ａｉｒ）：無線通信によって更新版データをＥＣＵへ送信する方式。
　ＯＴＡによるソフトウェア書き換えにおいては、車両走行中に更新版データを受領することがある。この方式においては、実行中の他の制御に影響を与えないように、バックグラウンドで少しずつデータを転送する必要がある。このとき、ソフトウェア書き換えの時間が長くなり、例えばユーザによって電源供給が断たれてしまうなどの要因によって、プロセスが中断される可能性がある。このようなケースにおいて、ソフトウェア書き換えを中断しても途中から開始するリジューム機能が求められている。
　下記特許文献１は、ソフトウェア書き換えのリジューム機能について記載している。同文献においては、ソフトウェア書き換え中断後にデータ転送元からＥＣＵへソフトウェア書き換え開始アドレスを要求する。
特開２０１７－０９７５７６号公報
　ＥＣＵのソフトウェア書き換えにおいては、診断ツールなどのデータ転送元と、書き換え対象のＥＣＵとの間で通信する。特にＯＴＡ方式においては、無線通信を用いてデータを転送するので、セキュリティの観点から転送データを暗号化することの重要性が高まっている。
　暗号化されていないデータを使ったソフトウェア書き換えをリジュームする場合、特許文献１のようにソフトウェア書き換え完了済みのデータ位置から再開すればよい。したがって、中断後はデータ転送元からの再開位置問い合わせメッセージに対して、書き換え完了済み位置の次のアドレスを開始アドレスとして返答すればよい。
　他方で更新版データが暗号化されている場合は、転送データをいくつかのデータブロックに分割してそのデータブロックごとに暗号化を施し、データブロックごとに順次ＥＣＵへ送信する。データを受け取ったＥＣＵ側では、復号処理のために別の情報（例えば、転送開始データブロックの１つ前の暗号化データブロック）が必要になる。そうすると、特許文献１のように再送するデータアドレスを通知するのみでは、暗号化されたデータブロックをＥＣＵ側において復号することができない。
　本発明は、上記のような課題に鑑みてなされたものであり、ＥＣＵに対して書き込む更新版データが暗号化されている場合であっても、書き込み処理が途中中断したときその書き込み処理を適切に再開することができる技術を提供することを目的とする。
　本発明に係る電子制御装置において、更新データ内に含まれる第１データブロックは第２データブロックを用いて暗号化されており、前記第１データブロックを前記記憶部に対して書き込む書込処理が途中中断した場合は、前記第１データブロックと前記第２データブロックをともに含む前記更新データを再取得した上で、前記再取得した前記第２データブロックを用いて前記第１データブロックを再復号する。
　本発明に係る電子制御装置によれば、ＥＣＵに対して書き込む更新版データが暗号化されている場合であっても、書き込み処理が途中中断したときその書き込み処理を適切に再開することができる。
実施形態１に係る電子制御装置（ＥＣＵ）１の構成図である。 更新データ３を暗号化する様子を示す模式図である。 グローバルヘッダ３１の構成図である。 プログラム更新におけるリジューム処理を説明するフローチャートである。 更新データ送信部２が更新データ４を送信する処理を説明するフローチャートである。 Ｓ４０８の詳細を説明するフローチャートである。 Ｓ６０３の詳細を説明するフローチャートである。 実施形態２に係るＥＣＵ１の構成図である。 実施形態３に係るＥＣＵ１の構成図である。 実施形態４に係るＥＣＵ１の構成図である。
＜実施の形態１＞
　図１は、本発明の実施形態１に係る電子制御装置（ＥＣＵ）１の構成図である。ＥＣＵ１は、車両に搭載されている。ＥＣＵ１は、車両が搭載している機器を制御する。車載機器の例としては、エンジン、パワーステアリング装置、制御ブレーキ装置、などが挙げられる。ＥＣＵ１は、車載機器を制御する処理を実装した制御プログラムを実行することにより、これら機器を制御する。
　ＥＣＵ１は、マイコン１１を備える。マイコン１１は、ソフトウェアを実行する少なくとも１つのＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｏｒ　Ｕｎｉｔ）１２、少なくとも１つの揮発性ＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）１３、プログラムやデータを保持する少なくとも１つの不揮発性メモリ１５、少なくとも１つの通信部１４、を備える。通信部１４は、ＥＣＵ１の外部にある更新データ送信部２と接続されており、プログラム更新時においては更新データ送信部２を介して更新データを受け取る。
　更新データ送信部２は、例えば、車両のデータ通信用コネクタに優先で接続されたプログラム更新用の端末であってもよいし、無線通信によってＥＣＵ１と通信するサーバコンピュータであってもよい。あるいは同じ車両が搭載している別のＥＣＵであってもよい。
　図２は、更新データ３を暗号化する様子を示す模式図である。更新データ３は、ＥＣＵ１が実行するプログラムなどの更新版を含むデータである。更新データ３は、例えばデータセンタなどからＥＣＵ１に対して無線通信によって送信される。更新データ３は、例えば不揮発性メモリ１５が格納するバイナリデータそのものとして構成されている。
　更新データ３は、グローバルヘッダ３１と、１以上のデータブロック（図２においてはデータブロック３２、３３、３Ｎを例示した）とによって構成されている。データブロックは、ローカルヘッダ部とボディ部によって構成されている（例えばデータブロック３２はローカルヘッダ３２１とボディ３２２によって構成されている）。各データブロックのサイズは同じであってもよいし異なってもよい。
　データブロックのボディ部は、ＥＣＵ１に対して送信する前に圧縮される。ローカルヘッダ部は圧縮されない。圧縮したボディ部に対してローカルヘッダが付与される。ローカルヘッダとボディのペアを連結して１つのデータを形成し、さらにグローバルヘッダ３１を付与することにより、更新データ３が作成される。ローカルヘッダはデータブロックの付帯情報を記述しており、グローバルヘッダは更新データ３全体の付帯情報を記述している。これらヘッダの詳細については後述する。
　更新データ３は、ＥＣＵ１に対して送信する前に暗号化され、更新データ４となる。更新データ４は、暗号化されたデータブロック（図２においてはデータブロック４２、４３、４Ｎを例示した）を有する。グローバルヘッダ３１は暗号化されずにそのまま付与される。暗号アルゴリズムは、本実施形態においてはブロック暗号を用いるが、別のアルゴリズムでもよい。ブロック暗号アルゴリズムを使用する場合、更新データ４は、データブロックごとに暗号化した後、さらにある大きさのブロックごとに暗号化される。
　ローカルヘッダは、暗号化してもよいししなくてもよい。すなわち、後述するように更新データ４内の各データブロックと、不揮発性メモリ１５上の各データブロックの格納アドレスとの間の対応関係を特定することができればよい。換言すると、この対応関係はグローバルヘッダ３１内に記述してもよいし、各ローカルヘッダ内に記述してもよい。前者の場合は、更新データ４内における各データブロックの開始アドレスをグローバルヘッダ３１内に記述することにより、ＥＣＵ１は更新データ４内の各データブロックと不揮発性メモリ１５内の格納先アドレスとの間の対応関係を特定できるので、各ローカルヘッダを暗号化してもよい。後者の場合は、各ローカルヘッダは更新データ４内における次のローカルヘッダの位置を記述し、これを連続することによって更新データ４内の各データブロックの位置を特定する。データブロックのローカルヘッダは、不揮発性メモリ１５内においてそのデータブロックを格納すべき位置（アドレス）を特定することができる情報を記述する。これによりＥＣＵ１は、更新データ４内の各データブロックと不揮発性メモリ１５内の格納先アドレスとの間の対応関係を特定できる。いずれの場合においても、グローバルヘッダ３１は暗号化されない。
　ローカルヘッダは、必ずしもデータブロックの先頭に配置する必要はなく、例えばデータブロックの末尾に配置してもよいし、先頭と末尾との間の任意位置に配置してもよい。ローカルヘッダが次のデータブロックの位置を指定する方法としては、次のデータブロックのボディの先頭を指定してもよいし、次のデータブロックのローカルヘッダ（ただしローカルヘッダがデータブロックの先頭に配置されている場合に限る）を指定してもよい。
　図３は、グローバルヘッダ３１の構成図である。グローバルヘッダ３１は、ＲＯＭ情報３１１、リジュームアドレス３１２、ＩＶ（Ｉｎｉｔｉａｌ　Ｖｅｃｔｏｒ）３１３を有する。ここではグローバルヘッダ３１内にデータブロックと不揮発性メモリ１５内の格納先アドレスとの間の関係（すなわちリジュームアドレス３１２）を格納する例を示した。
　ＲＯＭ情報３１１は、更新データ３を構成するブロックの個数、更新データ３のサイズ、圧縮・暗号化アルゴリズムを示すコード、などの情報である。リジュームアドレス３１２は、更新データ３内の各データブロックの先頭アドレスと、不揮発性メモリ１５内の当該データブロックを書き込むアドレスとの間の対応関係を記述している。不揮発性メモリ１５内のアドレスそのものを記述してもよいし、不揮発性メモリ１５内のアドレスを特定できる他の情報を記述してもよい。ＩＶ３１３は、ブロック暗号において最初の暗号化データブロック（図２においてはデータブロック４２）を復号するために必要となる情報である。ＲＯＭ情報３１１やリジュームアドレス３１２は、ローカルヘッダに含めてもよい。ＩＶ３１３はグローバルヘッダ３１内に含めず、あらかじめ不揮発性メモリ１５に保存しておいてもよい。
　グローバルヘッダ３１が記述している更新データ３内のアドレスは、更新データ４においても同じ値が用いられる（グローバルヘッダ３１は更新データ３と４との間で共通であるため）。したがって、更新データ３を暗号化するとき、各データブロックのサイズを変えないことが望ましい。例えばデータブロックのサイズが変わらない暗号化アルゴリズムを用いることが望ましい。ブロック暗号はその１例である。これに対して更新データ３を暗号化するとき、各データブロックのサイズが変化する場合は、その変化をリジュームアドレス３１２に対して反映する必要がある。
　グローバルヘッダ３１内の各情報の一部またはすべては、更新データ送信部２を介してＥＣＵ１に対して送信された後、不揮発性メモリ１５内に保存される。本実施形態においては、ＥＣＵ１が更新データ４を受け取ったとき、リジュームアドレス３１２が不揮発性メモリ１５内に保存され、グローバルヘッダ３１内の他の情報は保存されないものとするが、これに代えてあるいはこれに加えて、例えばＩＶ３１３を不揮発性メモリ１５内に保存してもよい。
　図４は、プログラム更新におけるリジューム処理を説明するフローチャートである。以下図４の各ステップを説明する。
（図４：ステップＳ４０１）
　リジューム処理がスタートすると、更新データ送信部２はＥＣＵ１に対して、更新データ４の転送開始アドレスを送信するように要求する。転送開始アドレスは、例えば更新データ４を不揮発性メモリ１５へ書き込む処理が途中中断された場合、更新データ４のうちどこからＥＣＵ１に対して再送するかを指定するアドレスである。途中中断していない場合は先頭アドレスを指定すればよい。
（図４：ステップＳ４０２）
　ＣＰＵ１２は、不揮発性メモリ１５に対して最初に書き込むデータブロックが、更新データ４の先頭データブロックであるか否かを判定する。この判定は、後述する書き込み完了ブロック情報を参照することにより、実施できる。先頭データブロックをこれから書き込む場合はＳ４０３へ進み、先頭データブロック以外のデータブロックをこれから書き込む場合はＳ４０４へ進む。
（図４：ステップＳ４０３、Ｓ４０７）
　ＣＰＵ１２は、転送開始要求アドレスを更新データ４の先頭にセットする（Ｓ４０３）。ＣＰＵ１２は、転送開始要求アドレスを更新データ送信部２へ返答する（Ｓ４０７）。
（図４：ステップＳ４０４～Ｓ４０６、Ｓ４０７）
　ＣＰＵ１２は、書き込み完了ブロック情報にしたがって、不揮発性メモリ１５内のデータブロックを書き込み完了していない領域の先頭アドレスを特定する（Ｓ４０４）。ＣＰＵ１２は、特定したアドレスにしたがって、更新データ４内の対応するアドレスを特定する（Ｓ４０５）。このアドレスが更新データ４のリジュームアドレスとなる。不揮発性メモリ１５内のアドレスと更新データ４内のアドレスとの間の対応関係は、例えばあらかじめ不揮発性メモリ１５内に格納しておけばよい。あるいはこの対応関係を更新データ送信部２においてあらかじめ保持しておき、ＣＰＵ１２は不揮発性メモリ１５内のアドレスをリジュームアドレスとして指定するとともに更新データ送信部２においてその対応関係にしたがって更新データ４内の対応するアドレスを特定してもよい。ＣＰＵ１２は、そのリジュームアドレスを転送開始要求アドレスとしてセットする（Ｓ４０６）。ＣＰＵ１２は、転送開始要求アドレスを更新データ送信部２へ返答する（Ｓ４０７）。
（図４：ステップＳ４０５：補足）
　更新データ４内のデータブロックの位置は、更新データ４内のアドレスによって特定してもよいし、例えばデータブロックの番号などのようにアドレス以外の情報によって特定してもよい。すなわち、少なくとも更新データ４内のデータブロックと不揮発性メモリ１５内の位置との間の対応関係を特定できる情報を、更新データ送信部２とＥＣＵ１との間で共有できればよい。
（図４：ステップＳ４０８）
　更新データ送信部２は、転送開始要求アドレスをＥＣＵ１から受領すると、更新データ４の転送開始要求アドレス以降の部分をＥＣＵ１に対して送信する。ＣＰＵ１２は、更新データ４を受け取って不揮発性メモリ１５へ書き込む。本ステップの詳細は後述する。
　図５は、更新データ送信部２が更新データ４を送信する処理を説明するフローチャートである。更新データ送信部２は、ＥＣＵ１から転送開始要求アドレスを受信すると、本フローチャートを開始する。以下図５の各ステップを説明する。
（図５：ステップＳ５０１）
　更新データ送信部２は、転送開始要求アドレスが更新データ４の先頭の暗号化データブロックであるか否かを判定する。先頭である場合はＳ５０２へ進み、先頭ではない場合はＳ５０３へ進む。
（図５：ステップＳ５０２）
　更新データ送信部２は、更新データ４の先頭の暗号化データブロックを復号するために用いるＩＶ３１３を、ＥＣＵ１に対して送信する。
（図５：ステップＳ５０３）
　更新データ送信部２は、更新データ４のデータブロックを復号するために用いる別の暗号化データブロックを、ＥＣＵ１に対して送信する。典型的には、データブロックを暗号化する際に、その１つ前の暗号化済データブロックを用いて暗号化を実施する。したがって更新データ送信部２は、転送開始要求アドレスが指定するデータブロックの１つ前の暗号化データブロックを、ＥＣＵ１に対して送信する。
（図５：ステップＳ５０４）
　更新データ送信部２は、転送開始要求アドレスが指定するデータブロックから順次、ＥＣＵ１に対して送信する。ＥＣＵ１は、最初に受信するデータブロックについては、Ｓ５０２またはＳ５０３において受信するデータブロックを用いて、復号を実施できる。それ以後のデータブロックについては、１つ前に受信したデータブロックをＲＡＭ１３などに一時保存しておき、これを用いて復号を実施できる。１つ前に受信したデータブロック以外のデータブロックを復号において用いる場合は、復号のために用いるデータブロックをＲＡＭ１３などに一時保存しておけばよい。
　図６は、Ｓ４０８の詳細を説明するフローチャートである。以下図６の各ステップについて説明する。
（図６：ステップＳ６０１）
　通信部１４は、更新データ送信部２から更新データ４を受信する。ＣＰＵ１２は、更新データ４に含まれるグローバルヘッダ３１（ＲＯＭ情報３１１、リジュームアドレス３１２、ＩＶ３１３）を、ＲＡＭ１３または不揮発性メモリ１５に格納する。
（図６：ステップＳ６０２）
　ＣＰＵ１２は、暗号化データブロックを１つ以上受信したか否かを判定する。例えば更新データ送信部２から受信したデータが暗号化データブロックのサイズに達しているか否かに基づき、この判定を実施できる。暗号化データブロックを１つ以上受信した場合はＳ６０３へ進み、未受信である場合はＳ６０１へ戻って引き続きデータを受信する。
（図６：ステップＳ６０３）
　ＣＰＵ１２は、受信した暗号化データブロックを復号する。復号したデータは、ＲＡＭ１３または不揮発性メモリ１５に展開する。本ステップの復号処理の詳細については後述する。
（図６：ステップＳ６０４）
　ＣＰＵ１２は、最後に復号した暗号化データブロックを、次の暗号化データブロックの復号に使用するために、ＲＡＭ１３または不揮発性メモリ１５に保存しておく。
（図６：ステップＳ６０５）
　ＣＰＵ１２は、復号したデータ内に圧縮データブロックが１つ以上含まれているか否かを判定する。例えば復号したデータサイズが圧縮データブロック１つ分に満たなければ、圧縮データブロックがないと判定することができる。圧縮データブロックが含まれていない場合は、Ｓ６０１へ戻って引き続きデータを受信する。圧縮データブロックが含まれている場合はＳ６０６へ進む。
（図６：ステップＳ６０６）
　ＣＰＵ１２は、圧縮データブロックを解凍する。
（図６：ステップＳ６０７）
　ＣＰＵ１２は、解凍したデータが不揮発性メモリ１５の書き込みブロックサイズに達しているか否かを判定する。達していない場合は、ステップＳ６０１に戻って引き続きデータを受信する。達している場合はＳ６０８へ進む。
（図６：ステップＳ６０８～Ｓ６０９）
　ＣＰＵ１２は、解凍したデータを不揮発性メモリ１５に書き込む（Ｓ６０８）。ＣＰＵ１２は、当該データブロックを書き込み完了したことを表す書き込み完了データブロック情報を、不揮発性メモリ１５に保存する（Ｓ６０９）。
（図６：ステップＳ６０９：補足）
　書き込み完了データブロック情報は、書き込んだデータブロックの整合性チェックのために用いることもできる。例えば書き込み完了データブロック情報を用いて誤り訂正処理などを実施することにより、データブロックを正常に書き込み完了したか否かをＣＰＵ１２が判断してもよい。
　図７は、Ｓ６０３の詳細を説明するフローチャートである。本実施形態において、暗号化処理および復号処理は、ＡＥＳ－ＣＢＣ（Ａｄｖａｎｃｅｄ　Ｅｎｃｒｙｐｔｉｏｎ　Ｓｔａｎｄａｒｄ－Ｃｉｐｈｅｒ　Ｂｌｏｃｋ　Ｃｈａｉｎｉｎｇ）モードを利用しているが、これに限らず、別のアルゴリズムを用いてもよい。以下図７の各ステップについて説明する。
（図７：ステップＳ７０１）
　ＣＰＵ１２は、これから復号するデータブロックが更新データ４内の最初の暗号化データブロック（図２の例においてはデータブロック４２）であるか否かを判定する。最初の暗号化データブロックをこれから復号する場合はＳ７０２へ進み、２つ目以降の暗号化データブロックをこれから復号する場合はＳ７０４へ進む。
（図７：ステップＳ７０２）
　ＣＰＵ１２は、更新データ４内の最初の暗号化データブロックを復号する。復号鍵は、例えば暗号化データブロックを生成するための暗号化処理において用いられたものと同じものを用いる。復号鍵は、あらかじめ不揮発性メモリ１５に保存しておいてもよいし、別の安全な方法でＥＣＵ１に対して送信するようにしてもよい。
（図７：ステップＳ７０３）
　ＣＰＵ１２は、復号された暗号化データブロックと、図４のＳ４０８において不揮発性メモリ１５に保存したＩＶ３１３との排他的論理和（ＸＯＲ）を取ることにより、いわゆるプレーンテキストと呼ばれる平文ブロックを生成することができる。Ｓ７０２～Ｓ７０３をまとめて広義の復号処理とみなしてもよい。Ｓ７０４とＳ７０５についても同様である。
（図７：ステップＳ７０４）
　ＣＰＵ１２は、更新データ４内の２つ目以降の暗号化データブロックを復号する。復号鍵についてはＳ７０２と同様である。
（図７：ステップＳ７０５）
　ＣＰＵ１２は、復号された暗号化データブロックと、図６のＳ６０４において不揮発性メモリ１５に保存した暗号化データブロックとのＸＯＲを取ることにより、平文ブロックを生成することができる。
＜実施の形態２＞
　図８は、本発明の実施形態２に係るＥＣＵ１の構成図である。ＥＣＵ１が更新データ４を更新データ送信部２から受け取る際に、データ中継ＥＣＵ５が更新データ４を中継してもよい。例えばデータ中継ＥＣＵ５は、ＥＣＵ１と更新データ送信部２との間に配置されたゲートウェイ装置であり、ＥＣＵ１と同じ車内ネットワーク内に搭載することができる。データ中継ＥＣＵ５は、更新データ４を受け取ると、そのコピーをいったん保存する。データ中継ＥＣＵ５は、更新データ４の復号や解凍を実施しない。
　データ中継ＥＣＵ５が、更新データ４の全てを滞りなく受信できた場合は、実施形態１における更新データ送信部２をデータ中継ＥＣＵ５に置き替え、実施形態１と同様の方法でリジュームが実現できる。
　データ中継ＥＣＵ５が更新データ４を保存している途中で異常が発生してしまった場合は、更新データ送信部２とデータ中継ＥＣＵ５との間で更新データ４を再送すればよい。データ中継ＥＣＵ５は更新データ４の復号や解凍をしないので、再送開始アドレスは、単純にデータ中継ＥＣＵ５に保存できたアドレス範囲の直後とすればよい。
＜実施の形態３＞
　図９は、本発明の実施形態３に係るＥＣＵ１の構成図である。更新データ４は、不揮発性メモリ１５に代えて、マイコン１１の外部に配置されたフラッシュメモリ１７などの不揮発性記憶装置へ格納してもよい。この場合はマイコン１１がシリアル通信部１６などのインターフェースを介してフラッシュメモリ１７へアクセスし、更新データ４を復号・解凍することによって得たデータブロックを書き込む。
＜実施の形態４＞
　図１０は、本発明の実施形態４に係るＥＣＵ１の構成図である。図１０のようにＥＣＵ１が２つ以上のマイコン１１を備える場合においても、本発明を適用することができる。具体的には、いずれかのマイコン１１が更新データ４を受信する。更新データ４から解凍・復号によって得たデータブロックを、マイコン間通信部１８を介してその他のマイコン１１が共有する。
＜まとめ＞
　本発明に係るＥＣＵ１は、車両に搭載される電子制御装置であって、前記車両が搭載している機器を制御する処理を実装したプログラムを実行する演算部、前記プログラムを更新するために用いる更新データを受信する通信部、前記プログラムを記憶する記憶部、を備え、前記更新データ内に含まれる第１データブロックは、前記更新データ内に含まれ前記第１データブロックとは異なる第２データブロックを用いて暗号化されており、前記演算部は、前記第２データブロックを用いて前記第１データブロックを復号することにより、前記更新データを復号し、前記演算部は、前記復号した前記第１データブロックを前記記憶部に対して書き込む書込処理が途中中断した場合は、前記第１データブロックと前記第２データブロックをともに含む前記更新データを再取得した上で、前記再取得した前記第２データブロックを用いて前記第１データブロックを再復号する。例えば、電源の遮断等により書き込み処理が中断された場合、書き込み処理の対象データである復号データが消失する虞がある。よって、書き込み処理を再開する際には、再度、復号処理を行う必要があり、この復号処理には、復号するブロックだけでなく、復号のために用いる別のブロックも必要となる。そこで、書き込み処理の再開をする際、書き込み処理の対象となるブロックだけでなく、復号のために用いるブロックも併せて再送を指示する。これにより、適切に復号処理が行われ、書き込み処理を再開することができる。
　このようなＥＣＵ１において、前記第１データブロックは、前記更新データ内において前記第２データブロックの後に配置されており、前記演算部は、前記書込処理が途中中断した場合は、前記第１データブロックの開始アドレスと前記第２データブロックの開始アドレスとの間の差分を遡ったアドレスから前記更新データを再取得することにより、前記第１データブロックと前記第２データブロックをともに含む前記更新データを再取得する構成としてもよい。復号のために用いるブロックとして、復号対象ブロックの直前のデータブロックを用いることにより、暗号利用モードに準じた暗号化処理を適用することができる。
　ＥＣＵ１において、前記演算部は、前記第１データブロックと前記第２データブロックを併せて再取得するとき、前記第１データブロックの位置を表すリジュームアドレスを指定した上で、前記再取得のリクエストを発信し、前記演算部は、前記再取得した前記更新データのうち前記リジュームアドレスに対応するアドレスから前記第１データブロックを取得するとともに、前記リジュームアドレスから前記差分だけ遡ったアドレスから前記第２データブロックを取得する構成としてもよい。復号対象ブロックのリジュームアドレスを指定すると、復号のために用いる別ブロックも併せて送信されるようにあらかじめ設定しておくことにより、復号対象ブロックと復号のために必要な別ブロックの両方のリジュームアドレスを指定しなくともよい。これによりＥＣＵ１側における煩雑な処理を回避できる。
　ＥＣＵ１において、前記更新データは、圧縮処理を施された後に前記暗号化を施されており、前記演算部は、前記更新データに対して復号を実施した後に解凍処理を実施することにより、前記第１データブロックと前記第２データブロックを前記更新データから取得する構成としてもよい。暗号化処理の前に圧縮処理を行うことにより、より高い圧縮効果を得ることができる（圧縮率が高い）。また、圧縮⇒暗号化⇒データ転送⇒復号⇒解凍の順で処理を行うことにより、適切に復号処理および解凍処理を行うことができる。
　ＥＣＵ１において、前記電子制御装置はさらに、前記更新データ内の最初の暗号化されたデータブロックを復号するために用いる初期化ベクトルを格納する初期化ベクトル記憶部を備え、前記演算部は、前記初期化ベクトル記憶部があらかじめ格納している前記初期化ベクトルを用いて、前記更新データ内の最初の暗号化されたデータブロックを復号する構成としてもよい。復号処理の際、初期化ベクトルを必要とする暗号化処理を行うことにより、より安全性の高いデータ転送を行うことができる。この初期化ベクトルを更新データに含める場合は、あらかじめ車両側に初期化ベクトルを持たせておく必要がなく、仕様毎に初期化ベクトルを変更する等、設定の変更が容易となる。初期化ベクトルを車両側にあらかじめ持たせる場合は、書き込み処理の中断理由が、電源の遮断のような場合であっても、送信された初期化ベクトルが消失することがない。
　ＥＣＵ１において、前記更新データは、前記更新データ内の最初の暗号化されたデータブロックを復号するために用いる初期化ベクトルを含み、前記演算部は、前記初期化ベクトルを用いて、前記更新データ内の最初の暗号化されたデータブロックを復号する構成としてもよい。これにより、他のデータブロックを用いて復号を実施するアルゴリズムを用いる場合であっても、最初の暗号化データブロックを適切に復号できる。
　ＥＣＵ１において、前記初期化ベクトルは、前記更新データの先頭のヘッダ部分に含まれており、前記演算部は、前記第２データブロックが前記更新データ内の最初の暗号化されたデータブロックである場合は、前記初期化ベクトルを用いて前記第２データブロックを復号する。初期化ベクトルがグローバルヘッダに含まれており、更新データの送信の際にこれが最初に送信されるので、最初に復号されるデータブロックの復号処理の際、確実に初期化ベクトルを使用することができる。
　ＥＣＵ１において、前記電子制御装置はさらに、前記演算部が前記更新データを復号する際に用いる前記第２データブロックを一時的に格納するメモリを備え、前記演算部は、前記第１データブロックを復号する前にあらかじめ前記第２データブロックを前記メモリへ格納し、前記演算部は、前記書込処理が途中中断した場合は、前記第１データブロックを再取得するとともに、前記メモリから前記第２データブロックを再取得する。復号のために用いる別ブロックがあらかじめメモリに記憶されているので、復号対象ブロックの復号処理を行う際、メモリに記憶された別ブロックを読み込むことにより、復号処理を行う構成としてもよい。例えば、車両に搭載される電子コントローラの製造時、この電子コントローラ内のメモリに初期化ベクトルを保存しておくことにより、更新データに初期化ベクトルを含めることなく、復号処理時に初期化ベクトルを使用することができる。
　ＥＣＵ１において、前記更新データは、前記第２データブロックの次に第１データブロックを含み、前記演算部は、前記第２データブロックを前記記憶部に対して書き込んだ後、前記第１データブロックを前記記憶部に対して書き込む処理が途中中断した場合は、前記更新データを前記記憶部に対して書き込む処理を前記第１データブロックから再開する構成としてもよい。書き込み処理が完了している第１データブロックの次の第２データブロックから書き込み処理を再開するので、データの送信や書き込みを最小限に抑えることができ、効率の良い書き込み処理を行うことができる。
　ＥＣＵ１において、前記電子制御装置はさらに、前記更新データのデータブロックを前記記憶部に対して書込完了したことを表す書込完了ブロック情報を記憶するメモリを備え、前記演算部は、前記記憶部に対して前記更新データのデータブロックを書き込むごとに前記メモリに対してその書込完了したデータブロックに関する前記書込完了ブロック情報を格納し、前記演算部は、前記第１データブロックを前記記憶部に対して書込完了していない旨を前記書込完了ブロック情報が表している場合は、前記更新データを前記記憶部に対して書き込む処理を前記第１データブロックから再開する構成としてもよい。書き込み処理を再開するとき、データフラッシュにおける書き込み完了情報を参照することにより、どのデータブロックから書き込みの再開を行えばよいか、容易に特定することができる。
　ＥＣＵ１において、前記演算部は、前記書込完了ブロック情報にしたがって、前記更新データを前記記憶部に対して正常に書込完了したか否かを診断する構成としてもよい。書き込み処理の異常判断を行うことにより、より安全な書き込み処理、すなわち安全なプログラムデータの更新処理を行うことができる。
　ＥＣＵ１において、前記車両は、前記更新データを一時保存するとともに前記一時保存した前記更新データを前記電子制御装置に対して転送するゲートウェイ装置を搭載しており、前記通信部は、前記ゲートウェイ装置を介して前記更新データを受信し、前記演算部は、前記途中中断した書込処理を再開する場合は、前記ゲートウェイ装置が一時保存している前記更新データを再取得する構成としてもよい。更新データが一旦、ゲートウェイに保存された以降は、更新データ送信部２と車両との通信が不要となるので、通信状態に拘わらずプログラムデータの更新処理を行うことができる。また、書き込み処理の再開の際、ゲートウェイに保存された更新データを用いるので、改めて電子端末と車両の間の通信を行う必要が無い。
　ＥＣＵ１において、前記更新データは、前記更新データ内の最初の暗号化されたデータブロックを復号するために用いる初期化ベクトルを含み、前記演算部は、前記第２データブロックが前記更新データ内の最初の暗号化されたデータブロックである場合は、前記第２データブロックと前記初期化ベクトルを併せて取得することにより、前記第２データブロックを復号する構成としてもよい。最初の暗号化ブロックを書き込む場合、書き込み処理の前に行われる復号処理に必要な初期化ベクトルを併せて送信することにより、適切に復号処理を行うことができる。
　ＥＣＵ１において、前記更新データは、前記更新データ内の最初の暗号化されたデータブロックを復号するために用いる初期化ベクトルを含み、前記第１データブロックは、前記更新データ内において前記第２データブロックの後に配置されており、前記演算部は、前記第１データブロックを復号する際には、前記第１データブロックと前記第２データブロックを併せて取得することにより、前記第１データブロックを復号する構成としてもよい。２つ目以降の暗号化ブロックを書き込む場合は、復号処理の際に別のブロックが必要となるので、このブロックも併せて送信することにより、適切に復号処理を行うことができる。
＜本発明の変形例について＞
　本発明は上記実施形態に限定されるものではなく、様々な変形例が含まれる。例えば、上記実施形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施形態の構成の一部を他の実施形態の構成に置き換えることが可能であり、また、ある実施形態の構成に他の実施形態の構成を加えることも可能である。また、各実施形態の構成の一部について、他の構成の追加・削除・置換をすることが可能である。
　以上の実施形態において、不揮発性メモリ１５やフラッシュメモリ１７へ書き込むデータは、圧縮したままであってもよい。この場合はＣＰＵ１２が圧縮データを用いる際に動的に解凍してＲＡＭ１３へ一時的に格納し、ＲＡＭ１３から解凍後データを読み出して実行すればよい。
　実施形態４において、更新データ４を最初に受信したマイコン１１が更新データ４を復号した上で他のマイコン１１へ復号データを送信してもよいし、更新データ４をそのまま他のマイコン１１へ送信して各マイコン１１が自ら復号してもよい。
１：ＥＣＵ
１１：マイコン
１２：ＣＰＵ
１３：ＲＡＭ
１４：通信部
１５：不揮発性メモリ
１６：シリアル通信部
１７：フラッシュメモリ
１８：マイコン間通信部
２：更新データ送信部
３：更新データ
３１：グローバルヘッダ
３２１～３Ｎ１：ローカルヘッダ
３２２～３Ｎ２：ボディ
４：更新データ
４２～４Ｎ：暗号化データブロック
５：データ中継ＥＣＵ

Claims (14)

  1. 　車両に搭載される電子制御装置であって、
    　前記車両が搭載している機器を制御する処理を実装したプログラムを実行する演算部、　前記プログラムを更新するために用いる更新データを受信する通信部、
    　前記プログラムを記憶する記憶部、
    　を備え、
    　前記更新データ内に含まれる第１データブロックは、前記更新データ内に含まれ前記第１データブロックとは異なる第２データブロックを用いて暗号化されており、
    　前記演算部は、前記第２データブロックを用いて前記第１データブロックを復号することにより、前記更新データを復号し、
    　前記演算部は、前記復号した前記第１データブロックを前記記憶部に対して書き込む書込処理が途中中断した場合は、前記第１データブロックと前記第２データブロックをともに含む前記更新データを再取得した上で、前記再取得した前記第２データブロックを用いて前記第１データブロックを再復号する
    　ことを特徴とする電子制御装置。
  2. 　前記第１データブロックは、前記更新データ内において前記第２データブロックの後に配置されており、
    　前記演算部は、前記書込処理が途中中断した場合は、前記第１データブロックの開始アドレスと前記第２データブロックの開始アドレスとの間の差分を遡ったアドレスから前記更新データを再取得することにより、前記第１データブロックと前記第２データブロックをともに含む前記更新データを再取得する
    　ことを特徴とする請求項１記載の電子制御装置。
  3. 　前記演算部は、前記第１データブロックと前記第２データブロックを併せて再取得するとき、前記第１データブロックの位置を表すリジュームアドレスを指定した上で、前記再取得のリクエストを発信し、
    　前記演算部は、前記再取得した前記更新データのうち前記リジュームアドレスに対応するアドレスから前記第１データブロックを取得するとともに、前記リジュームアドレスから前記差分だけ遡ったアドレスから前記第２データブロックを取得する
    　ことを特徴とする請求項２記載の電子制御装置。
  4. 　前記更新データは、圧縮処理を施された後に前記暗号化を施されており、
    　前記演算部は、前記更新データに対して復号を実施した後に解凍処理を実施することにより、前記第１データブロックと前記第２データブロックを前記更新データから取得する　ことを特徴とする請求項１記載の電子制御装置。
  5. 　前記電子制御装置はさらに、前記更新データ内の最初の暗号化されたデータブロックを復号するために用いる初期化ベクトルを格納する初期化ベクトル記憶部を備え、
    　前記演算部は、前記初期化ベクトル記憶部があらかじめ格納している前記初期化ベクトルを用いて、前記更新データ内の最初の暗号化されたデータブロックを復号する
    　ことを特徴とする請求項１記載の電子制御装置。
  6. 　前記更新データは、前記更新データ内の最初の暗号化されたデータブロックを復号するために用いる初期化ベクトルを含み、
    　前記演算部は、前記初期化ベクトルを用いて、前記更新データ内の最初の暗号化されたデータブロックを復号する
    　ことを特徴とする請求項１記載の電子制御装置。
  7. 　前記初期化ベクトルは、前記更新データの先頭のヘッダ部分に含まれており、
    　前記演算部は、前記第２データブロックが前記更新データ内の最初の暗号化されたデータブロックである場合は、前記初期化ベクトルを用いて前記第２データブロックを復号する
    　ことを特徴とする請求項６記載の電子制御装置。
  8. 　前記電子制御装置はさらに、前記演算部が前記更新データを復号する際に用いる前記第２データブロックを一時的に格納するメモリを備え、
    　前記演算部は、前記第１データブロックを復号する前にあらかじめ前記第２データブロックを前記メモリへ格納し、
    　前記演算部は、前記書込処理が途中中断した場合は、前記第１データブロックを再取得するとともに、前記メモリから前記第２データブロックを再取得する
    　ことを特徴とする請求項１記載の電子制御装置。
  9. 　前記更新データは、前記第２データブロックの次に前記第１データブロックを含み、
    　前記演算部は、前記第２データブロックを前記記憶部に対して書き込んだ後、前記第１データブロックを前記記憶部に対して書き込む処理が途中中断した場合は、前記更新データを前記記憶部に対して書き込む処理を前記第１データブロックから再開する
    　ことを特徴とする請求項１記載の電子制御装置。
  10. 　前記電子制御装置はさらに、前記更新データのデータブロックを前記記憶部に対して書込完了したことを表す書込完了ブロック情報を記憶するメモリを備え、
    　前記演算部は、前記記憶部に対して前記更新データのデータブロックを書き込むごとに前記メモリに対してその書込完了したデータブロックに関する前記書込完了ブロック情報を格納し、
    　前記演算部は、前記第１データブロックを前記記憶部に対して書込完了していない旨を前記書込完了ブロック情報が表している場合は、前記更新データを前記記憶部に対して書き込む処理を前記第１データブロックから再開する
    　ことを特徴とする請求項９記載の電子制御装置。
  11. 　前記演算部は、前記書込完了ブロック情報にしたがって、前記更新データを前記記憶部に対して正常に書込完了したか否かを診断する
    　ことを特徴とする請求項１０記載の電子制御装置。
  12. 　前記車両は、前記更新データを一時保存するとともに前記一時保存した前記更新データを前記電子制御装置に対して転送するゲートウェイ装置を搭載しており、
    　前記通信部は、前記ゲートウェイ装置を介して前記更新データを受信し、
    　前記演算部は、前記途中中断した書込処理を再開する場合は、前記ゲートウェイ装置が一時保存している前記更新データを再取得する
    　ことを特徴とする請求項１記載の電子制御装置。
  13. 　前記更新データは、前記更新データ内の最初の暗号化されたデータブロックを復号するために用いる初期化ベクトルを含み、
    　前記演算部は、前記第２データブロックが前記更新データ内の最初の暗号化されたデータブロックである場合は、前記第２データブロックと前記初期化ベクトルを併せて取得することにより、前記第２データブロックを復号する
    　ことを特徴とする請求項１記載の電子制御装置。
  14. 　前記更新データは、前記更新データ内の最初の暗号化されたデータブロックを復号するために用いる初期化ベクトルを含み、
    　前記第１データブロックは、前記更新データ内において前記第２データブロックの後に配置されており、
    　前記演算部は、前記第１データブロックを復号する際には、前記第１データブロックと前記第２データブロックを併せて取得することにより、前記第１データブロックを復号する
    　ことを特徴とする請求項１記載の電子制御装置。
PCT/JP2021/031847 2020-12-16 2021-08-31 電子制御装置 Ceased WO2022130699A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2022569710A JP7506766B2 (ja) 2020-12-16 2021-08-31 電子制御装置
DE112021004928.3T DE112021004928T5 (de) 2020-12-16 2021-08-31 Elektronische steuervorrichtung
US18/254,457 US12432062B2 (en) 2020-12-16 2021-08-31 Electronic control device with secure resumption of interrupted write processing

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2020208372 2020-12-16
JP2020-208372 2020-12-16

Publications (1)

Publication Number Publication Date
WO2022130699A1 true WO2022130699A1 (ja) 2022-06-23

Family

ID=82057490

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2021/031847 Ceased WO2022130699A1 (ja) 2020-12-16 2021-08-31 電子制御装置

Country Status (4)

Country Link
US (1) US12432062B2 (ja)
JP (1) JP7506766B2 (ja)
DE (1) DE112021004928T5 (ja)
WO (1) WO2022130699A1 (ja)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2021199575A1 (ja) * 2020-03-30 2021-10-07 日立Astemo株式会社 プログラム更新システム、車両制御装置及びプログラム更新方法
JP7561210B2 (ja) * 2020-12-16 2024-10-03 日立Astemo株式会社 電子制御装置
US12688116B2 (en) * 2022-04-22 2026-07-21 Hitachi Astemo, Ltd. Electronic control device and write control method

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006298261A (ja) * 2005-04-22 2006-11-02 Denso Corp 自動車用制御ユニット
WO2018070156A1 (ja) * 2016-10-14 2018-04-19 日立オートモティブシステムズ株式会社 ソフトウェア更新装置、ソフトウェア更新方法、ソフトウェア更新システム
CN108170455A (zh) * 2018-03-12 2018-06-15 晶晨半导体(上海)股份有限公司 升级包的打包方法以及升级方法
JP2019519829A (ja) * 2016-03-30 2019-07-11 スクエア， インコーポレイテッド 圧縮ファームウエア更新
US20200034134A1 (en) * 2018-07-30 2020-01-30 Ford Global Technologies, Llc Over The Air Ecu Update
JP2020187184A (ja) * 2019-05-10 2020-11-19 株式会社デンソー 暗号復号装置

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6447469B2 (ja) 2015-11-23 2019-01-09 株式会社デンソー 書換システム
US20170331795A1 (en) * 2016-05-13 2017-11-16 Ford Global Technologies, Llc Vehicle data encryption
US10289404B2 (en) * 2017-07-25 2019-05-14 Aurora Labs Ltd. Detecting anomalies using real-time ECU processing activity
JP6742381B2 (ja) * 2018-10-15 2020-08-19 本田技研工業株式会社 車両制御装置、車両制御方法、およびプログラム
KR102751277B1 (ko) * 2019-06-10 2025-01-10 현대자동차주식회사 차량 업데이트 제어 장치 및 방법
KR102805477B1 (ko) * 2020-06-30 2025-05-09 현대자동차주식회사 차량의 ecu 업데이트 제어 장치 및 그 방법

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006298261A (ja) * 2005-04-22 2006-11-02 Denso Corp 自動車用制御ユニット
JP2019519829A (ja) * 2016-03-30 2019-07-11 スクエア， インコーポレイテッド 圧縮ファームウエア更新
WO2018070156A1 (ja) * 2016-10-14 2018-04-19 日立オートモティブシステムズ株式会社 ソフトウェア更新装置、ソフトウェア更新方法、ソフトウェア更新システム
CN108170455A (zh) * 2018-03-12 2018-06-15 晶晨半导体(上海)股份有限公司 升级包的打包方法以及升级方法
US20200034134A1 (en) * 2018-07-30 2020-01-30 Ford Global Technologies, Llc Over The Air Ecu Update
JP2020187184A (ja) * 2019-05-10 2020-11-19 株式会社デンソー 暗号復号装置

Also Published As

Publication number Publication date
US12432062B2 (en) 2025-09-30
US20240015013A1 (en) 2024-01-11
JPWO2022130699A1 (ja) 2022-06-23
JP7506766B2 (ja) 2024-06-26
DE112021004928T5 (de) 2023-07-06

Similar Documents

Publication Publication Date Title
JP7506766B2 (ja) 電子制御装置
CN109714292B (zh) 传输报文的方法与装置
JP4843531B2 (ja) 暗号変換装置、暗号変換方法および暗号変換プログラム
US11516024B2 (en) Semiconductor device, update data-providing method, update data-receiving method, and program
JP6852009B2 (ja) 情報処理装置及び情報処理方法
CN112995138A (zh) 一种数据通信方法、装置、电子设备及可读存储介质
WO2019116922A1 (ja) 車載更新装置、プログラム及びプログラム又はデータの更新方法
CN117435226B (zh) 车载电子控制单元的数据刷写方法、设备及存储介质
KR100560658B1 (ko) 고속의 오프셋 코드북 모드를 위한 암호화 장치 및 그 방법
JP7561210B2 (ja) 電子制御装置
KR20230016493A (ko) 차량 제어 장치 그 제어 방법
US20070150755A1 (en) Microcomputer, method for writing program to microcomputer, and writing system
US20080301455A1 (en) Authentication System And Authentication Object Device
JP7447864B2 (ja) Ｏｔａマスタ、方法およびプログラム
JP2006523870A (ja) 制御装置内のソフトウェアのデータ整合性を検査する方法
JP5118494B2 (ja) イン−ストリームデータ暗号化／復号の機能を有するメモリシステム
JP7397403B2 (ja) 電子情報記憶媒体、認証コード生成方法、認証コード検証方法、及びプログラム
JP2020187184A (ja) 暗号復号装置
JP2019040488A (ja) 電子制御装置
JP2021128375A (ja) 制御システムおよびサーバ装置
US12086585B2 (en) Program update system, vehicle control device, and program update method
US12278805B2 (en) Method of controlling security key of vehicle
JP7845259B2 (ja) 電子制御装置及び暗号鍵の更新プログラム
JP2010039779A (ja) リーダライタ、情報読み出し方法、通信システムおよび通信方法
CN113722724A (zh) 一种加密方法、解密方法、终端以及存储介质

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 21906064

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2022569710

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 18254457

Country of ref document: US

122 Ep: pct application non-entry in european phase

Ref document number: 21906064

Country of ref document: EP

Kind code of ref document: A1

WWG Wipo information: grant in national office

Ref document number: 18254457

Country of ref document: US