WO2023171443A1 - 電子制御装置及び認証方法 - Google Patents

Abstract

電気制御装置において、電子制御装置固有のハードウェアＩＤ及びソフトウェアプログラムに対応付けられたソフトウェアＩＤがＲＯＭに設定され、ハードウェアＩＤとソフトウェアＩＤとの照合結果に応じてデータ書き換え装置によるＲＯＭのデータの書き換えを許可する。ここで、電子制御装置の開発時において用いられる開発用のソフトウェアＩＤ及び量産時において用いられる量産用のソフトウェアＩＤがソフトウェアＩＤとしてＲＯＭに設定されている。そして、ＲＯＭからハードウェアＩＤ及び量産用のソフトウェアＩＤを取得して両者を照合し、適合しない場合には、ＲＯＭからさらに開発用のソフトウェアＩＤを取得して、ハードウェアＩＤと開発用のソフトウェアＩＤとを照合するように構成される。

Description

電子制御装置及び認証方法

　本発明は、車両に搭載される電子制御装置及び当該電子制御装置において実行される認証方法に関する。

　車両に搭載されて車載機器を制御する電子制御装置においては、サイバーセキュリティ対策等に鑑み、不揮発性記憶装置（ＲＯＭ）に記憶されたデータが不正に改変されないように保護することが必要である。このようなＲＯＭのデータへのアクセスを制御する技術の一例として、ＲＯＭにキーコード（秘密情報）がセットされている場合に、当該キーコードを利用した認証結果に応じてアクセスを制御する技術が提案されている。

特開２０１４－２２２５４６号公報

　ここで、一般に、セキュリティ対策を施して量産された電子制御装置で動作するソフトウェアプログラムについて、車両の年次改良や車種水平展開等の対応により、再開発や修正等が行われる。これらの作業は、量産された電子制御装置とは異なる開発用の電子制御装置を用いて行われることがある。このとき、量産用の電子制御装置に適用することを想定して作成されたソフトウェアプログラムに設定されたセキュリティの認証情報が開発用の電子制御装置に適合せず、データの書き換えができない状況が発生し得る。

　そこで、本発明の１つの態様では、セキュリティ対策を有効に維持しつつ、開発用の電子制御装置においても量産用のソフトウェアプログラムのデータの書き換えを実現することを目的とする。

　本発明の１つの態様では、電気制御装置が、プロセッサ及び電気的にデータを書き換え可能な不揮発性記憶装置、並びに外部のデータ書き換え装置との間の通信を実現するインターフェースを備える。当該電気制御装置は、不揮発性記憶装置に、電子制御装置固有のハードウェアＩＤ及びソフトウェアプログラムに対応付けられたソフトウェアＩＤが設定され、ハードウェアＩＤとソフトウェアＩＤとの照合結果に応じてデータ書き換え装置による不揮発性記憶装置のデータの書き換えを許可する。ここで、当該電子制御装置において、不揮発性記憶装置に、電子制御装置の開発時において用いられる開発用のソフトウェアＩＤ及び電子制御装置の量産時において用いられる量産用のソフトウェアＩＤがソフトウェアＩＤとして設定されている。そして、プロセッサが、不揮発性記憶装置からハードウェアＩＤ及び量産用のソフトウェアＩＤを取得して、ハードウェアＩＤと量産用のソフトウェアＩＤとを照合する。その結果、ハードウェアＩＤと量産用のソフトウェアＩＤとが適合しない場合には、不揮発性記憶装置からさらに開発用のソフトウェアＩＤを取得して、ハードウェアＩＤと開発用のソフトウェアＩＤとを照合するように構成される。

　本発明の１つの態様によれば、セキュリティ対策を有効に維持しつつ、開発用の電子制御装置においても量産用のソフトウェアプログラムのデータの書き換えを実現することが可能となる。

本発明の実施形態の構成概要の一例を示す図である。 ＥＣＵのハードウェア構成の一例を示す図である。 ＥＣＵのＲＯＭの内部構成及びＩＤ認証処理の一例を示す図である。 ＥＣＵのＲＯＭの内部構成及びＩＤ認証処理の一例を示す図である。 ＥＣＵのＲＯＭの内部構成及びＩＤ認証処理の一例を示す図である。 ＥＣＵのＲＯＭの内部構成及びＩＤ認証処理の一例を示す図である。 ＩＤ認証処理のパターンの一例を示す図である。 ＩＤ認証処理の一例を説明するフローチャートを示す図である。 量産用のＩＤの生成方法の一例について説明する図である。

　以下、図面を参照しつつ、本発明の実施形態について説明する。なお、本明細書に記載する実施形態によって本発明が限定されるものではなく、異なる実施形態やその変形例は、適宜組み合わせることも可能である。

［１．本実施形態が適用される技術的背景等］
　まず、本実施形態が適用され得る技術的背景の詳細について説明する。自動車等の車両に搭載する電子制御装置（ＥＣＵ（Electronic Control Unit））の開発工程の一態様として、ＥＣＵの開発者（サプライヤ）側において、ＥＣＵ及びこれに搭載するソフトウェアプログラムを開発する。そして、開発者側から自動車メーカー側に、ＥＣＵの開発時において用いられる開発用のＥＣＵ、及びＲＯＭに格納された開発用のプログラムのデータが納入される。そして、当該自動車メーカー側において車両実験等が行われ、当該プログラムが車両に適合したことの確認がなされると、開発者側において、ＥＣＵ及び当該プログラムが格納されたＲＯＭが量産される。そして、このような量産用のＥＣＵ及び量産用のプログラムが格納されたＲＯＭが自動車メーカー等に納入される。

　ここで、車両に搭載されるＥＣＵには、ＲＯＭに記憶されたデータを不正に改変されることを防ぐための方法の一例として、ＲＯＭに格納されたデータにアクセスする際にＩＤ認証が行われる。より詳細には、開発用のデバッグインターフェースを介して接続されるＪＴＡＧ（Joint Test Action Group）通信ツール等の開発用デバッグツールにより、ＥＣＵ固有のＩＤであるハードウェアＩＤが、ＥＣＵに搭載されているマイクロコンピュータ内部のＲＯＭの所定領域に設定される。そして、その後に開発用のデバッグインターフェース経由でＲＯＭに対してアクセスする際には、開発用デバッグツールにおいて、ＲＯＭに設定されたハードウェアＩＤを入力するＩＤ認証が必要となる。これにより、開発用デバッグツール等からＥＣＵのＲＯＭのデータを不正に書き換えられることを防ぐことが可能となる。

　しかし、当該ＩＤ認証機能が有効になることに伴い、ＲＯＭに格納されたソフトウェアプログラムにおいて設定されたソフトウェアＩＤを用いたＩＤ認証機能も有効となる。より詳細には、当該ＩＤ認証では、データ書き換えインターフェースを介して接続されるＣＡＮ（Controller Area Network）通信ツール等のデータ書き換えツールによってＲＯＭのデータを書き換えるときに、ＲＯＭに設定されたソフトウェアＩＤとハードウェアＩＤとが照合される。そして、両者が一致しているときにのみ、データ書き換えツールによるＲＯＭのデータの書き換えが許可される。

　ここで、一般に自動車メーカーでは、車両の年次改良や車種水平展開等の対応により、量産されたソフトウェアプログラムの再開発や修正が行われる。これらの作業は、自動車メーカー側において、開発用のＥＣＵを用いて行われることがある。しかし、前述のようなＩＤ認証機能が有効にされた状態において、量産用のＥＣＵのＲＯＭに設定されたデータに含まれるソフトウェアＩＤが、開発用のＥＣＵのＲＯＭに設定されたハードウェアＩＤと一致しない。このため、当該ＩＤ認証により、データ書き換えツールを用いたＲＯＭのデータの書き換えが許可されず、自動車メーカー側において、データ書き換えツールを用いたプログラムの修正作業を行うことができない状況が生じている。この場合、ＥＣＵの開発者側から自動車メーカーに対し、量産用のハードウェアＩＤを設定した開発用のＥＣＵを納入したり、開発用のＥＣＵのハードウェアＩＤが設定されたＲＯＭのデータを納入したりすることで問題解決を図っている。しかし、プログラムの新規開発の件数に比べて年次改良や車種水平展開の件数の方が多い状況において、このような問題解決のための対応には多くの工数を要している。

　このような背景に鑑み、本実施形態においては、ＥＣＵのセキュリティ対策を有効に維持した状態で、開発用のＥＣＵにおいてはデータ書き換えツールによるＲＯＭのデータの書き換えを可能にする方法を提供する。

［２．本実施形態の構成概要］
　図１は、本実施形態の構成概要について説明する図である。本実施形態では、車両に搭載されるＥＣＵ１０で動作するソフトウェアプログラムの開発や修正を行う際に、ＥＣＵ１０に対し、必要に応じて開発用デバッグツール２０及びデータ書き換えツール３０を接続する。

　ＥＣＵ１０は、車載機器を電子制御する電子制御装置である。ＥＣＵ１０は、プロセッサ及びメモリを備えたマイクロコンピュータを備え（詳細な構成は後述する）、ソフトウェアプログラムを実行することにより、各種車載機器に対する電子制御を行う。
　開発用デバッグツール２０は、主としてＥＣＵ１０の開発時において、集積回路や基板の検査やデバッグ等に用いられるコンピュータである。本実施形態において、開発用デバッグツール２０は、ＪＴＡＧ通信の信号線（クロック、データ入力、データ出力及び状態制御等）によってＥＣＵ１０と接続され、ＪＴＡＧ通信によってＥＣＵ１０とデータの送受信を行う。なお、このような開発用デバッグツール２０は、他の方式（例えば、ＡＵＤ、ＵＡＲＴ、ＤＡＰ等）を用いたものであってもよい。

　データ書き換えツール３０は、主としてＥＣＵ１０で動作させるソフトウェアプログラムの修正時にプログラムを書き換えるのに用いられるコンピュータである。本実施形態において、データ書き換えツール３０は、ＣＡＮバスによってＥＣＵ１０と接続され、ＣＡＮ通信によってＥＣＵ１０とデータの送受信を行う。なお、このようなデータ書き換えツール３０は、例えば、Ｅｔｈｅｒｎｅｔ（登録商標）、ＦｌｅｘＲａｙ等の他の方式によってもＥＣＵ１０と接続され得る。

［３．ＥＣＵのハードウェア構成］
　次に、ＥＣＵ１０のハードウェア構成について説明する。ＥＣＵ１０は、図２に示すように、プロセッサ１１、ＲＡＭ１２、ＲＯＭ１３、通信インターフェース１４ａ及び１４ｂ、並びにこれらを相互通信可能に接続する内部バス１５を含む。

　プロセッサ１１は、プログラムに記述された命令セット（データの転送、演算、加工、制御、管理など）を実行するハードウェアであって、演算装置、命令や情報を格納するレジスタ、周辺回路などから構成されている。
　ＲＡＭ１２は、電源供給遮断によってデータが消失する揮発性メモリ（スタティックＲＡＭ等）からなり、プロセッサ１１が動作中に使用する一時的な記憶領域を提供する。
　ＲＯＭ１３は、電気的にデータを書き換え可能な不揮発性メモリ（フラッシュＲＯＭ等）からなる。ＲＯＭ１３には、ＥＣＵ１０の機能に応じた制御プログラム（例えば、車両のエンジン、自動変速機、燃料噴射装置等を制御するプログラム）や、当該プログラムの処理に用いる各種データが格納される。また、本実施形態においては、ＩＤ認証処理において用いられるハードウェアＩＤ及びソフトウェアＩＤがＲＯＭ１３に格納される。さらに、本実施形態で当該ＩＤ認証処理を行うプログラム及びデータもＲＯＭ１３に格納される。

　通信インターフェース１４ａ及び１４ｂは、ＥＣＵ１０に接続された他の機器との間の通信を実現する機能を提供する。具体的には、通信インターフェース１４ａは、外部の開発用デバッグツール２０との間の通信を実現するインターフェースである。通信インターフェース１４ｂは、外部のデータ書き換えツール３０との間の通信を実現するインターフェースである。なお、図示を省略しているが、ＥＣＵ１０は、車載ネットワーク（ＣＡＮネットワーク等）や、制御に関連する車載機器等（例えば、各種センサやアクチュエータ等）との間でＣＡＮ通信等や他の通信方式（オンオフ、アナログ信号等）を用いて通信を実現する通信インターフェースもさらに備え得る。
　内部バス１５は、各デバイス間でデータを交換するための経路であって、アドレスを転送するためのアドレスバス、データを転送するためのデータバス、アドレスバスやデータバスで実際に入出力を行うタイミングや制御情報を伝送するコントロールバスを含んでいる。

［４．ＲＯＭの内部領域とＩＤ認証パターン］
　次に、ＥＣＵ１０のＲＯＭ１３の内部領域と、ＩＤ認証パターンについて説明する。本実施形態において、ＥＣＵ１０は、ＥＣＵ１０の開発工程や修正工程において用いられる開発用のＥＣＵ１０Ａ、量産されて車両に搭載される量産用のＥＣＵ１０Ｂとの２種類存在する。

　図３は、主として開発者側におけるＥＣＵ１０の開発工程における、開発用のＥＣＵ１０Ａが備えるＲＯＭ１３Ａの内部領域の一例を示す。ＲＯＭ１３Ａは、原則として外部からのデータの書き換えが不可能な領域である書き換え不可領域１３１Ａと、外部からのデータの書き換えが可能な書き換え可能領域１３２Ａとを備える。書き換え不可領域１３１Ａには、ＥＣＵ１０Ａの出荷時に、開発用デバッグツール２０によって開発用のハードウェアＩＤが設定されている。この開発用のハードウェアＩＤは、ＥＣＵ１０への初回のアクセス時にＩＤ認証機能が有効にされることにより、以降、当該ＥＣＵ１０ＡのＲＯＭ１３Ａに格納されたデータへのアクセスの際のＩＤ認証に用いられる。また、書き換え可能領域１３２Ａには、開発用のソフトウェアプログラムが格納されており、開発用のハードウェアＩＤと一致する開発用のソフトウェアＩＤが設定されている。

　この例におけるＩＤ認証処理は次のようになる。まず、開発用デバッグツール２０からＲＯＭ１３Ａに対するアクセスの認証においては、開発用デバッグツール２０において入力されたＩＤと、ＲＯＭ１３Ａに設定された開発用のハードウェアＩＤとを照合する。そして、両者が一致した際に、開発用デバッグツール２０からＲＯＭ１３Ａのデータの書き換えを許可する。すなわち、開発用デバッグツール２０の使用者が開発用のハードウェアＩＤを知っていれば、ＲＯＭ１３のデータの書き換えを行うことが可能である。一方、データ書き換えツール３０からＲＯＭ１３Ａへのアクセスについては、ＲＯＭ１３の書き換え不可領域１３１ＡのハードウェアＩＤと、書き換え可能領域１３２ＡのソフトウェアＩＤとを照合する。そして、両者が一致した際に、データ書き換えツール３０からＲＯＭ１３Ａへの書き換えを許可する。この例においては、書き換え不可領域１３１Ａの開発用のハードウェアＩＤと、書き換え可能領域１３２Ａの開発用のソフトウェアＩＤとが一致する。このため、データ書き換えツール３０によってＲＯＭ１３の書き換え可能領域１３２Ａのデータを書き換えることが許可される。

　次に、図４は、主としてＥＣＵ１０が量産された後の段階における、量産用のＥＣＵ１０Ｂが備えるＲＯＭ１３Ｂの内部領域の一例を示す。ＲＯＭ１３Ｂは、開発用のＥＣＵ１０Ａの場合と同様に、原則としてデータの書き換えが不可能な領域である書き換え不可領域１３１Ｂと、データの書き換えが可能な書き換え可能領域１３２Ｂとを備える。書き換え不可領域１３１Ｂには、ＥＣＵ１０Ｂの出荷時に、開発用デバッグツール２０によって量産用のハードウェアＩＤが設定されている。この量産用のハードウェアＩＤは、ＥＣＵ１０Ｂへの初回のアクセス時にＩＤ認証機能が有効にされることにより、以降、当該ＥＣＵ１０ＢのＲＯＭ１３Ｂに格納されたデータへのアクセスの際のＩＤ認証に用いられる。また、書き換え可能領域１３２Ｂには、量産用のソフトウェアプログラムが格納されており、量産用のハードウェアＩＤと一致する量産用のソフトウェアＩＤが設定されている。

　この例におけるＩＤ認証処理は次のようになる。まず、開発用デバッグツール２０からＲＯＭ１３Ｂに対するアクセスの認証においては、開発用デバッグツール２０において入力されたＩＤと、ＲＯＭ１３Ｂに設定された量産用のハードウェアＩＤとを照合する。そして、両者が一致した際に、開発用デバッグツール２０からＲＯＭ１３Ｂのデータの書き換えを許可する。この場合、開発用デバッグツール２０の使用者が量産用のハードウェアＩＤを知っていればＲＯＭ１３のデータを書き換えることが可能であるが、この量産用のハードウェアＩＤの秘匿性を確保することにより、セキュリティ対策は有効に維持される。一方、データ書き換えツール３０からＲＯＭ１３Ｂへのアクセスについては、ＲＯＭ１３の書き換え不可領域１３１ＢのハードウェアＩＤと、書き換え可能領域１３２ＢのソフトウェアＩＤとを照合する。そして、両者が一致した際に、データ書き換えツール３０からＲＯＭ１３Ｂのデータの書き換えを許可する。この例においては、書き換え不可領域１３１Ｂの量産用のハードウェアＩＤと、書き換え可能領域１３２Ｂの量産用のソフトウェアＩＤとが一致する。このため、データ書き換えツール３０によってＲＯＭ１３の書き換え可能領域１３２Ｂのデータを書き換えることが許可される。

　次に、前述したような車両の年次改良や車種水平展開等の対応により、量産されたソフトウェアプログラムの再開発や修正を開発用のＥＣＵ１０Ａを用いて行う場合について説明する。この場合、開発用のＥＣＵ１０ＡのＲＯＭ１３Ａの書き換え可能領域１３２Ａに、量産用のＥＣＵ１０ＢのＲＯＭ１３Ｂの書き換え可能領域１３２Ｂに格納されていたデータが設定される。

　ここで、図５に、当該状況における従来のＲＯＭ１３Ａの内部領域及びＩＤ認証処理の一例を示す。従来においては、量産用のＲＯＭ１３Ｂの書き換え可能領域１３２Ｂには、量産用のソフトウェアＩＤのみが設定されていた。このため、当該データが開発用のＥＣＵ１０ＡのＲＯＭ１３Ａの書き換え可能領域１３２Ａに設定された場合、書き換え可能領域１３２Ａには量産用のソフトウェアＩＤのみが設定されることとなる。この場合、ＩＤ認証処理において、書き換え不可領域１３１Ａの開発用のハードウェアＩＤと、書き換え可能領域１３２Ａに設定された量産用のソフトウェアＩＤとが一致しない。このため、データ書き換えツール３０によってＲＯＭ１３の書き換え可能領域１３２Ａのデータを書き換えることが禁止されてしまう。

　一方で、図６は、当該状況における本実施形態のＲＯＭ１３Ａの内部領域及びＩＤ認証処理の一例を示す。本実施形態では、量産用のＥＣＵ１０ＢのＲＯＭ１３Ｂの書き換え可能領域１３２Ｂにおいて、量産用のソフトウェアＩＤだけでなく、開発用のソフトウェアＩＤも設定しておく。このため、当該データが開発用のＥＣＵ１０ＡのＲＯＭ１３Ａの書き換え可能領域１３２Ａに設定された場合、書き換え可能領域１３２Ａには量産用のソフトウェアＩＤと開発用のソフトウェアＩＤとの両方が設定されることとなる。この場合、図６に示すように、ＩＤ認証処理において、書き換え不可領域１３１Ａの開発用のハードウェアＩＤと、書き換え可能領域１３２Ａに設定された量産用のソフトウェアＩＤとが一致しない。しかし、この場合に、本実施形態ではさらに、書き換え不可領域１３１Ａの開発用のハードウェアＩＤと、書き換え可能領域１３２Ａに設定された開発用のソフトウェアＩＤとを照合する。この場合、両者が一致するため、データ書き換えツール３０によってＲＯＭ１３の書き換え可能領域１３２Ｂのデータを書き換えることが許可される。

　図７は、このようなＩＤ認証処理におけるハードウェアＩＤとソフトウェアＩＤとのそれぞれの組合せにおいてデータ書き換えツール３０によるＲＯＭ１３の書き換え可能領域１３２のデータの書き換えが許可されるか否かをマトリックスで示している。

　パターン１：量産用のハードウェアＩＤと量産用のソフトウェアＩＤとの場合
　量産用のＥＣＵ１０ＢにおけるＩＤ認証処理であり、ＲＯＭ１３Ｂの書き換え可能領域１３２Ｂに量産用のソフトウェアＩＤが設定されているパターンである（上記図４のパターン）。この場合、書き換え不可領域１３１Ｂの量産用のハードウェアＩＤと、書き換え可能領域１３２Ｂの量産用のソフトウェアＩＤとが一致する。したがって、データ書き換えツール３０によるＲＯＭ１３Ｂのデータの書き換えは許可される。

　パターン２：量産用のハードウェアＩＤと開発用のソフトウェアＩＤとの場合
　量産用のＥＣＵ１０ＢにおけるＩＤ認証処理であり、ＲＯＭ１３Ｂの書き換え可能領域１３２Ｂに開発用のソフトウェアＩＤが設定されているパターンである。もしこのような状況となった場合、書き換え不可領域１３１Ｂの量産用のハードウェアＩＤと、書き換え可能領域１３２Ｂの開発用のソフトウェアＩＤとが一致しない。したがって、データ書き換えツール３０によるＲＯＭ１３Ｂのデータの書き換えは禁止される。

　パターン３：開発用のハードウェアＩＤと量産用のソフトウェアＩＤとの場合
　開発用のＥＣＵ１０ＡにおけるＩＤ認証処理であり、ＲＯＭ１３Ａの書き換え可能領域１３２Ａに量産用のソフトウェアＩＤが設定されているパターンである。この場合、図５で示した従来の状態だと、データ書き換えツール３０によるＲＯＭ１３Ｂの書き換えは禁止される。しかし、図６で示したように、本実施形態では、ＲＯＭ１３Ａの書き換え可能領域１３２Ａにさらに開発用のソフトウェアＩＤが設定されている。この場合、書き換え不可領域１３１Ａの開発用のハードウェアＩＤと、書き換え可能領域１３２Ａの開発用のソフトウェアＩＤとが一致する。したがって、データ書き換えツール３０によるＲＯＭ１３Ｂの書き換えは許可される。

　パターン４：開発用のハードウェアＩＤと開発用のソフトウェアＩＤとの場合
　開発用のＥＣＵ１０ＡにおけるＩＤ認証処理であり、ＲＯＭ１３Ａの書き換え可能領域１３２Ａに開発用のソフトウェアＩＤが設定されているパターンである。（上記図３のパターン）。この場合、書き換え不可領域１３１Ａの開発用のハードウェアＩＤと、書き換え可能領域１３２Ａの開発用のソフトウェアＩＤとが一致する。したがって、データ書き換えツール３０によるＲＯＭ１３Ｂのデータの書き換えは許可される。

［４．ＩＤ認証処理］
　図７は、上述したような本実施形態におけるＩＤ認証処理について説明するフローチャートである。当該ＩＤ認証処理は、ＥＣＵ１０のＲＯＭ１３に格納されたプログラムがＲＡＭ１２にロードされ、プロセッサ１１で実行されることによって実現される。
　ステップ１００１（図ではＳ１００１と示す。以下同様）で、プロセッサ１１は、ＩＤ認証に用いるハードウェアＩＤ及びソフトウェアＩＤを取得する。より詳細には、プロセッサ１１は、ＥＣＵ１０のＲＯＭ１３の書き換え不可領域１３１に設定されたハードウェアＩＤと、ＲＯＭ１３の書き換え可能領域１３２に設定されたソフトウェアＩＤとを取得する。

　ステップ１００２で、プロセッサ１１は、ハードウェアＩＤとソフトウェアＩＤとが一致するか否かを判定する。両者が一致しない場合には、ステップ１００３に進み（Ｎｏ）、一致する場合には、ステップ１００５に進む（Ｙｅｓ）。
　ステップ１００３で、プロセッサ１１は、ＲＯＭ１３の書き換え可能領域１３２にさらに設定された開発用のソフトウェアＩＤを取得する。
　ステップ１００４で、プロセッサ１１は、ハードウェアＩＤと、ステップ１００３で取得した開発用のソフトウェアＩＤとが一致するか否かを判定する。両者が一致する場合には、ステップ１００５に進み（Ｙｅｓ）、一致しない場合には、処理を終了する。
　ステップ１００５で、プロセッサ１１は、データ書き換えツール３０によるＲＯＭ１３の書き換え可能領域１３２のデータの書き換えを許可する。なお、当該ステップ１００５の処理を経ずに処理を終了する場合には、データ書き換えツール３０によるＲＯＭ１３の書き換え可能領域１３２のデータの書き換えは禁止された状態となる。

［５．本実施形態による効果、変形例等］
　本実施形態によれば、ＥＣＵ１０のＲＯＭ１３へのアクセスに関するＩＤ認証処理において、ＲＯＭ１３に設定された開発用のハードウェアＩＤと量産用のソフトウェアＩＤとが一致しないときに、さらに開発用のソフトウェアＩＤを用いて認証が行われる。このため、このようなＩＤ認証処理を開発用のＥＣＵ１０Ａで実行した場合、開発用のＥＣＵ１０Ａに対して量産用のＲＯＭ１３Ｂのデータを適用した状態においても、データ書き換えツール３０によるデータの書き換えが許可される。したがって、量産されたソフトウェアプログラムの再開発や修正が行われる際に、ＥＣＵ１０自体のＩＤ認証機能を有効に維持したままで、開発用のＥＣＵ１０Ａを用いて量産用のソフトウェアプログラムの修正作業を行うことが可能となる。その結果、このような修正作業を行うためのセキュリティ面の問題解決対応に要する工数を大幅に削減することができる。

　また、本実施形態においては、このようにＥＣＵ１０のＩＤ認証機能が有効に維持されているため、例えば、量産用のＥＣＵ１０Ｂに対する開発用デバッグツール２０等からの不正アクセスをＩＤ認証処理によって防ぐことは引き続き可能となる。ここで、量産用のＥＣＵ１０Ｂにおけるセキュリティ対策をより堅牢なものにするためのＩＤの生成方法の一例について、図９を参照して説明する。図９に示すように、量産用のＥＣＵ１０ＢのＲＯＭ１３Ｂにおいて、外部からの読み出しが可能である第１情報（公開鍵に相当）と、外部からの読み出しが不可能な第２情報（秘密鍵に相当）との両方を格納しておく。これらの２つの情報のうち、外部からの読み出しが不可能な第２情報については、さらに鍵管理サーバ９０において保持する。そして、量産用のＥＣＵ１０Ｂにおいて用いるＩＤを生成する際には、このような第１情報と第２情報とを入力とし、入力に対する出力が一定になる所定の計算式（例えばハッシュ関数）を用いて演算を行う。そして、当該演算による出力結果（ハッシュ値）を、量産用のＥＣＵ１０Ｂにおいて用いるＩＤとする。これにより、量産用のＥＣＵ１０ＢのＲＯＭ１３Ｂにおいて格納されている固有の情報を用いてユニークなＩＤを生成することが可能となるとともに、計算式の入力として用いた情報について外部から特定されることを防ぐことができる。なお、当該ＩＤの生成方法は、開発用のＥＣＵ１０Ａにおいて用いるＩＤにも適用することが可能である。

　なお、本実施形態におけるＩＤ認証処理では、ハードウェアＩＤとソフトウェアＩＤとが一致しているか否かを判定しているが、必ずしも両者が完全一致している必要はない。すなわち、ハードウェアＩＤとソフトウェアＩＤとを照合したときに、ハードウェアＩＤとソフトウェアＩＤとが適合しているか否かを判定できるような組合せであれば、ハードウェアＩＤとソフトウェアＩＤとはいかなる値の組合せであってもよい。

　また、上記のＩＤ認証処理では、ハードウェアＩＤとソフトウェアＩＤとの照合結果に応じてデータ書き換えツール３０によるＲＯＭ１３のデータの書き換えを許可又は禁止しているが、ＲＯＭ１３のデータへのアクセス自体を制御するようにしてもよい。

［６．その他］
　以上に説明した本発明の実施形態は、本発明の技術的範囲で考え得る実施態様の一部に過ぎず、本発明の例示として開示されるものであって、本発明の技術的範囲を制限するものではない。また、各実施形態における機能的構成及び物理的構成は、前述の態様に限定されるものではなく、例えば、各機能や物理的資源を統合して実装したり、逆に、さらに分散して実装したり、さらには、構成の一部について他の構成の追加、削除、置換等をすることも可能である。

１０…ＥＣＵ、１０Ａ…開発用のＥＣＵ、１０Ｂ…量産用のＥＣＵ、１１…プロセッサ、１３…ＲＯＭ、１３１…書き換え不可領域、１３２…書き換え可能領域、２０…開発用デバッグツール、３０…データ書き換えツール

Claims (5)

1. 　プロセッサ及び電気的にデータを書き換え可能な不揮発性記憶装置、並びに外部のデータ書き換え装置との間の通信を実現するインターフェースを備え、前記不揮発性記憶装置に、電子制御装置固有のハードウェアＩＤ及びソフトウェアプログラムに対応付けられたソフトウェアＩＤが設定され、前記ハードウェアＩＤと前記ソフトウェアＩＤとの照合結果に応じて前記データ書き換え装置による前記不揮発性記憶装置のデータの書き換えを許可する電子制御装置において、
   　前記不揮発性記憶装置に、電子制御装置の開発時において用いられる開発用のソフトウェアＩＤ及び電子制御装置の量産時において用いられる量産用のソフトウェアＩＤが前記ソフトウェアＩＤとして設定されており、
   　前記プロセッサが、前記不揮発性記憶装置から前記ハードウェアＩＤ及び前記量産用のソフトウェアＩＤを取得して、当該ハードウェアＩＤと当該量産用のソフトウェアＩＤとを照合し、当該ハードウェアＩＤと当該量産用のソフトウェアＩＤとが適合しない場合には、前記不揮発性記憶装置からさらに前記開発用のソフトウェアＩＤを取得して、前記ハードウェアＩＤと当該開発用のソフトウェアＩＤとを照合するように構成された、
   電子制御装置。
2. 　前記ハードウェアＩＤが、前記不揮発性記憶装置のうち外部からの書き換えが不可能な領域に設定されている一方、前記ソフトウェアＩＤが、前記不揮発性記憶装置のうち外部からの書き換えが可能な領域に設定されている、請求項１記載の電子制御装置。
3. 　外部の開発用デバッグツールとの間の通信を実現するインターフェースをさらに備え、
   　前記プロセッサは、前記ハードウェアＩＤと前記開発用デバッグツールにおいて入力されたＩＤとを照合し、当該照合結果に基づいて前記開発用デバッグツールによる前記不揮発性記憶装置のデータの書き換えを許可する、請求項１記載の電子制御装置。
4. 　前記ハードウェアＩＤは、前記不揮発性記憶装置に格納され外部からの読み出しが可能である第１情報と、前記不揮発性記憶装置に格納され外部からの読み出しが不可能な第２情報とを入力とした所定の計算式による演算の出力結果を用いて生成される、請求項１記載の電子制御装置。
5. 　プロセッサ及び電気的にデータを書き換え可能な不揮発性記憶装置、並びに外部のデータ書き換え装置との間の通信を実現するインターフェースを備え、前記不揮発性記憶装置に、電子制御装置固有のハードウェアＩＤ及びソフトウェアプログラムに対応付けられたソフトウェアＩＤが設定され、前記ハードウェアＩＤと前記ソフトウェアＩＤとの照合結果に応じて前記データ書き換え装置による前記不揮発性記憶装置のデータの書き換えを許可する電子制御装置のプロセッサが、
   　電子制御装置の開発時において用いられる開発用のソフトウェアＩＤ及び電子制御装置の量産時において用いられる量産用のソフトウェアＩＤが前記ソフトウェアＩＤとして設定された前記不揮発性記憶装置から、前記ハードウェアＩＤ及び前記量産用のソフトウェアＩＤを取得して、当該ハードウェアＩＤと当該量産用のソフトウェアＩＤとを照合し、当該ハードウェアＩＤと当該量産用のソフトウェアＩＤとが適合しない場合には、前記不揮発性記憶装置からさらに前記開発用のソフトウェアＩＤを取得して、前記ハードウェアＩＤと当該開発用のソフトウェアＩＤとを照合する、
   認証方法。

Images