(57)【特許請求の範囲】
【請求項１】
外部ツールにより電気的に消去および書き込み可能なメモリから構成される制御メモリを搭載したコントロールユニットを備え、外部ツールから制御メモリに送信されたデータ書き換え防止解除要求信号を判定してから制御メモリに対するデータ書き換えを許可するようにした車両制御用メモリ書き換え装置において、前記外部ツールからのデータ書き換え防止解除要求信号が正規のものであるかどうかを判定する手段と、前記解除要求信号が正規のものでないときにその解除要求信号の送信回数をカウントする手段と、正規でない解除要求信号の送信回数が所定値に達したときにデータ書き換えを一切禁止し、この禁止状態をコントロールユニットのバックアップＲＡＭに記憶させる手段と、前記データ書き換え禁止後に車両のエンジンの作動状態が所定の運転状態になったときに前記書き換え禁止を解除する手段を備えたことを特徴とする車両制御用メモリ書き換え装置。
【請求項２】
前記所定の運転状態になるとは、少なくともエンジン回転数が所定値以上、エンジン冷却水温が所定値以上、始動時エンジン冷却水温と現在のエンジン冷却水温との差が所定値以上、または空燃比のフィードバック制御が実行されている、かのいずれか一つでも満たされているときである請求項１に記載の車両制御用メモリ書き換え装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
この発明は車両に搭載したコントロールユニットのメモリ書き換え装置に関する。
【０００２】
【従来の技術】
ＣＰＵ、制御メモリ、入出力装置から構成される車両制御用のコントロールユニットにおいて、従来、制御メモリの内容を変更するには、メモリ自体を交換する必要があったが、近年、外部ツールを介しての通信により電気的に消去および書き込みが可能なメモリを使用することで、制御メモリの交換を不要とし、コストの低減を可能としている（特開平６−２７２６１１号公報参照）。
【０００３】
【発明が解決しようとする課題】
ところで、この制御メモリの書き換えについては、正規以外のデータ書き換えを防止する意味から、メモリ書き換え通信の実行の前に暗号を通信するなどのセキュリティ通信を要件とすることが一般的に行われている。
【０００４】
このセキュリティ通信では通信される暗号が正規のものと一致しないときにはメモリ書き換えが許可されず、制御メモリの保存データのセキュリティを保証しているが、通常はセキュリティ通信で送信される暗号が不一致のときは、正しい暗号が受信されるまで、繰り返しセキュリティ通信を受け付けるようになっている。
【０００５】
しかし、連続的に異なる暗号を受け付ている間には、いつかは暗号が解読されることがあり、これではセキュリティの点から安全性が万全とは言えない。
【０００６】
本発明はこのような問題を解決するために提案されたもので、セキュリティ通信の暗号（メモリ書き換え防止解除要求信号）が不一致の回数が所定回数を越えたら、一切の通信を受け付けないようにすることにより、セキュリティを確保することを目的とする。
【０００７】
【課題を解決するための手段】
第１の発明は、外部ツールにより電気的に消去および書き込み可能なメモリから構成される制御メモリを搭載したコントロールユニットを備え、外部ツールから制御メモリに送信されたデータ書き換え防止解除要求信号を判定してから制御メモリに対するデータ書き換えを許可するようにした車両制御用メモリ書き換え装置において、前記外部ツールからのデータ書き換え防止解除要求信号が正規のものであるかどうかを判定する手段と、前記解除要求信号が正規のものでないときにその解除要求信号の送信回数をカウントする手段と、正規でない解除要求信号の送信回数が所定値に達したときにデータ書き換えを一切禁止し、この禁止状態をコントロールユニットのバックアップＲＡＭに記憶させる手段と、前記データ書き換え禁止後に車両のエンジンの作動状態が所定の運転状態になったときに前記書き換え禁止を解除する手段を備える。第２の発明は、前記所定の運転状態になったときとは、少なくともエンジン回転数が所定値以上、エンジン冷却水温が所定値以上、始動時エンジン冷却水温と現在のエンジン冷却水温との差が所定値以上、または空燃比のフィードバック制御が実行されている、かのいずれか一つでも満たされているときである。
【００１１】
【発明の作用効果】
第１の発明によれば、制御メモリの書き換えのために、セキュリティ通信時に送られてくるデータ書き換え防止解除要求信号（暗号）が正規のものであるかどうかを判定し、もしこの解除要求信号が正規のものでないときには、その送信回数が所定値に達した時点で、解除要求を拒否してメモリ書き換えを一切禁止するので、何回も解除要求が送信しているうちに暗号が解読されるといった問題を未然に防止することができ、制御メモリのデータ保存のセキュリティを高めることが可能となる。データ書き換え禁止状態をバックアップＲＡＭに記憶しているため、他の機会に再度解除要求がだされたときにも、直ちにこれを拒否でき、メモリ保存されているデータのセキュリティが高められる。データ書き換え禁止後に車両のエンジンの作動状態が所定の運転状態になったときはデータ書き換え禁止状態を解除し、初期状態に戻すので、誤動作、誤通信などにより暗号不一致の回数が多くなったときなど、いったんエンジンを運転することにより、禁止状態を解除でき、書き換え不能な状態の復帰を通信に頼ることなく、容易に実現できる。第２の発明では、エンジン回転数が所定値以上、エンジン冷却水温が所定値以上、始動時エンジン冷却水温と現在のエンジン冷却水温との差が所定値以上、または空燃比のフィードバック制御が実行されているときなど、つまりエンジンが通常の作動状態に復帰した後に、メモリ書き換えの禁止状態を解除できる。
【００１５】
【発明の実施の形態】
以下本発明の最良の実施の形態を図面に基づいて説明する。
【００１６】
図１はシステム構成を示し、１はエンジン制御用コントロールユニットとオートマチックトランスミッション制御用コントロールユニットを統合した、パワートレーンコントロールモジュール（以下ＰＣＭという）である。
【００１７】
ＣＰＵ、制御メモリ、入出力装置から構成される各コントロールユニットでは、制御プログラムにしたがってＣＰＵが各種の制御を行う。たとえば、アイドル回転数を運転条件に応じた目標値に自動的に制御するための機構として、スロットルバルブをバイパスする補助空気通路に、エンジン制御用コントロールユニットからの信号により駆動される補助空気弁を介装し、ステップモータにより補助空気弁の開度を制御し、アイドル回転数を目標値に一致するように制御する。
【００１８】
ところで、制御メモリをＥＥＰＲＯＭやフラッシュメモリ（電気的に消去および書き込みが可能なメモリ）で構成することで、制御プログラムをＥＥＰＲＯＭやフラッシュメモリに書き込んだ後に、アイドル回転数制御プログラム中にバグ（間違い）を発見した場合に、図１に示したように、ＰＣＭ１に外部ツール２を接続し、外部ツール２より制御メモリの書き換えデータを送って、ＰＣＭ１内部の制御メモリを書き換えることを可能とする。
【００１９】
制御メモリ書き換えのための外部ツール２も、コントロールユニットと同様、ＣＰＵ、メモリ、入出力装置から構成され、制御メモリ書き換えデータ（バグを除いた後の制御プログラム）が搭載されている。外部ツール２は制御メモリの書き換え時に通信線を介してＰＣＭ１に接続され、図２に示すようにして制御メモリの書き換えが行われる。ＰＣＭ１、外部ツール２とも通信装置を有しており、両者はシリアル通信によりデータのやり取りが行われる。
【００２０】
ところで、この制御メモリの書き換えは正規の外部ツール以外のものを利用して行われることのないように、制御メモリの書き換えの前にセキュリティ通信を行い、暗号が一致したときにのみ初めてメモリ書き換えが許可されるようになっている。しかし、暗号が一致しないときに、一致するまで無制限にセキュリティ通信受付けていると、いずれは暗号が解読される心配もある。
【００２１】
そこで、この発明ではセキュリティ通信による暗号の不一致が所定の回数に達したら、一切の通信を拒否し、メモリ書き換えを禁止状態にするようにした。
【００２２】
この制御内容について、図２〜図４に基づいてさらに詳しく説明する。
【００２３】
いま図２、図３は、外部ツール２とＰＣＭ１のあいだの信号のやり取りを表した通信シーケンスである。
【００２４】
制御メモリの書き換えに際してはまずＰＣＭ１との間でセキュリティ通信を行う。セキュリティ通信は、制御メモリを含めた各種のメモリを、市場でメーカーやディーラーの関係者以外の者が簡単に書き換えることができないようにメモリの書き換えを実施する前に行う暗号のやりとりのことである。
【００２５】
具体的には、外部ツール２より書き換え防止解除要求信号（暗号）をＰＣＭ１に向けて送り、これが正規の要求信号であれば、図２のように、これを受けたＰＣＭ１より書き換え防止解除を送り返すことでセキュリティ通信が終了し、ＰＣＭ１がアンロック状態（つまり書き換え防止が解除された状態）となる。
【００２６】
そして、外部ツール２からの制御メモリの書き換え要求に対して、ＰＣＭ１から書き換え要求の許可が送信され、制御メモリの書き換えデータが送信され、これをＰＣＭ１が受信し、データ書き込みが実行される。
【００２７】
しかし、正規の外部ツール２でないときは、図３のように、暗号が不一致となり、暗号のやりとりが成立しないためＰＣＭ１がアンロック状態となることはなくロック状態（書き換え防止状態）のままとなる。そしてこの場合、書き換え防止解除要求信号が繰り返し送信され、いずれも不一致のときには、その受信回数をＰＣＭ１側でカウントしていき、所定回数（Ｘ回）に達したときには、以後一切の通信を受け付けることなく、セキュリティ通信を禁止状態にしてメモリ書き換えを一切禁止する。なお、この禁止状態はＰＣＭ１のバックアップＲＡＭに記憶する。ただし、後述するように、この禁止状態はエンジンの運転状態が一定の条件を満たすことにより、解除されるようになっている。
【００２８】
次にこのＰＣＭ１でのセキュリティ通信の禁止処理の詳細を、図４のフローチャートにしたがって説明する。
【００２９】
図４において、まずステップ１でセキュリティ通信が禁止状態にあるかどうか判定し、禁止状態のときは、ステップ２においてエンジン回転数が所定値以上であるかどうか判定し、所定値以上のときは、ステップ３でセキュリティ通信禁止状態の解除（禁止フラグをリセット）を行う。
【００３０】
これは正規の運転者などがエンジンを再起動したときなど、セキュリティ通信の禁止を解除するもので、セキュリティ通信が誤操作や誤通信により暗号の不一致を生じたときなど、不能状態に陥ったままとすることのないようにして、操作性を向上させるためである。
【００３１】
そして、ステップ４ではセキュリティ通信の禁止解除もしくはステップ１からの非禁止状態を受けて、運転状態が書き換え許可状態にあるかどうか判定し、許可状態にあるときは、ステップ５に進んで外部ルーツからの暗号信号（書き換え防止解除要求信号）の受信があるかどうかを判断する。
【００３２】
もし、暗号が送信されているときは、ステップ６において暗号が予め設定されたものと一致するかどうかを判定し、一致するときは、正規の外部ツールからの解除要求と見做して、ステップ７に進み、制御メモリの書き換え許可信号を外部ツールに向けて送信し、ステップ８において制御メモリの書き換え状態に移行するのである。
【００３３】
これに対して、ステップ６において暗号が不一致のときには、ステップ９に移行して繰り返して送信される暗号の不一致回数のカウント値を予め設定した所定値と比較する。不一致回数が所定値以下のときは、ステップ１１に進んで暗号不一致回数をカウントするカウンタをカウントアップする。
【００３４】
そして、ステップ９において、この不一致回数が所定値を越えたことを判断したら、ステップ１０に進んでセキュリティ通信を禁止状態して禁止フラグをセットし、一切の制御メモリ書き換えを不能状態にする。
【００３５】
このようにして、暗号の照合回数が所定値に達したら、セキュリティ通信を禁止し、制御メモリの外部からの書き換えを不能にし、メモリ保存データのセキュリティを確保する。
【００３６】
次に作用について説明する。
【００３７】
いま、外部ツール２からＰＣＭ１に対して、セキュリティ通信により、書き換え防止解除要求信号が送信されたときには、その解除要求信号、つまり暗号が正規のものかどうか判定し、もし、正規信号でなければ、ＰＣＭ１は書き換え防止信号を送信し、書き換え防止（ロック）状態を維持する。
【００３８】
これに対して正規の暗号が送信されれば、書き換え防止解除の要求を受け入れて制御メモリの書き換え可能な状態にし、データ書き換えを実行させる。
【００３９】
しかし、暗号が予め設定した正規な信号でなく、かつその不正な暗号が繰り返し送信されてきたときは、その送信回数をカウントして、これが所定値に達したときにはセキュリティ通信を禁止する。
【００４０】
不正な暗号を用いて繰り返し書き換え防止の解除要求が行われたときなど、繰り返し異なる暗号を受付ている間には、いつかは暗号が解読されることがあり、これでは保存データのセキュリティの点から問題を生じるが、このように繰り返し不正な暗号による照合が行われたときには、一切の通信を禁止するので、セキュリティ通信を繰り返すことができず、暗号の解読も不能になり、制御メモリが不正に書き換えられるのを確実に防止できる。
【００４１】
なお、このセキュリティ通信の禁止状態は、ＰＣＭ１のバックアップＲＡＭに記憶してあるので、ある時間の経過後に再び、セキュリティ通信が試みられたとしても、依然として禁止状態を維持することができる。
【００４２】
ところで、外部ツール２の操作に誤りがあり、誤操作、誤通信によりセキュリティ通信が禁止状態に陥ったときなど、この禁止状態をエンジンの作動状態が、所定の運転状態になったことを条件として解除可能としている。つまり、通信禁止状態になった後に、エンジン回転数が所定値以上となったときには、通信に頼らずに、セキュリティ通信の禁止状態を解除し、セキュリティ通信可能な状態に復帰させ、外部ツール２の操作などに不慣れな状態で誤操作が繰り返されたときなど、現状回復を行い、再度の暗号照合による制御メモリのデータ書き換えを可能としている。
【００４３】
なお、この禁止状態を回復するための運転条件としては、エンジン回転数が所定値以上のときだけに限定されるわけではなく、この他、エンジン冷却水温が所定値以上、始動時エンジン冷却水温と現在の冷却水温との差が所定値以上のとき、あるいはエンジンの暖機が終了して空燃比フィードバック制御に移行しているときなどの、いずれか一つでも成立しているとき、つまりエンジンの始動後、エンジン運転状態の安定性が確保されていることを条件にして、禁止を解除してもよい。
【図面の簡単な説明】
【図１】本発明の実施形態の制御システム図である。
【図２】外部ツールとの通信シーケンス図である。
【図３】同じく通信が禁止されたときの通信シーケンス図である。
【図４】制御メモリ書き換え禁止処理を示すフローチャートである。
【符号の説明】
１  ＰＣＭ
２  外部ツール
【図１】
0003704904.tif 000002
【図２】
0003704904.tif 000003
【図３】
0003704904.tif 000004
【図４】
0003704904.tif 000005