(57)【要約】【課題】制御対象の制御動作を停止することなくプログラムの不正な書き換えを防止することができる車両用の電子制御装置を提供する。【解決手段】電子制御装置は、車両の通信システムに接続された第１マイクロコントローラと、第２マイクロコントローラと、前記第１マイクロコントローラおよび前記第２マイクロコントローラの間のデータ通信を行う内部通信部と、前記通信システムと前記第１マイクロコントローラとの間のデータ通信の認証を所定の第１認証方式により行う第１認証部と、前記第２コントローラの前記内部通信部を経由するデータ通信の認証を前記第１認証方式とは異なる所定の第２認証方式により行う第２認証部と、前記第２認証部による認証が失敗した場合に、前記第１マクロコントローラのプログラムを書き換える書き換え部と、を備える。【選択図】図１
2019034579.tif 000002
【特許請求の範囲】
【請求項１】
車両の通信システムに接続され、第１プログラムに基づいて前記車両が備える制御対象を制御する第１マイクロコントローラと、
前記通信システムに接続され、第２プログラムに基づいて前記制御対象を制御する第２マイクロコントローラと、
前記第１および第２マイクロコントローラの間のデータ通信を行う内部通信部と、
前記第１マイクロコントローラに設けられ、前記第１マイクロコントローラの前記通信システムを経由するデータ通信の認証を所定の第１認証方式により行う第１認証部と、
前記第１マイクロコントローラに設けられ、前記第１認証部による認証が成功した場合にのみ、前記通信システムを経由するデータ通信による前記第１プログラムの書き換え処理の実行を許可する第１制御部と、
前記第２マイクロコントローラに設けられ、前記第２マイクロコントローラの前記内部通信部を経由するデータ通信の認証を前記第１認証方式とは異なる所定の第２認証方式により行う第２認証部と、
前記第２マイクロコントローラに設けられ、前記第２認証部による認証が成功した場合にのみ、前記内部通信部を経由するデータ通信による前記第２プログラムの書き換え処理の実行を許可する第２制御部と、
前記第２マイクロコントローラに設けられ、前記内部通信部を経由するデータ通信において前記第２認証部による認証が失敗した場合に、前記第１プログラムを、第２プログラムと同等なプログラムに書き換える書き換え部と、
を備えることを特徴とする電子制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、２つのマイクロコントローラを備える車両用の電子制御装置に関する。
【背景技術】
【０００２】
自動車等の車両には、エンジンや電動パワーステアリング等の制御対象の動作制御を所定のプログラムに基づいて実行する複数の電子制御装置が配設されている。電子制御装置は、プログラムの書き換えが可能である。
【０００３】
特開２０１２−２４２９００号公報に開示の車載制御ユニットは、制御対象の動作制御を実行するメインマイコンと、メインマイコンのプログラムを不正に書き換える処理を監視するサブマイコンと、を備えており、サブマイコンは、正規のプログラムの書き換え処理では使用されない通信用端子への通信信号の入力の有無を監視し、通信用端子への通信信号の入力を検出した場合にメインマイコンの動作を阻止する。このような構成を有する特開２０１２−２４２９００号公報に開示の車載制御ユニットは、制御対象を制御するためのプログラムの不正な書き換えを防止することができる。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１２−２４２９００号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特開２０１２−２４２９００号公報に開示の技術では、メインマイコンの正規のプログラムの書き換え処理で用いられる通信用端子を経由したプログラムの不正な書き換え処理を防止することができない。例えば、特開２０１２−２４２９００号公報に開示の技術では、不正行為者によって、正規のプログラムの書き換え処理で用いられる通信用端子を経由したメインマイコンとの間のデータ通信の認証が突破されてしまえば、メインマイコンのプログラムの不正な書き換えが可能となってしまう。
【０００６】
また、特開２０１２−２４２９００号公報に開示の技術では、プログラムの不正な書き換え処理を検出した場合には、電子制御装置による制御対象の制御動作が停止してしまう。
【０００７】
本発明は前述した問題を解決するものであり、制御対象の制御動作を停止することなくプログラムの不正な書き換えを防止することができる車両用の電子制御装置を提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明の一態様の電子制御装置は、車両の通信システムに接続され、第１プログラムに基づいて前記車両が備える制御対象を制御する第１マイクロコントローラと、前記通信システムに接続され、第２プログラムに基づいて前記制御対象を制御する第２マイクロコントローラと、前記第１および第２マイクロコントローラの間のデータ通信を行う内部通信部と、前記第１マイクロコントローラに設けられ、前記第１マイクロコントローラの前記通信システムを経由するデータ通信の認証を所定の第１認証方式により行う第１認証部と、前記第１マイクロコントローラに設けられ、前記第１認証部による認証が成功した場合にのみ、前記通信システムを経由するデータ通信による前記第１プログラムの書き換え処理の実行を許可する第１制御部と、前記第２マイクロコントローラに設けられ、前記第２マイクロコントローラの前記内部通信部を経由するデータ通信の認証を前記第１認証方式とは異なる所定の第２認証方式により行う第２認証部と、前記第２マイクロコントローラに設けられ、前記第２認証部による認証が成功した場合にのみ、前記内部通信部を経由するデータ通信による前記第２プログラムの書き換え処理の実行を許可する第２制御部と、前記第２マイクロコントローラに設けられ、前記内部通信部を経由するデータ通信において前記第２認証部による認証が失敗した場合に、前記第１プログラムを、第２プログラムと同等なプログラムに書き換える書き換え部と、を備える。
【発明の効果】
【０００９】
本発明によれば、制御対象の制御動作を停止することなくプログラムの不正な書き換えを防止することができる車両用の電子制御装置を提供することが可能である。
【図面の簡単な説明】
【００１０】
【図１】電子制御装置の構成を示す図である。
【発明を実施するための形態】
【００１１】
以下に、本発明の好ましい形態について図面を参照して説明する。なお、以下の説明に用いる各図においては、各構成要素を図面上で認識可能な程度の大きさとするため、構成要素毎に縮尺を異ならせてあるものであり、本発明は、これらの図に記載された構成要素の数量、構成要素の形状、構成要素の大きさの比率、及び各構成要素の相対的な位置関係のみに限定されるものではない。
【００１２】
図１において、符号１は、自動車等の車両の電子制御装置であり、所定のプログラムに基づき車両の動作制御を実施する。車両において、本実施形態の電子制御装置１が制御を行う対象（制御対象２０）は特に限定されるものではない。例えば、電子制御装置１の制御対象２０は、エンジンや電動モータ等の動力発生装置であってもよいし、電動パワーステアリング装置であってもよい。また、車両は本実施形態の電子制御装置１を複数備えていてもよい。
【００１３】
電子制御装置１は、第１マイクロコントローラ（以下では、第１マイコンと称する）２、第２マイクロコントローラ（以下では、第２マイコンと称する）３、および内部通信部５を備える。
【００１４】
第１マイコン２および第２マイコン３は、それぞれＣＰＵ、ＲＯＭ、入出力装置等がバスに接続されたコンピュータである。第１マイコン２と第２マイコン３との間は、内部通信部５を介したデータ通信が可能である。
【００１５】
また、第１マイコン２および第２マイコン３は、通信システム１０に並列に接続されており、通信システム１０との間での信号の授受を行うことができる。通信システム１０には、車両が備える他の複数の電子制御装置等が接続されている。通信システム１０は、車両が備える複数の電子制御装置間のデータ通信を行う。本実施形態では一例として、通信システム１０は、一般にＣｏｎｔｒｏｌｌｅｒ  Ａｒｅａ  Ｎｅｔｗｏｒｋ等と称される形態のものである。電子制御装置１は、通信システム１０を介したデータ通信により、車両が備える他の電子制御装置と協調した制御動作が可能である。
【００１６】
詳しくは後述するが、第１マイコン２および第２マイコン３は制御対象２０に並列に電気的に接続されている。第１マイコン２および第２マイコン３は、所定のプログラムに基づいて、制御対象２０を同様に制御することができる。
【００１７】
第１マイコン２および第２マイコン３による制御対象２０の制御は、例えば通常時は第１マイコン２のみによって実行され、第１マイコン２の動作に障害が発生した場合に第２マイコンのみにより実行される排他的な形態であってもよい。また、例えば、第１マイコン２および第２マイコン３による制御対象２０の制御は、通常時は第１マイコン２および第２マイコン３の双方の協調動作により実行され、第１マイコン２および第２マイコン３の一方の動作に障害が発生した場合に他方のみによって実行される形態であってもよい。いずれの形態であっても、電子制御装置１は、第１マイコン２および第２マイコン３を備えることにより、一方のマイコンの動作に障害が発生した後も他方のマイコンにより制御対象２０の制御を続行することができる冗長性を有している。
【００１８】
通信システム１０には、端末接続部１１が設けられている。端末接続部１１は、電子機器である端末装置２１を通信システム１０に接続するためのコネクタである。端末装置２１は、コンピュータを備え、車両の診断時等に一時的に端末接続部１１に接続される装置である。端末装置２１は、端末接続部１１および通信システム１０を経由して、電子制御装置１とのデータ通信を行うことができる。詳しくは後述するが、端末装置２１は、電子制御装置１のプログラムの書き換えが可能である。
【００１９】
より具体的に、第１マイコン２は、第１記憶部２ａ、第１制御部２ｂ、第１データ通信部２ｃ、第１入出力部２ｄ、第１内部通信部２ｅおよび第１認証部２ｆを備える。なお、第１マイコン２が備えるこれらの構成は、ハードウェアとして実装されていてもよいし、ソフトウェアとして実装されていてもよい。
【００２０】
第１マイコン２が備える書き換え可能な記憶装置である第１記憶部２ａは、電子制御装置１による制御対象２０の制御動作を定める第１プログラム２ｐを記憶する。第１マイコン２は、第１入出力部２ｄを介して制御対象２０が備えるアクチュエータ、センサ、表示装置等の電子機器に電気的に接続される。
【００２１】
第１データ通信部２ｃは、通信システム１０に電気的に接続されている。第１データ通信部２ｃは、第１マイコン２と通信システム１０との間での信号の授受を行う。第１制御部２ｂは、第１プログラム２ｐに基づき、制御対象２０を制御する。
【００２２】
第１内部通信部２ｅは、内部通信部５を経由して第２マイコン３との間でデータ通信を行う。内部通信部５を介した第１マイコン２と第２マイコン３との間のデータ通信のプロトコルは、通信システム１０と同様であってもよいし、通信システム１０とは異なっていてもよい。
【００２３】
第１認証部２ｆは、通信システム１０を経由する第１マイコン２と端末装置２１との間のデータ通信の認証を、所定の第１認証方式により行う。第１制御部２ｂは、第１認証部２ｆによる認証が成功した場合にのみ、端末装置２１による第１プログラム２ｐの書き換え処理の実行を許可する。すなわち、第１制御部２ｂは、第１認証部２ｆによる認証が失敗した場合には、端末装置２１による第１プログラム２ｐの書き換え処理の実行を拒否する。また、第１制御部２ｂは、内部通信部５を経由するデータ通信による第１プログラム２ｐの書き換え処理の実行を許可する。内部通信部５を経由するデータ通信による第１プログラム２ｐの書き換え処理は、後述する書き換え部３ｂ１により行われる。
【００２４】
第１認証部２ｆによる認証は、端末装置２１が車両の製造者が正規に認めた型式のものであるか否かを認証するものであってもよいし、端末装置２１から第１マイコン２に送信される第１プログラム２ｐを書き換えるための書き換えプログラムが車両の製造者が正規に認めた型式のものであるか否かを認証するものであってもよい。
【００２５】
第１認証方式の形態は特に限定されるものではない。例えば、第１認証方式は、ＲＦＩＤの読み取り装置等の通信システム１０とは異なる経路により、端末装置２１が有する認証情報を読み取ることにより認証を行うものであってもよいし、また例えば、第１認証方式は、通信システム１０を介した端末装置２１との間の所定の暗号方式のデータ通信に基づく認証を行うものであってもよい。
【００２６】
第２マイコン３は、第２記憶部３ａ、第２制御部３ｂ、第２データ通信部３ｃ、第２入出力部３ｄ、第２内部通信部３ｅ、第２認証部３ｆ、および書き換え部３ｂ１を備える。なお、第２マイコン３が備えるこれらの構成は、ハードウェアとして実装されていてもよいし、ソフトウェアとして実装されていてもよい。
【００２７】
第２マイコン３が備える書き換え可能な記憶装置である第２記憶部３ａは、電子制御装置１による制御対象２０の制御動作を定める第２プログラム３ｐを記憶する。第２マイコン３は、第２入出力部３ｄを介して制御対象２０が備えるアクチュエータ、センサ、表示装置等の電子機器に電気的に接続される。
【００２８】
第２データ通信部３ｃは、通信システム１０に電気的に接続されている。第２データ通信部３ｃは、第２マイコン３と通信システム１０との間での信号の授受を行う。第２制御部３ｂは、第２プログラム３ｐに基づき、制御対象２０を制御する。
【００２９】
第２プログラム３ｐに基づく第２マイコン３による制御対象２０の制御動作は、第１プログラム２ｐに基づく第１マイコン２による制御対象の制御動作と同一である。
【００３０】
第２内部通信部３ｅは、内部通信部５を経由して第１マイコン２との間でデータ通信を行う。第２認証部３ｆは、第１マイコン２および内部通信部５を経由する第２マイコン３と端末装置２１との間のデータ通信の認証を、前述した第１認証部２ｆによる第１認証方式とは異なる所定の第２認証方式により行う。
【００３１】
第２制御部３ｂは、第２認証部３ｆによる認証が成功した場合にのみ、端末装置２１による第２プログラム３ｐの書き換え処理の実行を許可する。
【００３２】
すなわち、第２制御部３ｂは、第２認証部３ｆによる認証が失敗した場合には、端末装置２１による第２プログラム３ｐの書き換え処理の実行を拒否する。また、第２制御部３ｂは、内部通信部５を経由しないデータ通信による第２プログラム３ｐの書き換え処理の実行を拒否する。具体的に、内部通信部５を経由しないデータ通信とは、第２データ通信部３ｃを経由するデータ通信のことである。
【００３３】
第２認証部３ｆによる認証は、端末装置２１が車両の製造者が正規に認めた型式のものであるか否かを認証するものであってもよいし、端末装置２１から第２マイコン３に送信される第２プログラム３ｐを書き換えるための書き換えプログラムが車両の製造者が正規に認めた型式のものであるか否かを認証するものであってもよい。
【００３４】
第２認証方式の形態は特に限定されるものではない。例えば、第２認証方式は、第１マイコン２および内部通信部５を介した端末装置２１との間の所定の暗号方式のデータ通信に基づく認証を行う。
【００３５】
また、第２制御部３ｂは、書き換え部３ｂ１を備える。書き換え部３ｂ１は、第１マイコン２との間の内部通信部５を経由したデータ通信において、第２認証部３ｆによる認証が失敗した場合に、第１マイコン２の第１記憶部２ａに記憶されている第１プログラム２ｐを、第２マイコン３の第２記憶部３ａに記憶されている第２プログラム３ｐと同等なプログラムに書き換える。
【００３６】
ここで、第２マイコン３の第２記憶部３ａに記憶されている第２プログラム３ｐと同等なプログラム、とは、当該プログラムに基づく第１マイコン２による制御対象の制御動作が、第２プログラム３ｐに基づく第２マイコン３による制御対象の制御動作と同一となるものことである。すなわち、書き換え部３ｂ１によって第１プログラム２ｐが書き換えられた後の第１マイコン２は、第２マイコン３と同一の制御動作を行うようになる。
【００３７】
以上のように構成された本実施形態の電子制御装置１において、第１マイコン２が正常に動作している場合には、端末装置２１と第２マイコン３との間のデータ通信は第１マイコン２および内部通信部５を経由する必要がある。したがって、第１マイコン２が正常に動作している場合において、端末装置２１によって第２マイコン３の第２プログラム３ｐを書き換えるには、第１認証部２ｆによる第１認証方式と、第２認証部３ｆによる第２認証方式と、の２つの異なる認証が成功しなければならない。
【００３８】
したがって、本実施形態の電子制御装置１では、１つの認証方式が成功すればプログラムの書き換えが可能であった従来技術に比して、不正にプログラムを書き換えることがより困難となる。
【００３９】
また、本実施形態の電子制御装置１では、端末装置２１により電子制御装置１のプログラムを不正に書き換える試みにおいて、第１認証部３ｆによる認証が成功して第１プログラム２ｐが不正に書き換えられた場合であっても、第２認証部３ｆによる認証が失敗した場合には、第２マイコン３によって、第１マイコン２の第１プログラム２ｐが第２マイコン３の第２プログラム３ｐと同等なプログラムに書き換えられる。この時、第２マイコン３の第２プログラム３ｐは、端末装置２１によって不正な書き換えがなされていない状態であるから、第２マイコン３によって書き換えられた後の第１マイコン２の第１プログラム２ｐは、不正な書き換えがなされる前の状態に戻る。
【００４０】
したがって、本実施形態の電子制御装置１では、プログラムを不正に書き換える試みが行われた後にも、制御対象２０の制御動作を停止することなく継続することができる。
【００４１】
本発明は、上述した実施形態に限られるものではなく、請求の範囲及び明細書全体から読み取れる発明の要旨或いは思想に反しない範囲で適宜変更可能であり、そのような変更を伴う車両用の電子制御装置もまた本発明の技術的範囲に含まれるものである。
【符号の説明】
【００４２】
１    電子制御装置、
２    第１マイクロコントローラ（第１マイコン）、
２ａ    第１記憶部、
２ｂ    第１制御部、
２ｃ    第１データ通信部、
２ｄ    第１入出力部、
２ｅ    第１内部通信部、
２ｆ    第１認証部、
２ｐ    第１プログラム、
３    第２マイクロコントローラ（第２マイコン）、
３ａ    第２記憶部、
３ｂ    第２制御部、
３ｂ１    書き換え部、
３ｃ    第２データ通信部、
３ｄ    第２入出力部、
３ｅ    第２内部通信部、
３ｆ    第２認証部、
３ｐ    第２プログラム、
５    内部通信部、
１０    通信システム、
１１    端末接続部、
２０    制御対象、
２１    端末装置。
【図１】
2019034579.tif 000003