(57)【要約】【課題】  本発明は、第三者による不正なソフトウェアへの書き換えを防止し、不正なソフトウェアが書き込まれた場合でも、検知できるようにする。【解決手段】  メイン制御部２０と、監視部３０と、を備えた変速機制御装置１０において、メイン制御部２０は、メイン制御部２０のソフトウェアの整合性を診断する整合性診断部２１と、ソフトウェアの比較データを演算する比較データ演算部２２と、監視部３０から比較データを読み出す比較データ読出部２３と、断結果をバックアップする内蔵ＥＥＰＲＯＭ部５０と、を有し、監視部３０は、比較データを記憶する比較データ記憶部３１と、比較データ記憶部３１から比較データを比較データ読出部２３に送る比較データ送信部３２と、を有し、整合性診断部２１がソフトウェアの整合性の異常を診断すると、内蔵ＥＥＰＲＯＭ部５０は異常情報と履歴を記憶する。【選択図】図１
2019160107.tif 000002
【特許請求の範囲】
【請求項１】
メイン制御部と、監視部と、を備えた変速機制御装置において、
前記メイン制御部は、
該メイン制御部のソフトウェアの整合性を診断する整合性診断部と、
前記ソフトウェアの比較データを演算する比較データ演算部と、
前記監視部から前記比較データを読み出す比較データ読出部と、
診断結果をバックアップする内蔵ＥＥＰＲＯＭ部と、を有し、
前記監視部は、
前記比較データを記憶する比較データ記憶部と、
前記比較データ記憶部から前記比較データを前記比較データ読出部に送る比較データ送信部と、を有し、
前記整合性診断部が前記ソフトウェアの整合性の異常を診断すると、前記内蔵ＥＥＰＲＯＭ部は異常情報と履歴を記憶することを特徴とする変速機制御装置。
【請求項２】
請求項１に記載の変速機制御装置において、
前記メイン制御部は、メイン制御部書換部と、監視部書込部とを備え、
前記メイン制御部書換部による前記メイン制御部の書き換え時に、前記監視部書込部から前記監視部の前記比較データ記憶部に前記比較データが書き込まれる
ことを特徴とする変速機制御装置。
【請求項３】
請求項１に記載の変速機制御装置において、
前記メイン制御部は、鍵情報参照部と、ＥＥＰＲＯＭ状態判定部と、比較データ書込判定部と、ＣＡＮドライバと、を備え、
前記ＥＥＰＲＯＭ状態判定部による前記内臓ＥＥＰＲＯＭ部の状態と、前記鍵情報参照部による前記ＣＡＮドライバを通して読み出した前記鍵情報とにより、前記比較データ書込判定部が書き込み可能と判断した場合、
前記監視部書込部は前記監視部の前記比較データ記憶部に前記比較データを書き込む
ことを特徴とする変速機制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、変速機制御装置に関する。
【背景技術】
【０００２】
変速機制御装置のメイン制御部ソフトウェアは、一般的に車両側の書き換えツールと接続してソフトウェアの書き換えが行われる。
【０００３】
一般的に、ソフトウェア書き換えに際して、不正なソフトウェアへの書き換えを検知するために、監視部を使用する機能が用いられている。例えば、特許文献１では、第三者が不正な書き換えツールを用いて、正規の書き換えツールとは異なる通信用端子で変速機制御装置に接続して不正なソフトウェアへの書き換えを意図した場合に、監視部を用いて正規の書き換えツールが使用する通信用端子が動作していないことを検知する技術が開示されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１２−２４２９００号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
車両に搭載されている制御装置は、近年、不正なソフトウェアへの書き換え対策が進んでいる。実際に、不正なソフトウェアに書き換えることで、該当車両のセキュリティを突破して盗難する事例も報告されており、対応が行われている。しかし、特許文献１の方式では、不正行為者が正規の書き換えツールで使用する通信用端子を用いて、メイン制御部のソフトウェアを不正に書き換えた場合、正規の通信用端子を用いているために不正な書き換えを監視部で検知できず、書き換えられてしまうと不正なソフトウェアであることを検知できない。
【０００６】
本発明は、第三者による不正なソフトウェアへの書き換えを防止し、不正なソフトウェアが書き込まれた場合でも、検知できるようにすることを目的とする。
【課題を解決するための手段】
【０００７】
本発明は、変速機制御装置は、メイン制御部と、監視部と、を備えた変速機制御装置において、前記メイン制御部は、該メイン制御部のソフトウェアの整合性を診断する整合性診断部と、前記ソフトウェアの比較データを演算する比較データ演算部と、前記監視部から前記比較データを読み出す比較データ読出部と、診断結果をバックアップする内蔵ＥＥＰＲＯＭ部と、を有し、前記監視部は、前記比較データを記憶する比較データ記憶部と、前記比較データ記憶部から前記比較データを前記比較データ読出部に送る比較データ送信部と、を有し、前記整合性診断部が前記ソフトウェアの整合性の異常を診断すると、前記内蔵ＥＥＰＲＯＭ部は異常情報と履歴を記憶する。
【発明の効果】
【０００８】
本発明では、第三者による不正なソフトウェアへの書き換えを防止し、不正なソフトウェアが書き込まれた場合でも、検知できるようにすることができる。
【図面の簡単な説明】
【０００９】
【図１】本発明の実施形態を示すシステム構成の一例を示す図である。
【図２】メイン制御部のソフトウェア書き換え実行時、メイン制御部の書き換えと監視部への書き込み判断手順を示すフローチャートである。
【発明を実施するための形態】
【００１０】
本実施例は、変速機制御装置におけるソフトウェアの整合性を監視して、不正なソフトウェアが変速機制御装置に書き込まれた場合に異常状態であることを検知して、異常情報と履歴を記憶する。
【００１１】
本実施例では、監視部への書き込み判断を、メイン制御部のみで行わず、外部ＥＥＰＲＯＭから取得した鍵情報と比較することで、第三者による不正なソフトウェアへの書き換えを防止し、不正なソフトウェアが書き込まれた場合でも、検知できるようにする。
【００１２】
また、内蔵ＥＥＰＲＯＭ内の状態から工場での書換／販売店での書換／それ以外での書換のいずれかを判別することで、工場での生産時には鍵情報を用いることなく監視部への書き込みを可能とし、工場での生産性を下げることなく不正なソフトウェアへの書き換え防止効果を高めることを可能とする。
【００１３】
本実施例は、変速機制御装置にメイン制御部と、メイン制御部からの信号に基づいてメイン制御部の監視を行う監視部とを備えており、記変速機制御装置に対するメイン制御部のソフトウェアの整合性を診断する比較データ診断部と、監視部に診断部で参照する比較データを書き込むための監視部書込部と、監視部書込部の実行判定を行っている比較データ書込判定部とを備えており、メイン制御部のソフトウェアから演算した比較データと、監視部に記憶された比較データ間で整合性を確認し、メイン制御部ソフトウェアの異常を検知する。
【００１４】
診断に用いられる監視部から読み出す比較データは、メイン制御部の書き換え時に書き込みを行う。メイン制御部の書き換え後に外部ＥＥＰＲＯＭ部に記憶されている鍵情報を読み出し、内部ＥＥＰＲＯＭの状態から書き換え場所を判断して、比較データ書込判定部にて判定を行い、判定の結果が正常であればメイン制御部のソフトウェアから比較データを演算し、監視部へ比較データを書き込む。
【００１５】
この判定により、不正なソフトウェアを書き込もうとした場合でも、メイン制御部だけでなく、外部ＥＥＰＲＯＭの記憶情報を用いることで、監視部への書き込みを制限し、不正なソフトウェアが書き込まれてしまった場合でも、それを不正なソフトウェアと判断できるようにすることで信頼性向上の利点がある。
【００１６】
以下、本発明の実施例を、図面を用いて説明する。
まず、図１を用いて本発明の実施例について説明する。
図１に車両の自動変速機を制御する変速機制御装置全体のブロック図を示す。
変速機制御装置１０にはメイン制御部２０とメイン制御部２０を監視する監視部３０とＣＡＮドライバ６０とを備える。メイン制御部２０には、書換処理部４０と内蔵ＥＥＰＲＯＭ部５０と、内蔵ＥＥＰＲＯＭ部５０の状態を判定するＥＥＰＲＯＭ状態判定部２４と監視部３０から読み出しを行う比較データ読出部２３と、メイン制御部３０のソフトウェアから比較データＡ４００を演算する比較データ演算部２２と、監視部３０から読み出した比較データＢ４０１と比較データ演算部２２で算出された比較データＡ４００から診断を行う比較データ整合性診断部２１を備えている。
【００１７】
次に、メイン制御部２０のソフトウェア整合性の診断方法について説明する。
監視部３０は、比較データ記憶部３１と比較データ送信部３２を備えており、メイン制御部２０の比較データ読出部２３により読み出される比較データ記憶部３１に記憶されている書換処理部４０により書き込まれる比較データＢ４０１と、比較データ演算部２２にてメイン制御部２０のソフトウェアから算出された比較データＡ４００の２つの情報により比較データ整合性診断部２１にて診断を行い、異常と判定された場合は、内蔵ＥＥＰＲＯＭ部５０の故障情報記憶部５１に故障情報と履歴情報を記憶させる。
【００１８】
次に、比較データ演算部２２について説明する。
比較データ演算部２２では、メイン制御部２０のソフトウェア全体から比較データを演算し、一部でもソフトウェアが異なる場合には演算結果が変動する。メイン制御部２０のソフトウェアを正常な手順で書き込んだ際には、監視部３０の比較データ記憶部３１に比較データＡ４００が書き込まれるが、第三者が不正なソフトウェアをメイン制御部２０に書き込んだ場合には、監視部３０の比較データ記憶部３１への更新を防止しているため、不正なソフトウェアによる比較データＡ４００と先に比較データ記憶部３１に書き込まれた正常なソフトウェアによる比較データＢ４０１の間に差分が発生する。そのため、不正なソフトウェアがメイン制御部２０に書き込まれても、監視部３０の比較データ記憶部３１への更新を防止することで、比較データ整合性診断部２１の診断により異常として検知を可能としている。
【００１９】
次にＣＡＮ信号の送受信について説明する。
車両のＣＡＮネットワーク１１より、変速機制御装置１０のＣＡＮドライバ６０を通してメイン制御部３０でＣＡＮ信号の送受信を行う。受信する信号はメイン制御部２０と監視部３０の書き換えを行うための、メイン制御部書換ツール１２からの書き換え命令や書き込まれるソフトウェアと、外部ＥＥＰＲＯＭ部３００の鍵情報記憶部３０１に記憶されている鍵情報等の情報である。
【００２０】
次に、メイン制御部書換ツール１２による、メイン制御部２０の書き換え動作について説明する。
メイン制御部書換ツール１２は、車両のＣＡＮネットワーク１１に繋げられ、変速機制御装置１０のＣＡＮドライバ６０を通してメイン制御部２０でＣＡＮ信号の送受信を行う。
メイン制御部書換ツール１２から送られたＣＡＮ信号により、メイン制御部２０の書換処理部４０内のメイン制御部書換部４４がメイン制御部２０の書き換え動作を開始する。
【００２１】
次に、比較データ書込判定部４２の動作について説明する。
書換処理部４０の比較データ書込判定部４２は、メイン制御書換部４４の実行後に動作する。比較データ書込判定部４２の入力情報は、外部ＥＥＰＲＯＭ部３００の鍵情報記憶部３０１に記憶されている鍵情報４０３と、ＥＥＰＲＯＭ状態判定部２４の判定結果であるＥＥＰＲＯＭ状態情報４０２である。この２つの情報より判定を行い、工場と販売店での書き換えであると判断した場合には監視部書込部４１の動作を実行し、異常書き換えと判断した場合には監視部書込部４１の動作を省略することで、監視部書込部４１への書き込みを遮断することができる。
【００２２】
この動作を図２のフローチャートを用いて説明する。
ステップＳ１０１において、メイン制御部書換部４４による書き換え処理を行い、続くステップＳ１０２においてメイン制御部の書き換え成功／失敗を識別する。失敗の場合はステップＳ１０９において書き換え状態を「不正書換」と判断する。成功の場合は、次のステップＳ１０３でＥＥＰＲＯＭ状態情報４０２の工場状態／工場状態以外を識別する。工場状態の場合はステップＳ１０６において書き換え状態を「工場での書換」と判断する。工場状態以外の場合は、次のステップＳ１０４において鍵情報参照部４３により外部ＥＥＰＲＯＭ部３００の鍵情報記憶部３０１から鍵情報４０３を読み出す。続くステップＳ１０５において鍵情報の正常／異常を識別する。異常の場合はステップＳ１０８において書き換え状態を「不正書換」と判断し、正常の場合はステップＳ１０７において書き換え状態を「販売店での書換」と判断する。
【００２３】
次にステップＳ１１０において直前に行った比較データ書込判定部４２の判定結果から、書き換え状態が「工場での書換」／「販売店での書換」／「不正書換」のいずれか識別する。「工場での書換」／「販売店での書換」の場合は、続くステップＳ１１１において比較データ演算部２２から比較データＡ４００を算出する。次のステップＳ１１２において、先のステップＳ１１５で生成した比較データＡ４００を、監視部書込部４１によって監視部３０の比較データ記憶部３１に書き込む。ステップＳ１１０の識別結果が「不正書換」の場合は、監視部３０への書き込み不要と判断し処理を終了する。これにより、第三者による不正なソフトウェアへの書き換えを防止し、不正なソフトウェアが書き込まれた場合でも、不正なソフトウェアの検知を可能とする。また工場での生産時には鍵情報を用いることなく監視部への書き込みを行うことで、生産性を下げることなく不正なソフトウェアへの書き換え防止効果を高めることが可能となる。
【符号の説明】
【００２４】
１０…変速機制御装置、２０…メイン制御部、２１…比較データ整合性診断部、２２…比較データ演算部、２３…比較データ読出部、２４…ＥＥＰＲＯＭ状態判定部、３０…監視部、３１…比較データ記憶部、３２…比較データ送信部、４０…書換処理部、４１…監視部書込部、４２…比較データ書込判定部、４３…鍵情報参照部、４４…メイン制御部書換部、５０…内蔵ＥＥＰＲＯＭ部、５１…故障情報記憶部、６０…ＣＡＮドライバ、１００…ＣＡＮネットワーク、２００…メイン制御部書換ツール、３００…外部ＥＥＰＲＯＭ部、３０１…鍵情報記憶部、４００…比較データＡ、４０１…比較データＢ、４０２…ＥＥＰＲＯＭ状態情報、４０３…鍵情報
【図１】
2019160107.tif 000003
【図２】
2019160107.tif 000004