(57)【要約】【課題】本発明は、不揮発性メモリ初期化システム及び不揮発性メモリ初期化方法に係り、不揮発性メモリに対する正規の初期化を損なうことなく、不正な初期化を防止することにある。【解決手段】特定データ及び所定の暗号鍵を用いて暗号化された判定値データが記憶される不揮発性メモリと、所定の暗号鍵が記憶される暗号鍵メモリと、を有する電子制御装置の不揮発性メモリ初期化システムは、不揮発性メモリに対する初期化が要求された場合に、不揮発性メモリから読み出した判定値データを暗号鍵メモリから読み出した所定の暗号鍵を用いて復号した結果に基づいて、不揮発性メモリに対する初期化の可否を判定する。その結果、不揮発性メモリに対する初期化が可能であると判定された場合に、不揮発性メモリに対する初期化を行う。そして、不揮発性メモリに対する初期化が行われた後、暗号鍵メモリに記憶されている所定の暗号鍵を消去する。【選択図】図１
2016045795.tif 000002
【特許請求の範囲】
【請求項１】
特定データ及び所定の暗号鍵を用いて暗号化された判定値データが記憶される不揮発性メモリと、前記所定の暗号鍵が記憶される暗号鍵メモリと、を有する電子制御装置の前記不揮発性メモリを初期化するシステムであって、
前記不揮発性メモリに対する初期化が要求された場合に、前記不揮発性メモリから読み出した前記判定値データを前記暗号鍵メモリから読み出した前記所定の暗号鍵を用いて復号した結果に基づいて、前記不揮発性メモリに対する初期化の可否を判定する判定手段と、
前記判定手段により前記不揮発性メモリに対する初期化が可能であると判定された場合に、前記不揮発性メモリに対する初期化を行う初期化手段と、
前記初期化手段により前記不揮発性メモリに対する初期化が行われた後、前記暗号鍵メモリに記憶されている前記所定の暗号鍵を消去する消去手段と、
を備えることを特徴とする不揮発性メモリ初期化システム。
【請求項２】
特定データ及び所定の暗号鍵を用いて暗号化された判定値データが記憶される不揮発性メモリと、前記所定の暗号鍵が記憶される暗号鍵メモリと、を有する電子制御装置の前記不揮発性メモリを初期化する方法であって、
前記不揮発性メモリに対する初期化が要求された場合に、前記不揮発性メモリから読み出した前記判定値データを前記暗号鍵メモリから読み出した前記所定の暗号鍵を用いて復号した結果に基づいて、前記不揮発性メモリに対する初期化の可否を判定する第１のステップと、
前記第１のステップにおいて前記不揮発性メモリに対する初期化が可能であると判定された場合に、前記不揮発性メモリに対する初期化を行う第２のステップと、
前記第２のステップにおいて前記不揮発性メモリに対する初期化が行われた後、前記暗号鍵メモリに記憶されている前記所定の暗号鍵を消去する第３のステップと、
を備えることを特徴とする不揮発性メモリ初期化方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、不揮発性メモリ初期化システム及び不揮発性メモリ初期化方法に係り、特に、電子制御ユニットの有する不揮発性メモリを初期化するうえで好適なシステム及び方法に関する。
【背景技術】
【０００２】
従来、不揮発性メモリに対するデータ書き込みを暗号データを用いて行うシステムが知られている（例えば、特許文献１参照）。この特許文献１記載のシステムでは、不揮発性メモリに対するデータ書き込みに際し、暗号化された暗号データが用いられる。
【０００３】
上記システムにおいて、不揮発性メモリを有する電子制御装置は、データ書き込み時に外部接続装置に接続される。この外部接続装置は、暗号処理機を介してメモリ読出機に接続される。電子制御装置の不揮発性メモリには、メモリ読出機から読み出したデータが暗号処理機で暗号化された後に外部接続装置を介して供給される。従って、かかるシステムによれば、不揮発性メモリに対する外部からのデータ書き込みを実現することができる。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０００−３３７２０９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、上記した特許文献１記載のシステムでは、データの暗号化が、不揮発性メモリを有する電子制御装置の外部に存在する暗号処理機で行われる。このため、暗号処理で用いられる暗号鍵や暗号データが、不揮発性メモリを有する電子制御装置の外部へ流出する可能性が高くなるので、その不揮発性メモリに対する不正なデータ書き換えが行われる可能性が高くなる。特に、不揮発性メモリに対して値を意図的に初期化できるとすると、不揮発性メモリに対する不正な初期化が可能となり、その後の不正アクセスが容易となってしまう。
【０００６】
本発明は、上述の点に鑑みてなされたものであり、不揮発性メモリに対する正規の初期化を損なうことなく、不正な初期化を防止することが可能な揮発性メモリ初期化システム及び不揮発性メモリ初期化方法を提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明の一態様は、特定データ及び所定の暗号鍵を用いて暗号化された判定値データが記憶される不揮発性メモリと、前記所定の暗号鍵が記憶される暗号鍵メモリと、を有する電子制御装置の前記不揮発性メモリを初期化するシステムであって、前記不揮発性メモリに対する初期化が要求された場合に、前記不揮発性メモリから読み出した前記判定値データを前記暗号鍵メモリから読み出した前記所定の暗号鍵を用いて復号した結果に基づいて、前記不揮発性メモリに対する初期化の可否を判定する判定手段と、前記判定手段により前記不揮発性メモリに対する初期化が可能であると判定された場合に、前記不揮発性メモリに対する初期化を行う初期化手段と、前記初期化手段により前記不揮発性メモリに対する初期化が行われた後、前記暗号鍵メモリに記憶されている前記所定の暗号鍵を消去する消去手段と、を備える不揮発性メモリ初期化システムである。
【０００８】
また、本発明の一態様は、特定データ及び所定の暗号鍵を用いて暗号化された判定値データが記憶される不揮発性メモリと、前記所定の暗号鍵が記憶される暗号鍵メモリと、を有する電子制御装置の前記不揮発性メモリを初期化する方法であって、前記不揮発性メモリに対する初期化が要求された場合に、前記不揮発性メモリから読み出した前記判定値データを前記暗号鍵メモリから読み出した前記所定の暗号鍵を用いて復号した結果に基づいて、前記不揮発性メモリに対する初期化の可否を判定する第１のステップと、前記第１のステップにおいて前記不揮発性メモリに対する初期化が可能であると判定された場合に、前記不揮発性メモリに対する初期化を行う第２のステップと、前記第２のステップにおいて前記不揮発性メモリに対する初期化が行われた後、前記暗号鍵メモリに記憶されている前記所定の暗号鍵を消去する第３のステップと、を備える不揮発性メモリ初期化方法である。
【発明の効果】
【０００９】
本発明によれば、不揮発性メモリに対する正規の初期化を損なうことなく、不正な初期化を防止することができる。
【図面の簡単な説明】
【００１０】
【図１】本発明の一実施例である不揮発性メモリ初期化システムの構成図である。
【図２】本実施例の不揮発性メモリ初期化システム及び不揮発性メモリ初期化方法において実行される制御ルーチンの一例のフローチャートである。
【図３】本発明の変形例である不揮発性メモリ初期化システムの構成図である。
【発明を実施するための形態】
【００１１】
以下、図面を用いて、本発明に係る不揮発性メモリ初期化システム及び不揮発性メモリ初期化方法の具体的な実施の形態について説明する。
【００１２】
図１は、本発明の一実施例である不揮発性メモリ初期化システム１０の構成図を示す。本実施例の不揮発性メモリ初期化システム１０は、電子制御装置の有する不揮発性メモリを初期化するシステムである。
【００１３】
不揮発性メモリ初期化システム１０は、電源を供給することなく記憶を保持することが可能な不揮発性メモリ１２を有している。不揮発性メモリ１２は、マイクロコンピュータを主体に構成された電子制御ユニット（ＥＣＵ）１４に内蔵されている。ＥＣＵ１４は、車両に搭載される盗難防止システムについての電子キーの照合を行う機能を有する制御装置などである。
【００１４】
不揮発性メモリ１２は、少なくとも後述の初期化許可判定値やＥＣＵ１４に実装されるアプリケーションの制御に必要なデータを含む各種のデータを記憶することが可能である。尚、初期化許可判定値は不揮発性メモリ１２の第１領域１２ａに、また、アプリケーションの制御に必要なデータは不揮発性メモリ１２の第２領域１２ｂに、それぞれ記憶される。
【００１５】
ＥＣＵ１４には、また、電源供給が行われている間だけ記憶を保持することが可能な揮発性メモリ１６が内蔵されている。揮発性メモリ１６は、保持用電源１８と接続可能である。保持用電源１８は、揮発性メモリ１６の記憶を保持させるために必要な電源であって、ＥＣＵ１４に対して取り付け／取り外しが可能な電源である。尚、ＥＣＵ１４は、車両などに組み込まれる際に、保持用電源１８が取り付けられる端子が外部から隠れて保持用電源１８の取り付けが困難となるように配置されることが望ましい。揮発性メモリ１６は、保持用電源１８がＥＣＵ１４に取り付けられている際にその保持用電源１８と接続されてその保持用電源１８から供給される電力を用いて記憶を保持する。揮発性メモリ１６は、少なくとも後述の暗号鍵を含む各種のデータを記憶することが可能なＤＲＡＭなどである。
【００１６】
ＥＣＵ１４は、乱数発生手段２０と、初期化許可情報生成手段２２と、を有している。乱数発生手段２０は、ハードウェアなどによって乱数列を発生する装置である。乱数発生手段２０と初期化許可情報生成手段２２とは、互いに接続されている。乱数発生手段２０の発生した乱数列の情報は、初期化許可情報生成手段２２に供給される。初期化許可情報生成手段２２は、乱数発生手段２０から供給される乱数列を用いて、データの暗号化に必要な暗号鍵を生成することができる。尚、この暗号鍵の生成は、ＡＥＳ（Advanced Encryption Standard）などの暗号化に一般的に利用されているアルゴリズムを適用して行われる。
【００１７】
初期化許可情報生成手段２２は、ＥＣＵ１４の外部に存在する装置（例えば、ＥＣＵ１４の製造時にそのＥＣＵ１４に接続される製造装置など）から、不揮発性メモリ１２の初期化を許可するための処理（初期化許可処理）を実行するように要求される。尚、この初期化許可処理の要求は、ＥＣＵ１４の製造時の予め定められた時点で行われる。初期化許可情報生成手段２２は、ＥＣＵ１４の外部からの初期化許可処理の要求を受けた場合に、上記した乱数発生手段２０から供給される乱数列を用いて、データの暗号化に必要な暗号鍵を生成すると共に、その生成した暗号鍵を用いて、予め定められている不揮発性メモリ１２の初期化を許可する状態を表す値（初期化許可判定値）を暗号化する。
【００１８】
初期化許可情報生成手段２２は、上記の如く初期化許可判定値を暗号化した後、その暗号化した初期化許可判定値を不揮発性メモリ１２の第１領域１２ａに書き込むと共に、その初期化許可判定の暗号化に用いて暗号鍵を揮発性メモリ１６の特定領域１６ａに書き込む。
【００１９】
ＥＣＵ１４は、また、初期化可否判定手段２４と、不揮発性メモリ初期化手段２６と、を有している。初期化可否判定手段２４は、ＥＣＵ１４の外部（例えば、ＥＣＵ１４の製造時にそのＥＣＵ１４に接続される製造装置など）から、不揮発性メモリ１２の初期化を実行するように要求される。尚、この初期化許可処理の要求は、ＥＣＵ１４の製造時の、上記した初期化許可処理の要求後の予め定められた時点で行われる。初期化可否判定手段２４は、ＥＣＵ１４の外部からの初期化要求を受けた場合に、後に詳述する如く、不揮発性メモリ１２に対する初期化の可否を判定する。
【００２０】
初期化可否判定手段２４と不揮発性メモリ初期化手段２６とは、互いに接続されている。初期化可否判定手段２４は、不揮発性メモリ１２に対する初期化可否判定の結果として、その初期化が可能であると判定した場合に、不揮発性メモリ初期化手段２６に対して不揮発性メモリ１２に対する初期化を開始するように指示する。不揮発性メモリ初期化手段２６は、初期化可否判定手段２４からの初期化開始指示を受けた場合に、不揮発性メモリ１２に対して初期化を実施する。
【００２１】
次に、図２を適宜参照して、本実施例の不揮発性メモリ初期化システム１０における動作について説明する。図２は、本実施例の不揮発性メモリ初期化システム１０において実行される不揮発性メモリ初期化方法についての制御ルーチンの一例のフローチャートを示す。
【００２２】
本実施例においては、ＥＣＵ１４の製造工場などでの不揮発性メモリ１２の初期化が許可される製造時、まず、保持用電源１８がＥＣＵ１４に取り付けられて揮発性メモリ１６に接続される。保持用電源１８が揮発性メモリ１６に接続されていれば、その揮発性メモリ１６での記憶保持が可能となる。
【００２３】
保持用電源１８が揮発性メモリ１６に接続されると、その後、ＥＣＵ１４の外部に存在する装置からそのＥＣＵ１４の初期化許可情報生成手段２２へ、不揮発性メモリ１２の初期化許可処理を実行するように要求がなされる。初期化許可情報生成手段２２は、かかる初期化許可処理の実行要求がなされると、乱数発生手段２０から供給される乱数列を用いて、データの暗号化に必要な暗号鍵を生成すると共に、その生成した暗号鍵を用いて、予め定められた不揮発性メモリ１２の初期化を許可する状態を表す値（初期化許可判定値）を暗号化する。そして、その暗号化後、その暗号化した初期化許可判定値を不揮発性メモリ１２の第１領域１２ａに書き込むと共に、その初期化許可判定の暗号化に用いた暗号鍵を揮発性メモリ１６の特定領域１６ａに書き込む。
【００２４】
上記の書き込み後、ＥＣＵ１４の外部に存在する装置からそのＥＣＵ１４の初期化可否判定手段２４へ、不揮発性メモリ１２の初期化を実行するように要求がなされる。初期化可否判定手段２４は、かかる初期化の実行要求がなされると（ステップ１００の肯定時）、不揮発性メモリ１２に対する初期化の可否を判定する。
【００２５】
具体的には、初期化可否判定手段２４は、上記ステップ１００の肯定時、不揮発性メモリ１２の初期化可否判定として、まず、不揮発性メモリ１２の第１領域１２ａから暗号化された初期化許可判定値を読み出すと共に、揮発性メモリ１６の特定領域１６ａから暗号鍵を読み出す（ステップ１１０）。そして、その読み出された暗号化済の初期化許可判定値をその読み出された暗号鍵を用いて復号する（ステップ１２０）。
【００２６】
次に、初期化可否判定手段２４は、上記ステップ１２０で復号した復号値が予め定められている初期化許可判定値と一致するか否かを判別する（ステップ１３０）。その結果、復号値が初期化許可判定値と一致しないと判別した場合は、不揮発性メモリ１２の初期化が不可能であると判定して、以後、何ら処理を進めることなく今回のルーチンを終了する。一方、復号値が初期化許可判定値と一致すると判別した場合は、不揮発性メモリ１２の初期化が可能であると判定して、不揮発性メモリ初期化手段２６に対して不揮発性メモリ１２に対する初期化を開始するように指示する（ステップ１４０）。
【００２７】
不揮発性メモリ初期化手段２６は、初期化可否判定手段２４からの初期化開始指示を受けた場合に、不揮発性メモリ１２に対して初期化を実施する。この不揮発性メモリ１２に対する初期化は、不揮発性メモリ１２の予め定められた所定領域に決められた値を書き込むことにより実現される。
【００２８】
上記の如く不揮発性メモリ１２に対する初期化が実施された後、保持用電源１８がＥＣＵ１４から取り外される。尚、この保持用電源１８のＥＣＵ１４からの取り外しは、ＥＣＵ１４の車両への組み込みが行われる車両組立工場などで不揮発性メモリ１２への電子キーの登録情報を登録作業が完了した後などに実施されるものとすればよい。保持用電源１８がＥＣＵ１４から取り外されると、保持用電源１８と揮発性メモリ１６との接続が解除されるので、その解除時点まで揮発性メモリ１６に記憶保持されていた暗号鍵がその揮発性メモリ１６から消去される。
【００２９】
このように本実施例の不揮発性メモリ初期化システム１０においては、ＥＣＵ１４内で、外部からの初期化許可処理要求に従って暗号鍵を生成して揮発性メモリ１６に書き込むと共に、不揮発性メモリ１２にその暗号鍵を用いて暗号化した初期化許可判定値を書き込むことができる。そして、その書き込みの実施後、ＥＣＵ１４内で、外部からの初期化要求に従って暗号化済の不揮発性メモリ１２の初期化許可判定値を揮発性メモリ１６の暗号鍵を用いて復号して、その復号値が予め定められている初期化許可判定値と一致する場合にのみ不揮発性メモリ１２の初期化を実施することができる。また、その初期化の実施後、保持用電源１８をＥＣＵ１４から取り外すことにより、揮発性メモリ１６に書き込まれていた暗号鍵をその揮発性メモリ１６から消去することができる。
【００３０】
かかる構成によれば、ＥＣＵ１４の不揮発性メモリ１２の初期化を許可する状態を表す初期化許可判定値の暗号化とその復号とを行ううえで必要な暗号鍵の生成と記憶保持とをそのＥＣＵ１４内で実現することができる。このため、上記の暗号鍵がＥＣＵ１４と外部装置との間で授受されることは無いので、その暗号鍵の、ＥＣＵ１４の外部への漏洩を防ぐことができる。
【００３１】
そして、暗号鍵が揮発性メモリ１６に記憶保持された後に不揮発性メモリ１２の初期化が実施された後、保持用電源１８のＥＣＵ１４からの取り外しにより、その揮発性メモリ１６の特定領域１６ａをクリアして暗号鍵をその揮発性メモリ１６から消去することができる。
【００３２】
このため、保持用電源１８がＥＣＵ１４に取り付けられて暗号鍵が揮発性メモリ１６に記憶保持されてから保持用電源１８がＥＣＵ１４から取り外されるまでの間、不揮発性メモリ１２に対する初期化を許容することができる。保持用電源１８がＥＣＵ１４に取り付けられて揮発性メモリ１６に接続されている期間は、ＥＣＵ１４の製造から車両組立工程での不揮発性メモリ１２への電子キーの登録情報の登録作業が完了するまでに限定される。
【００３３】
すなわち、かかる構成においては、不揮発性メモリ１２に対する初期化が、ＥＣＵ１４の製造後、不揮発性メモリ１２への電子キーの登録情報の登録作業が完了するまで許容されるので、その不揮発性メモリ１２への登録作業が仮に失敗したとしても、その不揮発性メモリ１２の初期化を繰り返し実施することができる。従って、不揮発性メモリ１２に対する正規の初期化を確保することができる。また、上記の暗号鍵の消去後は、不揮発性メモリ１２の初期化を確実に禁止することができるので、不揮発性メモリ１２に対する不正な初期化を防止することができる。
【００３４】
従って、本実施例の不揮発性メモリ初期化システム１０によれば、不揮発性メモリ１２に対する正規の初期化を損なうことなく、不揮発性メモリ１２に対する不正な初期化を防止することができる。このため、不揮発性メモリ１２への正規の登録情報の登録を確保しつつ、その後の不正アクセスによる不正なデータ書き換えを防止することができる。
【００３５】
尚、上記の実施例においては、初期化許可判定値が特許請求の範囲に記載した「判定値データ」に、揮発性メモリ１６が特許請求の範囲に記載した「暗号鍵メモリ」に、ＥＣＵ１４が特許請求の範囲に記載した「電子制御装置」に、初期化可否判定手段２４が特許請求の範囲に記載した「判定手段」に、不揮発性メモリ初期化手段２６が特許請求の範囲に記載した「初期化手段」に、保持用電源１８がＥＣＵ１４から取り外されて揮発性メモリ１６に対して接続解除されることが特許請求の範囲に記載した「消去手段」に、それぞれ相当している。
【００３６】
ところで、上記の実施例においては、ＥＣＵ１４が、暗号鍵を記憶保持する揮発性メモリ１６を有するものとし、暗号鍵を揮発性メモリ１６に記憶保持させるために保持用電源１８が着脱可能に接続されるものとしている。しかし、本発明はこれに限定されるものではなく、図３に示す如く、暗号鍵を不揮発性メモリ１２の第３領域１２ｃに記憶保持させることとしてもよい。
【００３７】
かかる変形例においては、初期化許可情報生成手段２２は、乱数発生手段２０から供給される乱数列を用いて生成したデータの暗号化に必要な暗号鍵を、その暗号鍵を用いて暗号化した初期化許可判定値と共に、不揮発性メモリ１２に書き込む。また、初期化可否判定手段２４は、初期化要求がなされると、不揮発性メモリ１２から暗号化された初期化許可判定値及び暗号鍵を読み出して、その読み出された暗号化済の初期化許可判定値をその読み出された暗号鍵を用いて復号する。
【００３８】
更に、不揮発性メモリ１２の第３領域１２ｃに記憶保持された暗号鍵は、初期化許可情報生成手段２２に入力される不揮発性メモリ１２の初期化を禁止するための処理（初期化禁止処理）を実行させる要求に従って、その初期化許可情報生成手段２２からの指令により消去されるものとすればよい。尚、この初期化禁止処理の要求は、暗号鍵が揮発性メモリ１６に記憶保持された後に不揮発性メモリ１２の初期化が実施された後、ＥＣＵ１４の外部に存在する装置から行われるものとすればよい。
【００３９】
上記の変形例においても、上記実施例と同様の作用効果を得ることができる。また、上記の変形例によれば、暗号鍵をＥＣＵ１４内に記憶保持させるうえでの保持用電源は不要であるので、不揮発性メモリ初期化システムとしての構成の簡素化を図ることができる。
【００４０】
また、上記の実施例及び更には上記の変形例においては、暗号化済の初期化許可判定値及び暗号鍵を、アプリケーションの制御に必要なデータが記憶される不揮発性メモリ１２と同じメモリに記憶されることとしている。しかし、本発明はこれに限定されるものではなく、暗号化済の初期化許可判定値及び暗号鍵を、アプリケーションの制御に必要なデータが記憶される不揮発性メモリ１２とは異なる不揮発性メモリに記憶されることとしてもよい。
【００４１】
更に、上記の実施例においては、ＥＣＵ１４が、車両に搭載される盗難防止システムについての電子キーの照合を行う機能を有する制御装置であるものとしている。しかし、本発明はこれに限定されるものではなく、ＥＣＵ１４が、車載の他の制御装置や車両以外のものに搭載される制御装置であるものとしてもよい。
【符号の説明】
【００４２】
１０  不揮発性メモリ初期化システム
１２  不揮発性メモリ
１４  電子制御ユニット（ＥＣＵ）
１６  揮発性メモリ
１８  保持用電源
２４  初期化可否判定手段
２６  不揮発性メモリ初期化手段
【図１】
2016045795.tif 000003
【図２】
2016045795.tif 000004
【図３】
2016045795.tif 000005