特開 2022-133908 制御装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2022133908

(43)【公開日】2022-09-14

(54)【発明の名称】制御装置

(51)【国際特許分類】

   G06F 21/57 20130101AFI20220907BHJP

   G06F 21/64 20130101ALI20220907BHJP

【ＦＩ】

G06F21/57 320

G06F21/64

【審査請求】未請求

【請求項の数】7

【出願形態】ＯＬ

(21)【出願番号】P 2021032856

(22)【出願日】2021-03-02

(71)【出願人】

【識別番号】509186579

【氏名又は名称】日立Ａｓｔｅｍｏ株式会社

(74)【代理人】

【識別番号】110002572

【氏名又は名称】特許業務法人平木国際特許事務所

(72)【発明者】

【氏名】森田 伸義

(72)【発明者】

【氏名】矢野 正

(72)【発明者】

【氏名】金子 周平

(72)【発明者】

【氏名】藤井 康広

(72)【発明者】

【氏名】片岡 幹雄

(72)【発明者】

【氏名】野村 晃啓

(57)【要約】

【課題】複数の演算処理装置を備える制御装置の安全な起動を容易に実現することを目的とする。
【解決手段】制御装置５は、第１プログラムを実行するプロセッサを含む第１マイコン１と、第２プログラムを実行するプロセッサを含む第２マイコン２と、第２プログラムが格納された記憶装置３と、を備える。第１マイコン１は、第１プログラム及び第２プログラムのそれぞれの改竄有無を検証する検証部１２２１と、検証部１２２１により第１プログラムの改竄が無いと検証された場合に、記憶装置３から第２プログラムを取得する第１取得部１１２６とを有する。第１マイコン１は、検証部１２２１により第２プログラムの改竄が無いと検証された場合に、第２プログラムの起動許可を第２マイコン２に通知する起動許可通知部１１２４を有する。第２マイコン２は、記憶装置３から第２プログラムを取得する第２取得部２２２と、起動許可が通知された場合に、第２プログラムを起動させる起動実行部２２１とを有する。
【選択図】図１

【特許請求の範囲】

【請求項1】

第１プログラムを実行するプロセッサを含む第１演算処理装置と、第２プログラムを実行するプロセッサを含む第２演算処理装置と、前記第２プログラムが格納された記憶装置と、を備える制御装置であって、
前記第１演算処理装置は、
前記第１プログラム及び前記第２プログラムのそれぞれの改竄有無を検証する検証部と、
前記検証部により前記第１プログラムの改竄が無いと検証された場合に、前記記憶装置から前記第２プログラムを取得する第１取得部と、
前記検証部により前記第２プログラムの改竄が無いと検証された場合に、前記第２演算処理装置が前記第２プログラムを起動することを許可する起動許可を、前記第２演算処理装置に通知する起動許可通知部と、を有し、
前記第２演算処理装置は、
前記記憶装置から前記第２プログラムを取得する第２取得部と、
前記起動許可が通知された場合に、前記第２プログラムを起動させる起動実行部と、を有する
ことを特徴とする制御装置。

【請求項2】

前記第１演算処理装置は、耐タンパ性を有するセキュア領域を有し、
前記第２演算処理装置は、プログラムの書き換えが不可能なＯＴＰ領域を有し、
前記検証部は、前記セキュア領域に格納され、
前記第２取得部及び前記起動実行部は、前記ＯＴＰ領域に格納されている
ことを特徴とする請求項１に記載の制御装置。

【請求項3】

前記起動実行部は、前記第２取得部が前記第２プログラムを取得した後、前記起動許可が通知されるまで、前記第２演算処理装置を待機状態に移行させる
ことを特徴とする請求項２に記載の制御装置。

【請求項4】

前記セキュア領域は、プログラムの書き換えが可能な領域であり、
前記第１演算処理装置は、前記セキュア領域に格納された更新対象を、更新パッケージによって更新する更新部を有し、
前記検証部は、前記更新パッケージの改竄有無を検証し、
前記更新部は、前記検証部により前記更新パッケージの改竄が無いと検証された場合に、前記更新パッケージによって前記更新対象を更新する
ことを特徴とする請求項２に記載の制御装置。

【請求項5】

前記第１演算処理装置は、前記検証部により前記第１プログラムの改竄が無いと検証された場合に、前記第２演算処理装置が前記記憶装置から前記第２プログラムを取得することを許可する取得許可を、前記第２演算処理装置に通知する取得許可通知部を有し、
前記取得許可通知部は、前記起動許可通知部が前記起動許可を前記第２演算処理装置に通知する前に、前記取得許可を前記第２演算処理装置に通知し、
前記第２取得部は、前記取得許可が通知された場合に、前記記憶装置から前記第２プログラムを取得する
ことを特徴とする請求項２に記載の制御装置。

【請求項6】

前記起動実行部は、前記制御装置の電源投入後、前記取得許可が通知されるまで、前記第２演算処理装置を待機状態に移行させる
ことを特徴とする請求項５に記載の制御装置。

【請求項7】

前記第１演算処理装置は、耐タンパ性を有するセキュア領域と、プログラムの書き換えが不可能なＯＴＰ領域とを有し、
前記第２演算処理装置は、プログラムの書き換えが不可能なＯＴＰ領域を有し、
前記記憶装置は、前記第１プログラム及び前記第２プログラムを格納し、
前記検証部は、前記セキュア領域に格納され、
前記第１取得部は、前記第１演算処理装置の前記ＯＴＰ領域に格納され、前記記憶装置から前記第１プログラムを取得し、
前記第２取得部及び前記起動実行部は、前記第２演算処理装置の前記ＯＴＰ領域に格納されている
ことを特徴とする請求項１に記載の制御装置。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、制御装置に関する。

【背景技術】

【0002】

例えば、車両を制御する車載用の制御装置には、マイクロコントローラ（以下、マイコン）等の演算処理装置が起動時にプログラムの安全性を検証するセキュアブート機能が搭載されている。セキュアブート機能の安全性を向上させるためには、ＨＳＭ（Hardware Security Module）のような耐タンパ性が担保された専用モジュールのセキュリティ機能を演算処理装置に搭載することが好ましい。一方、制御装置は、複数の演算処理装置を備えるので、複数の演算処理装置の全てにＨＳＭのようなセキュリティ機能を搭載した場合、制御装置のコストが大幅に増加してしまう。

【0003】

複数の演算処理装置の全てにＨＳＭのようなセキュリティ機能を搭載せずに制御装置の安全な起動を実現する技術として、例えば、特許文献１に開示された技術が知られている。特許文献１は、２つの演算処理装置を備える装置のセキュアブート技術を開示しており、一方の演算処理装置が他方の演算処理装置において実行されるプログラムの改竄有無を起動時に検証する技術を開示している。

【先行技術文献】

【特許文献】

【0004】

【特許文献1】特開２０２０－０４７０６４号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

しかしながら、特許文献１は、一方の演算処理装置において実行されるプログラム自体の検証機能については開示していない。特許文献１に開示された技術では、一方の演算処理装置において実行されるプログラム自体が改竄されたとしても、これを検出することは難しい。よって、特許文献１に開示された技術は、装置の安全な起動を容易に実現する点において、改善の余地がある。

【0006】

本発明は、上記に鑑みてなされたものであり、複数の演算処理装置を備える制御装置の安全な起動を容易に実現することを目的とする。

【課題を解決するための手段】

【0007】

上記課題を解決するために、本発明の制御装置は、第１プログラムを実行するプロセッサを含む第１演算処理装置と、第２プログラムを実行するプロセッサを含む第２演算処理装置と、前記第２プログラムが格納された記憶装置と、を備える制御装置であって、前記第１演算処理装置は、前記第１プログラム及び前記第２プログラムのそれぞれの改竄有無を検証する検証部と、前記検証部により前記第１プログラムの改竄が無いと検証された場合に、前記記憶装置から前記第２プログラムを取得する第１取得部と、前記検証部により前記第２プログラムの改竄が無いと検証された場合に、前記第２演算処理装置が前記第２プログラムを起動することを許可する起動許可を、前記第２演算処理装置に通知する起動許可通知部と、を有し、前記第２演算処理装置は、前記記憶装置から前記第２プログラムを取得する第２取得部と、前記起動許可が通知された場合に、前記第２プログラムを起動させる起動実行部と、を有することを特徴とする。

【発明の効果】

【0008】

本発明によれば、複数の演算処理装置を備える制御装置の安全な起動を容易に実現することができる。
上記以外の課題、構成および効果は、以下の実施形態の説明により明らかにされる。

【図面の簡単な説明】

【0009】

【図1】実施形態１の制御装置の機能的構成を示す図。

【図2】図１に示す制御装置の起動処理の流れを示すシーケンス。

【図3】図１に示す制御装置の更新処理の流れを示すフローチャート。

【図4】実施形態２の制御装置の機能的構成を示す図。

【図5】図４に示す制御装置の起動処理の流れを示すシーケンス。

【発明を実施するための形態】

【0010】

以下、本発明の実施形態について図面を用いて説明する。なお、各実施形態において同一の符号を付された構成は、特に言及しない限り、各実施形態において同様の機能を有し、その説明を省略する。

【0011】

［実施形態１］
本実施形態では、マイコン等の演算処理装置が起動時にプログラムの安全性を検証するセキュアブート機能を搭載した制御装置の一例について説明する。しかしながら、本発明の技術的思想は、暗号処理や電子署名の検証処理等の情報セキュリティ技術に広く適用することができる。

【0012】

制御装置５は、制御対象を電気的に制御する装置である。制御装置５の制御対象は、特に限定されない。制御装置５の制御対象は、自動車等の製品寿命が比較的長い機械又は機器であってもよい。例えば、制御装置５は、車載用のＥＣＵによって構成されてもよい。

【0013】

図１は、実施形態１の制御装置５の機能的構成を示す図である。

【0014】

制御装置５は、第１マイコン１と、第２マイコン２と、記憶装置３とを備える。記憶装置３は、通信バス４を介して、第１マイコン１及び第２マイコン２のそれぞれに接続される。但し、通信バス４は、物理的には複数の通信バスによって構成される。通信バス４を構成する複数の通信バスの規格は、全て同一であってもよいし、異なっていてもよい。当該規格は、例えば、ＳＰＩ（Serial Peripheral Interface）やＭＩＩ（Media Independent Interface）等である。

【0015】

なお、第１マイコン１は、特許請求の範囲に記載された「第１演算処理装置」の一例である。第２マイコン２は、特許請求の範囲に記載された「第２演算処理装置」の一例である。

【0016】

第１マイコン１は、互いにバス線１１５によって結線された、メイン制御部１１１と、メインプログラム記憶部１１２と、メインデータ記憶部１１３と、通信部１１４とを備える。本実施形態では、第１マイコン１のこれらの構成要素が所属する領域及びバス線１１５を、「メイン領域１１」とも称する。

【0017】

更に、第１マイコン１は、互いにバス線１２５によって結線された、セキュア制御部１２３と、セキュアプログラム記憶部１２２と、セキュアデータ記憶部１２１とを備える。本実施形態では、第１マイコン１のこれらの構成要素が所属する領域及びバス線１２５を、「セキュア領域１２」とも称する。

【0018】

メイン領域１１は、第１マイコン１においてセキュア領域１２以外の領域である。セキュア領域１２は、耐タンパ性を有する領域である。すなわち、第１マイコン１は、耐タンパ性を有するセキュア領域１２と、セキュア領域１２以外の領域であるメイン領域１１とを有する。また、セキュア領域１２は、プログラム及びデータの書き換えが可能な領域である。

【0019】

メイン領域１１のバス線１１５とセキュア領域１２のバス線１２５とは、安全性の担保の観点から直接的に接続されておらず、セキュア制御部１２３を介して間接的に接続されている。メイン領域１１とセキュア領域１２の間におけるコマンド及びデータの送受信は、セキュア制御部１２３を介して行われる。

【0020】

メイン制御部１１１は、プロセッサ（ＣＰＵ、ＭＰＵ又はＤＳＰ）を有しており、メインプログラム記憶部１１２に格納されたプログラムを実行する。なお、メイン制御部１１１は、特許請求の範囲に記載された「第１演算処理装置」に含まれる「プロセッサ」の一例である。

【0021】

メインプログラム記憶部１１２は、メイン制御部１１１が実行するプログラムを格納する。メインデータ記憶部１１３は、メイン制御部１１１がプログラムを実行するときに使用するデータを格納する。メインプログラム記憶部１１２及びメインデータ記憶部１１３のそれぞれは、フラッシュメモリ、ＥＥＰＲＯＭ、ＳＳＤ、ＦＲＡＭ（登録商標、以下同じ）又は磁気ディスクのような、不揮発性の記憶装置によって構成される。メインプログラム記憶部１１２及びメインデータ記憶部１１３のそれぞれは、複数の記憶装置によって構成されてもよい。メインプログラム記憶部１１２は、複数の記憶装置に分散してプログラムを格納してもよい。メインデータ記憶部１１３は、複数の記憶装置に分散してデータを格納してもよい。

【0022】

メインプログラム記憶部１１２及びメインデータ記憶部１１３のそれぞれは、不揮発性の記憶装置であるＲＯＭと、揮発性の記憶装置であるＲＡＭとを有するメモリであってもよい。ＲＯＭは、不変のプログラムを格納する。ＲＡＭは、ＤＲＡＭのような高速且つ揮発性の記憶装置であってもよく、メイン制御部１１１が実行するプログラムと、当該プログラムの実行時に使用されるデータとを一時的に格納することができる。メインプログラム記憶部１１２及びメインデータ記憶部１１３は、その一部又は全部を互いの構成要素として有してもよい。デバイスとして明確な区別が無くても、メインプログラム記憶部１１２は、プログラムを格納している部分であり、メインデータ記憶部１１３は、データを格納している部分であればよい。

【0023】

メインプログラム記憶部１１２は、メイン制御プログラム１１２１と、第１検証期待値１１２２と、メイン更新部１１２３と、起動許可通知部１１２４と、取得許可通知部１１２５と、第１取得部１１２６とを格納する。メイン制御プログラム１１２１、メイン更新部１１２３、起動許可通知部１１２４、取得許可通知部１１２５及び第１取得部１１２６は、メイン制御部１１１が実行するプログラムであり、制御装置５における第１マイコン１としての機能を実現するためのプログラムである。

【0024】

本実施形態では、メインプログラム記憶部１１２に格納された、メイン制御部１１１が実行するプログラムを、「第１プログラム」とも称する。第１プログラムは、例えば、メイン制御プログラム１１２１、メイン更新部１１２３、起動許可通知部１１２４、取得許可通知部１１２５及び第１取得部１１２６である。また、本実施形態では、記憶装置３の第２マイコン用記憶領域３１に格納された、制御部２１が実行するプログラムを、「第２プログラム」とも称する。第２プログラムは、例えば、制御プログラム３１１である。

【0025】

メイン制御プログラム１１２１は、制御装置５が制御対象を制御するためのプログラムであって、第１マイコン１のメイン制御部１１１によって実行されるプログラムである。メイン制御プログラム１１２１は、制御装置５としての複数の制御機能を実現するために、複数あってもよい。第１検証期待値１１２２は、第１プログラムの改竄有無を検証する処理において算出されることが期待される値である。第１検証期待値１１２２は、第１マイコン１が読み出すことができる場所に格納されていればよい。第１検証期待値１１２２は、例えば、メインデータ記憶部１１３、セキュアデータ記憶部１２１、セキュアプログラム記憶部１２２の何れかに格納されてもよい。

【0026】

第１取得部１１２６は、検証部１２２１により第１プログラムの改竄が無いと検証された場合に、記憶装置３から第２マイコン用記憶領域３１に格納された第２プログラム及び第２検証期待値３１２を取得する。取得許可通知部１１２５は、検証部１２２１により第１プログラムの改竄が無いと検証された場合に、第２マイコン２が記憶装置３から第２プログラムを取得することを許可する取得許可を、第２マイコン２に通知する。取得許可通知部１１２５は、起動許可通知部１１２４が起動許可を第２マイコン２に通知する前に、取得許可を第２マイコン２に通知する。起動許可通知部１１２４は、検証部１２２１により第２プログラムの改竄が無いと検証された場合に、第２マイコン２が第２プログラムを起動することを許可する起動許可を、第２マイコン２に通知する。

【0027】

メイン更新部１１２３は、検証部１２２１により更新パッケージの改竄が無いと検証された場合に、メインプログラム記憶部１１２若しくはメインデータ記憶部１１３又は記憶装置３の第２マイコン用記憶領域３１に格納された更新対象のプログラム又はデータを、更新パッケージによって更新する。更に、メイン更新部１１２３は、検証部１２２１により更新パッケージの改竄が無いと検証された場合に、セキュア更新部１２２３と連携して、セキュアプログラム記憶部１２２又はセキュアデータ記憶部１２１に格納された更新対象のプログラム又はデータを、更新パッケージによって更新する。

【0028】

更新対象は、更新の対象として予め定められたプログラム又はデータである。更新パッケージは、更新対象を更新するためのプログラム又はデータである。更新パッケージは、更新パッケージの改竄有無を検証する処理において算出されることが期待される検証期待値を含む。更新パッケージは、センタサーバ又は端末等の制御装置５の外部装置から、制御装置５に送信される。

【0029】

メインデータ記憶部１１３は、特に図示していないが、制御データを格納する。この制御データは、メイン制御部１１１によって実行されるメイン制御プログラム１１２１、メイン更新部１１２３、起動許可通知部１１２４、取得許可通知部１１２５、第１取得部１１２６が処理に使用するデータであり、制御装置５における第１マイコン１としての機能を実現させるためのデータである。この制御データは、用途に応じて複数あってもよい。

【0030】

通信部１１４は、第１マイコン１が、第２マイコン２を含む制御装置５の他の構成要素と通信する機能と、制御装置５の外部装置と通信する機能とを有する。通信部１１４は、ＳＰＩ、ＭＩＩ、ＣＡＮ、ＣＡＮ ＦＤ、Ｅｔｈｅｒｎｅｔ又はＦｌｅｘＲａｙ等の規格に準拠した通信モジュールによって構成されてもよい。通信部１１４は、用途及び通信方式に応じて複数の通信部によって構成されてもよい。通信部１１４は、他の通信を行う通信モジュールとの共用であってもよい。なお、通信部１１４は、無線通信を行う場合、アンテナ及び変復調回路を含んで構成される。通信部１１４は、有線通信を行う場合、コネクタ及び変復調回路を含んで構成される。

【0031】

セキュア制御部１２３は、ＨＳＭ、ＳＨＥ若しくはＴＰＭ等のセキュアマイコン、又は、セキュアコアと称されるプロセッサ（ＣＰＵ、ＭＰＵ若しくはＤＳＰ）によって構成される。セキュア制御部１２３は、セキュアプログラム記憶部１２２に格納されたプログラムを実行する。セキュア制御部１２３は、耐タンパ性を有する。なお、セキュア制御部１２３を構成するＨＳＭ、ＳＨＥ又はＴＰＭは、セキュアプログラム記憶部１２２及びセキュアデータ記憶部１２１を含んで構成されてもよい。

【0032】

セキュアプログラム記憶部１２２は、セキュア制御部１２３が実行するプログラムを格納する。セキュアデータ記憶部１２１は、セキュア制御部１２３がプログラムを実行するときに使用するデータを格納する。セキュアプログラム記憶部１２２及びセキュアデータ記憶部１２１のそれぞれは、耐タンパ性を有する。セキュアプログラム記憶部１２２及びセキュアデータ記憶部１２１のそれぞれは、フラッシュメモリ、ＥＥＰＲＯＭ、ＳＳＤ、ＦＲＡＭ又は磁気ディスクのような、不揮発性の記憶装置によって構成される。セキュアプログラム記憶部１２２及びセキュアデータ記憶部１２１のそれぞれは、複数の記憶装置によって構成されてもよい。セキュアプログラム記憶部１２２は、複数の記憶装置に分散してプログラムを格納してもよい。セキュアデータ記憶部１２１は、複数の記憶装置に分散してプログラムを格納してもよい。

【0033】

セキュアプログラム記憶部１２２及びセキュアデータ記憶部１２１のそれぞれは、不揮発性の記憶装置であるＲＯＭと、揮発性の記憶装置であるＲＡＭとを有するメモリであってもよい。ＲＯＭは、不変のプログラムを格納する。ＲＡＭは、ＤＲＡＭのような高速且つ揮発性の記憶装置であってもよく、セキュア制御部１２３が実行するプログラムと、当該プログラムの実行時に使用されるデータとを一時的に格納することができる。セキュアプログラム記憶部１２２及びセキュアデータ記憶部１２１は、その一部又は全部を互いの構成要素として有してもよい。デバイスとして明確な区別が無くても、セキュアプログラム記憶部１２２は、プログラムを格納している部分であり、セキュアデータ記憶部１２１は、データを格納している部分であればよい。

【0034】

セキュアプログラム記憶部１２２は、検証部１２２１と、暗号処理部１２２２と、セキュア更新部１２２３とを格納する。検証部１２２１、暗号処理部１２２２及びセキュア更新部１２２３は、セキュア制御部１２３が実行するプログラムであり、第１マイコン１に搭載された制御装置５のセキュリティ機能を実現するためのプログラムである。

【0035】

検証部１２２１は、メイン領域１１に格納されたプログラムの改竄有無を検証する。すなわち、検証部１２２１は、第１プログラムの改竄有無を検証する。具体的には、検証部１２２１は、第１プログラムのうちの検証範囲情報１２１２に該当するプログラムを取得する。検証部１２２１は、この検証範囲情報１２１２に該当するプログラムの改竄有無を検証する検証値を算出する所定のアルゴリズムと暗号鍵１２１１とに基づいて、この検証範囲情報１２１２に該当するプログラムから検証値を算出する。そして、検証部１２２１は、算出された検証値と第１検証期待値１１２２とを比較する。検証部１２２１は、算出された検証値と第１検証期待値１１２２とが一致する場合、第１プログラムの改竄が無いと判断し、一致しない場合、第１プログラムの改竄が無いとは判断できないと判断する。

【0036】

更に、検証部１２２１は、記憶装置３の第２マイコン用記憶領域３１に格納されたプログラムの改竄有無を検証する。すなわち、検証部１２２１は、第２プログラムの改竄有無を検証する。具体的には、検証部１２２１は、第２プログラムのうちの検証範囲情報１２１２に該当するプログラムを取得する。検証部１２２１は、この検証範囲情報１２１２に該当するプログラムの改竄有無を検証する検証値を算出する所定のアルゴリズムと暗号鍵１２１１とに基づいて、この検証範囲情報１２１２に該当するプログラムから検証値を算出する。そして、検証部１２２１は、算出された検証値と第２検証期待値３１２とを比較する。検証部１２２１は、算出された検証値と第２検証期待値３１２とが一致する場合、第２プログラムの改竄が無いと判断し、一致しない場合、第２プログラムの改竄が無いとは判断できないと判断する。

【0037】

更に、検証部１２２１は、更新パッケージの改竄有無を検証する。具体的には、検証部１２２１は、更新パッケージに含まれる検証期待値を取得すると共に、更新パッケージのうちの検証範囲情報１２１２に該当するプログラム又はデータを取得する。検証部１２２１は、この検証範囲情報１２１２に該当するプログラム又はデータの改竄有無を検証する検証値を算出する所定のアルゴリズムと暗号鍵１２１１とに基づいて、この検証範囲情報１２１２に該当するプログラム又はデータから検証値を算出する。そして、検証部１２２１は、算出された検証値と更新パッケージに含まれる検証期待値とを比較する。検証部１２２１は、算出された検証値と更新パッケージに含まれる検証期待値とが一致する場合、更新パッケージの改竄が無いと判断し、一致しない場合、更新パッケージの改竄が無いとは判断できないと判断する。

【0038】

検証部１２２１によって行われる上記の各検証処理は、共通鍵を用いたＭＡＣ（Message Authentication Code；メッセージ認証符号）による検証処理であってもよいし、公開鍵を用いたＲＳＡ（Rivest-Shamir-Adleman cryptosystem）による検証処理であってもよいし、電子署名を用いたＥＣＤＳＡ（Elliptic Curve Digital Signature Algorithm）等による検証処理であってもよい。

【0039】

暗号処理部１２２２は、所定のデータを暗号化する暗号処理、又は、暗号化されたデータを復号化する復号処理を行う。セキュア更新部１２２３は、メイン更新部１１２３と連携し、セキュアプログラム記憶部１２２又はセキュアデータ記憶部１２１に格納された更新対象のプログラム又はデータを、更新パッケージによって更新する。なお、セキュア領域１２に格納された更新対象を更新するメイン更新部１１２３及びセキュア更新部１２２３は、特許請求の範囲に記載された「更新部」の一例である。

【0040】

セキュアデータ記憶部１２１は、暗号鍵１２１１と、検証範囲情報１２１２とを格納する。暗号鍵１２１１は、検証部１２２１によって行われる検証処理に用いられる暗号鍵のデータである。暗号鍵１２１１は、用途に応じて複数あってもよい。検証範囲情報１２１２は、検証部１２２１が検証対象とするプログラム又はデータを示す情報である。検証範囲情報１２１２は、アドレス情報であってもよい。例えば、第１プログラムの改竄有無の検証に用いられる検証範囲情報１２１２は、第１プログラムに該当する一部又は全部のプログラムの一部又は全部の格納先を指定するアドレス情報である。例えば、第２プログラムの改竄有無の検証に用いられる検証範囲情報１２１２は、第２プログラムに該当する一部又は全部のプログラムの一部又は全部の格納先を指定するアドレス情報である。例えば、更新パッケージの改竄有無の検証に用いられる検証範囲情報１２１２は、更新パッケージの一部若しくは全部のプログラム又はデータの一部若しくは全部の格納先を指定するアドレス情報である。

【0041】

セキュアデータ記憶部１２１は、特に図示していないが、セキュア制御データを格納する。このセキュア制御データは、セキュア制御部１２３によって実行される検証部１２２１、暗号処理部１２２２、セキュア更新部１２２３が処理に使用するデータであり、第１マイコン１に搭載された制御装置５のセキュリティ機能を実現させるためのデータである。このセキュア制御データは、用途に応じて複数あってもよい。

【0042】

第２マイコン２は、互いにバス線２５によって結線された、制御部２１と、プログラム記憶部２２と、データ記憶部２３と、通信部２４とを備える。

【0043】

制御部２１は、プロセッサ（ＣＰＵ、ＭＰＵ又はＤＳＰ）を有しており、プログラム記憶部２２に格納されたプログラムと、記憶装置３の第２マイコン用記憶領域３１に格納された制御プログラム３１１とを実行する。なお、制御部２１は、特許請求の範囲に記載された「第２演算処理装置」に含まれる「プロセッサ」の一例である。

【0044】

プログラム記憶部２２は、制御部２１が実行するプログラムを格納する。データ記憶部２３は、制御部２１がプログラムを実行するときに使用するデータを格納する。プログラム記憶部２２及びデータ記憶部２３のそれぞれは、フラッシュメモリ、ＥＥＰＲＯＭ、ＳＳＤ、ＦＲＡＭ又は磁気ディスクのような、不揮発性の記憶装置によって構成される。プログラム記憶部２２及びデータ記憶部２３のそれぞれは、複数の記憶装置によって構成されてもよい。プログラム記憶部２２は、複数の記憶装置に分散してプログラムを格納してもよい。データ記憶部２３は、複数の記憶装置に分散してデータを格納してもよい。

【0045】

プログラム記憶部２２及びデータ記憶部２３のそれぞれは、不揮発性の記憶装置であるＲＯＭと、揮発性の記憶装置であるＲＡＭとを有するメモリであってもよい。ＲＯＭは、不変のプログラムを格納する。ＲＡＭは、ＤＲＡＭのような高速且つ揮発性の記憶装置であってもよく、制御部２１が実行するプログラムと、当該プログラムの実行時に使用されるデータとを一時的に格納することができる。プログラム記憶部２２及びデータ記憶部２３は、その一部又は全部を互いの構成要素として有してもよい。デバイスとして明確な区別が無くても、プログラム記憶部２２は、プログラムを格納している部分であり、データ記憶部２３は、データを格納している部分であればよい。

【0046】

プログラム記憶部２２は、起動実行部２２１と、第２取得部２２２とを格納する。起動実行部２２１及び第２取得部２２２は、制御部２１が実行するプログラムであり、制御装置５における第２マイコン２としての機能を実現するためのプログラムである。

【0047】

起動実行部２２１及び第２取得部２２２は、不正に書き換えられることを防止するために、ＯＴＰ（One Time Programable）領域に格納される。ＯＴＰ領域は、一度しかプログラムを書き込むことができず、一度プログラムを書き込むと、異なるプログラムに書き換えることが不可能な記憶領域である。すなわち、第２マイコン２は、プログラム記憶部２２において、プログラムの書き換えが不可能なＯＴＰ領域を有する。起動実行部２２１及び第２取得部２２２は、ＯＴＰ領域に格納されている。

【0048】

第２取得部２２２は、所定のタイミングにおいて、記憶装置３の第２マイコン用記憶領域３１に格納されたプログラムを取得する。具体的には、第２取得部２２２は、第１マイコン１から上記の取得許可が通知された場合に、記憶装置３の第２マイコン用記憶領域３１から第２プログラムを取得する。第２取得部２２２は、取得された第２プログラムを、第２マイコン２の所定の記憶領域に展開して格納する。第２取得部２２２は、記憶装置３の第２マイコン用記憶領域３１から第２プログラムを取得する際、当該第２マイコン用記憶領域３１に格納されたデータを取得してもよい。

【0049】

起動実行部２２１は、所定のタイミングにおいて、記憶装置３の第２マイコン用記憶領域３１に格納されたプログラムを起動させる。具体的には、起動実行部２２１は、第１マイコン１から上記の起動許可が通知された場合に、記憶装置３の第２マイコン用記憶領域３１から取得された第２プログラムを起動させる。また、起動実行部２２１は、制御装置５の電源投入後、第１マイコン１から上記の取得許可が通知されるまで、第２マイコン２を待機状態に移行させる。起動実行部２２１は、第２取得部２２２が第２プログラムを取得した後、第１マイコン１から上記の起動許可が通知されるまで、第２マイコン２を待機状態に移行させる。

【0050】

データ記憶部２３は、特に図示していないが、制御データを格納する。この制御データは、制御部２１によって実行される制御プログラム３１１、起動実行部２２１、第２取得部２２２が処理に使用するデータであり、制御装置５における第２マイコン２としての機能を実現させるためのデータである。この制御データは、用途に応じて複数あってもよい。

【0051】

通信部２４は、第２マイコン２が、第１マイコン１を含む制御装置５の他の構成要素と通信する機能と、制御装置５の外部装置と通信する機能とを有する。通信部２４は、ＳＰＩ、ＭＩＩ、ＣＡＮ、ＣＡＮ ＦＤ、Ｅｔｈｅｒｎｅｔ又はＦｌｅｘＲａｙ等の規格に準拠した通信モジュールによって構成されてもよい。通信部２４は、用途及び通信方式に応じて複数の通信部によって構成されてもよい。通信部２４は、他の通信を行う通信モジュールとの共用であってもよい。なお、通信部２４は、無線通信を行う場合、アンテナ及び変復調回路を含んで構成される。通信部２４は、有線通信を行う場合、コネクタ及び変復調回路を含んで構成される。

【0052】

記憶装置３は、フラッシュメモリ、ＥＥＰＲＯＭ、ＳＳＤ、ＦＲＡＭ又は磁気ディスクのような、不揮発性の記憶装置によって構成される。記憶装置３は、第２マイコン用記憶領域３１を有する。第２マイコン用記憶領域３１は、第２プログラムである制御プログラム３１１と、第２検証期待値３１２とを格納する。

【0053】

制御プログラム３１１は、制御装置５が制御対象を制御するためのプログラムであって、第２マイコン２の制御部２１によって実行されるプログラムである。制御プログラム３１１は、第２マイコン２の所定の記憶領域に展開され、起動実行部２２１に従って制御部２１により実行される。制御プログラム３１１は、第１マイコン１及び第２マイコン２の何れもが読み出すことができる場所に格納されていればよい。第２検証期待値３１２は、第２プログラムの改竄有無を検証する処理において算出されることが期待される値である。第２検証期待値３１２は、第１マイコン１が読み出すことができる場所に格納されていればよい。第２検証期待値３１２は、例えば、メインデータ記憶部１１３、セキュアデータ記憶部１２１、セキュアプログラム記憶部１２２の何れかに格納されてもよい。

【0054】

なお、制御装置５には、第２マイコン２と同様の構成を有するマイコンが複数備わっていてもよい。この場合、記憶装置３には、複数の制御プログラム３１１と、複数の第２検証期待値３１２とが格納される。

【0055】

図２は、図１に示す制御装置５の起動処理の流れを示すシーケンスである。

【0056】

図２の説明において、メインプログラム記憶部１１２に格納されたプログラムの実行主体はメイン制御部１１１であり、セキュアプログラム記憶部１２２に格納されたプログラムの実行主体はセキュア制御部１２３であるものとする。プログラム記憶部２２及び第２マイコン用記憶領域３１に格納されたプログラムの実行主体は、制御部２１であるものとする。

【0057】

図２に記載された矢印は、コマンド及びデータの概念的な流れを示すものであり、通信方向又は指令方向を限定するものではない。図２に示す起動処理には、図２に記載された矢印以外のコマンド及びデータの流れが含まれていてもよい。

【0058】

図２に示す起動処理は、制御装置５の電源投入後に開始される。制御装置５の電源は、例えば、制御装置５の制御対象である車両等のイグニッションスイッチがＯＮされたことによって投入される。

【0059】

ステップＳ１０１において、第１マイコン１は、検証部１２２１を用いて、メイン領域１１に格納されたプログラムの改竄有無を検証する。例えば、第１マイコン１は、検証範囲情報１２１２が示すアドレスに該当するプログラムを取得して検証値を算出し、第１検証期待値１１２２と比較する。第１マイコン１は、算出された検証値と第１検証期待値１１２２とが一致する場合、第１プログラムの改竄が無いと判断し、検証ＯＫ（検証成功）と判断する。一方、第１マイコン１は、算出された検証値と第１検証期待値１１２２とが一致しない場合、第１プログラムの改竄が無いとは判断できず、検証ＮＧ（検証不成功）と判断する。

【0060】

ステップＳ１０２において、第１マイコン１は、ステップＳ１０１において検証ＯＫと判断した場合、ステップＳ１０４へ移行する。一方、第１マイコン１は、ステップＳ１０１において検証ＮＧと判断した場合、ステップＳ１０３へ移行する。

【0061】

ステップＳ１０３において、第１マイコン１は、検証部１２２１を用いて、予め定められたエラー処理を実行する。例えば、第１マイコン１は、エラー処理として、ステップＳ１０１の検証処理を再実行したり、第１マイコン１の特定の機能を制限する縮退運転を実行するように設定したり、制御装置５の起動を全面的に停止したりする。更に、第１マイコン１は、検証ＮＧであること、又は、これらのエラー処理を実行することを報知することができる。

【0062】

ステップＳ１０４において、第１マイコン１は、第１取得部１１２６を用いて、記憶装置３から第２マイコン用記憶領域３１に格納された第２プログラム及び第２検証期待値３１２を取得する。

【0063】

ステップＳ１０５において、第１マイコン１は、取得許可通知部１１２５を用いて、第２プログラムの取得許可を第２マイコン２に通知する。

【0064】

ステップＳ１０６において、第１マイコン１は、検証部１２２１を用いて、ステップＳ１０４において取得した第２プログラムの改竄有無を検証する。例えば、第１マイコン１は、検証範囲情報１２１２が示すアドレスに該当するプログラムを取得して検証値を算出し、第２検証期待値３１２と比較する。第１マイコン１は、算出された検証値と第２検証期待値３１２とが一致する場合、第２プログラムの改竄が無いと判断し、検証ＯＫ（検証成功）と判断する。一方、第１マイコン１は、算出された検証値と第２検証期待値３１２とが一致しない場合、第２プログラムの改竄が無いとは判断できず、検証ＮＧ（検証不成功）と判断する。

【0065】

ステップＳ１０７において、第１マイコン１は、ステップＳ１０６において検証ＯＫと判断した場合、ステップＳ１０９へ移行する。一方、第１マイコン１は、ステップＳ１０６において検証ＮＧと判断した場合、ステップＳ１０８へ移行する。

【0066】

ステップＳ１０８において、第１マイコン１は、検証部１２２１を用いて、予め定められたエラー処理を実行する。例えば、第１マイコン１は、エラー処理として、ステップＳ１０６の検証処理を再実行したり、第２マイコン２の特定の機能を制限する縮退運転を実行するように設定したり、制御装置５の起動を全面的に停止したりする。更に、第１マイコン１は、検証ＮＧであること、又は、これらのエラー処理を実行することを報知することができる。

【0067】

ステップＳ１０９において、第１マイコン１は、起動許可通知部１１２４を用いて、第２マイコン２の起動許可を第２マイコン２に通知する。

【0068】

ステップＳ２０１において、第２マイコン２は、起動実行部２２１を用いて、第２プログラムの取得許可が第１マイコン１から通知されるまで、待機状態に移行する。

【0069】

ステップＳ２０２において、第２マイコン２は、第２プログラムの取得許可が第１マイコン１から通知された場合、第２取得部２２２を用いて、記憶装置３から第２マイコン用記憶領域３１に格納された第２プログラムを取得する。その後、第２マイコン２は、起動実行部２２１を用いて、第２プログラムの起動許可が第１マイコン１から通知されるまで、待機状態に移行する。

【0070】

ステップＳ２０３において、第２マイコン２は、第２プログラムの起動許可が第１マイコン１から通知された場合、起動実行部２２１を用いて、ステップＳ２０２において取得された第２プログラムを起動する。

【0071】

ステップＳ２０４において、第２マイコン２は、第２プログラムの起動が完了した場合、起動実行部２２１を用いて、第２マイコン２の起動完了を第１マイコン１に通知する。図２に示す処理によって、制御装置５は、安全に起動することができる。

【0072】

なお、図２のステップＳ１０５は、ステップＳ１０２の後であってステップＳ１０９より前に実行されていればよく、ステップＳ１０４とステップＳ１０６の間に実行される必要はない。ステップＳ１０５は、例えば、ステップＳ１０２とステップＳ１０４との間に実行されてもよいし、ステップＳ１０７とステップＳ１０９との間に実行されてもよい。

【0073】

図３は、図１に示す制御装置５の更新処理の流れを示すフローチャートである。

【0074】

図３に示す更新処理は、制御装置５のプログラム又はデータの更新依頼が、制御装置５の外部装置から送信された際に開始する。

【0075】

ステップＳ３０１において、制御装置５は、通信部１１４又は通信部２４を介して、外部装置から更新依頼を受信する。制御装置５は、メイン更新部１１２３を用いて、更新パッケージを受信するまで待機する待機状態に移行する。制御装置５は、この待機状態に移行する前に、所定の機器認証を実行し、更新依頼の送信元の外部装置が正規の装置であること検証してもよい。

【0076】

ステップＳ３０２において、制御装置５は、メイン更新部１１２３を用いて、外部装置から更新パッケージを受信し、所定の記憶領域に格納する。更新パッケージを格納する所定の記憶領域は、例えば、メインデータ記憶部１１３若しくは記憶装置３の何れか、又は、両方に設けられていてもよい。更新パッケージを格納する所定の記憶領域は、揮発性の記憶装置に設けられていてもよいし、不揮発性の記憶装置に設けられていてもよい。

【0077】

ステップＳ３０３において、第１マイコン１は、検証部１２２１を用いて、ステップＳ３０２において受信された更新パッケージの改竄有無を検証する。例えば、第１マイコン１は、検証範囲情報１２１２が示すアドレスに該当するプログラムを取得して検証値を算出し、更新パッケージ用の検証期待値と比較する。第１マイコン１は、算出された検証値と検証期待値とが一致する場合、更新パッケージの改竄が無いと判断し、検証ＯＫ（検証成功）と判断する。一方、第１マイコン１は、算出された検証値と検証期待値とが一致しない場合、更新パッケージの改竄が無いとは判断できず、検証ＮＧ（検証不成功）と判断する。

【0078】

ステップＳ３０４において、第１マイコン１は、ステップＳ３０３において検証ＯＫと判断した場合、ステップＳ３０６へ移行する。一方、第１マイコン１は、ステップＳ３０３において検証ＮＧと判断した場合、ステップＳ３０５へ移行する。

【0079】

ステップＳ３０５において、第１マイコン１は、検証部１２２１を用いて、予め定められたエラー処理を実行する。例えば、第１マイコン１は、エラー処理として、ステップＳ３０３の検証処理を再実行したり、第１マイコン１又は第２マイコン２の特定の機能の更新を制限するように設定したり、制御装置５の更新を全面的に停止したりする。更に、第１マイコン１は、検証ＮＧであること、又は、これらのエラー処理を実行することを報知することができる。

【0080】

ステップＳ３０６において、第１マイコン１は、暗号処理部１２２２を用いて、秘匿用途に用いる暗号鍵１２１１と所定のアルゴリズムとに基づき更新パッケージを復号する。例えば、第１マイコン１は、ＡＥＳ－ＣＢＣを用いた暗号処理及び復号処理を行ってもよい。また、第１マイコン１は、セキュア制御部１２３しかアクセスできないセキュアデータ記憶部１２１に格納された更新パッケージ用の暗号鍵１２１１に基づいて復号処理を行ってもよい。

【0081】

ステップＳ３０７において、第１マイコン１は、メイン更新部１１２３（及びセキュア更新部１２２３）を用いて、ステップＳ３０６において復号された更新パッケージを、更新対象のプログラム又はデータの格納先に格納して、更新対象を更新する。更新パッケージは、更新対象の格納先を指定するアドレス情報を含んでいてもよい。更新パッケージは、複数の更新プログラム又は更新データによって構成されていてもよい。これらの複数の更新プログラム又は更新データのそれぞれには、格納先のＩＤが付与されていてもよい。例えば、更新パッケージが、検証部１２２１を更新対象とする更新プログラムと、暗号鍵１２１１を更新対象とする更新データとから構成される場合、更新プログラムには検証部１２２１のアドレス情報に対応するＩＤが付与され、更新プログラムには暗号鍵１２１１のアドレス情報に対応するＩＤが付与されてもよい。図３に示す処理によって、制御装置５は、更新対象を安全に更新することができる。

【0082】

以上のように、実施形態１の制御装置５は、第１プログラムを実行するプロセッサを含む第１マイコン１と、第２プログラムを実行するプロセッサを含む第２マイコン２と、第２プログラムが格納された記憶装置３と、を備える制御装置である。第１マイコン１は、第１プログラム及び第２プログラムのそれぞれの改竄有無を検証する検証部１２２１と、検証部１２２１により第１プログラムの改竄が無いと検証された場合に、記憶装置３から第２プログラムを取得する第１取得部１１２６とを有する。更に、第１マイコン１は、検証部１２２１により第２プログラムの改竄が無いと検証された場合に、第２マイコン２が第２プログラムを起動することを許可する起動許可を、第２マイコン２に通知する起動許可通知部１１２４を有する。第２マイコン２は、記憶装置３から第２プログラムを取得する第２取得部２２２と、起動許可が通知された場合に、第２プログラムを起動させる起動実行部２２１とを有する。

【0083】

このような構成により、実施形態１の制御装置５は、起動時に、プログラム検証機能を有する第１マイコン１が、プログラム検証機能を有しない第２マイコン２において実行される第２プログラムを検証するだけでなく、当該第１マイコン１において実行される第１プログラム自体を検証することができる。そして、第１マイコン１は、改竄が無いことが確認された第１プログラムの機能に基づいて第２プログラムを検証し、改竄が無いことが確認された第２プログラムの起動を許可することができる。したがって、実施形態１の制御装置５は、プログラム検証機能を第１マイコン１及び第２マイコン２の全てに搭載しなくても、第１プログラム又は第２プログラムの何れかが改竄されたことを適切に検出及び対処することができる。よって、実施形態１の制御装置５は、複数の演算処理装置を備える制御装置の安全な起動を容易に実現することができる。

【0084】

更に、実施形態１の制御装置５では、第１マイコン１が耐タンパ性を有するセキュア領域１２を有し、第２マイコン２がプログラムの書き換えが不可能なＯＴＰ領域を有する。検証部１２２１はセキュア領域１２に格納され、第２取得部２２２及び起動実行部２２１は、ＯＴＰ領域に格納されている。

【0085】

このような構成により、実施形態１の第１マイコン１は、起動時に、ＨＳＭのような耐タンパ性が担保されたセキュア領域１２に格納された検証部１２２１に基づいて第１プログラムを検証することができる。そして、第１マイコン１は、改竄が無いことが確認された第１プログラムの機能に基づいて第２プログラムを検証し、改竄が無いことが確認された第２プログラムの起動を許可することができる。一方、実施形態１の第２マイコン２は、改竄不可能なＯＴＰ領域に格納された第２取得部２２２を用いて第２プログラムを取得することができる。そして、第２マイコン２は、第２プログラムの起動が許可された場合、改竄不可能なＯＴＰ領域に格納された起動実行部２２１を用いて第２プログラムを起動することができる。したがって、実施形態１の制御装置５は、制御装置５のセキュリティ機能を実現し得る検証部１２２１や、第２プログラムの起動に関わる第２取得部２２２及び起動実行部２２１が改竄されることを確実に防止することができる。よって、実施形態１の制御装置５は、ＨＳＭのようなセキュリティ強度の高いセキュリティ機能を第１マイコン１及び第２マイコン２の全てに搭載しなくても、複数の演算処理装置を備える制御装置の起動時における安全性を更に向上させることができる。

【0086】

更に、実施形態１の制御装置５では、起動実行部２２１が、第２取得部２２２が第２プログラムを取得した後、第２プログラムの起動許可が通知されるまで、第２マイコン２を待機状態に移行させる。

【0087】

このような構成により、実施形態１の制御装置５では、第２プログラムの取得後から起動許可が通知されるまでの間に、第２マイコン２が不正プログラムを起動するような不正な事態が発生することを確実に防止することができる。よって、実施形態１の制御装置５は、複数の演算処理装置を備える制御装置の起動時における安全性を更に向上させることができる。

【0088】

更に、実施形態１の制御装置５において、第１マイコン１は、検証部１２２１により第１プログラムの改竄が無いと検証された場合に、第２マイコン２が記憶装置３から第２プログラムを取得することを許可する取得許可を第２マイコン２に通知する取得許可通知部１１２５を有する。取得許可通知部１１２５は、起動許可通知部１１２４が起動許可を第２マイコン２に通知する前に、取得許可を第２マイコン２に通知する。第２取得部２２２は、取得許可が通知された場合に、記憶装置３から第２プログラムを取得する。

【0089】

このような構成により、実施形態１の第２マイコン２は、第１プログラムの改竄が無いことが確認されれば、第２プログラムの起動許可が通知される前に第２プログラムを取得しておき、起動許可が通知されると直ちに第２プログラムを起動することができる。よって、実施形態１の制御装置５は、複数の演算処理装置を備える制御装置の安全且つ高速な起動を容易に実現することができる。

【0090】

更に、実施形態１の制御装置５では、起動実行部２２１が、制御装置５の電源投入後、第２プログラムの取得許可が通知されるまで、第２マイコン２を待機状態に移行させる。

【0091】

このような構成により、実施形態１の制御装置５では、制御装置５の電源投入後から取得許可が通知されるまでの間に、第２マイコン２が改竄されたプログラムを起動してしまうような不正な事態が発生することを確実に防止することができる。よって、実施形態１の制御装置５は、複数の演算処理装置を備える制御装置の起動時における安全性を更に向上させることができる。

【0092】

更に、実施形態１の制御装置５は、セキュア領域１２がプログラムの書き換えが可能な領域であり、第１マイコン１がセキュア領域１２に格納された更新対象を更新パッケージによって更新するメイン更新部１１２３及びセキュア更新部１２２３を有する。検証部１２２１は、更新パッケージの改竄有無を検証する。メイン更新部１１２３及びセキュア更新部１２２３は、検証部１２２１により更新パッケージの改竄が無いと検証された場合に、更新パッケージによって更新対象を更新する。

【0093】

このような構成により、実施形態１の制御装置５では、セキュア領域１２に格納された検証部１２２１のアルゴリズムや暗号鍵１２１１のデータの更新が可能である。

【0094】

ここで、制御装置５は、自動車等の製品寿命が比較的長い機械又は機器の制御装置であってもよい。例えば、制御装置５が車載用のＥＣＵによって構成される場合、自動車の走行制御は人命に関わるので、制御装置５は１０年を超える長期間に亘って走行制御の安全性を確保し続けなければならない。一方、長期に亘る制御装置５の運用期間において、走行制御に関わるプログラムの検証機能を構成するアルゴリズムやデータが、危殆化する虞がある。万一、これらのアルゴリズムやデータが危殆化した場合には、安全なアルゴリズムやデータに更新するべきである。しかしながら、特許文献１のようにプログラム検証機能がＯＴＰ領域に格納されていると、危殆化したこれらのアルゴリズムやデータを、安全なアルゴリズムやデータに更新することができない。これにより、特許文献１のようなプログラム検証機能がＯＴＰ領域に格納された制御装置では、製品寿命の比較的長い機械等が制御対象である場合、この製品寿命の期間に亘って長期的に安全な起動を実現することが難しい。

【0095】

これに対し、実施形態１の制御装置５では、ＨＳＭのような耐タンパ性が担保されたセキュア領域１２に格納された検証部１２２１のアルゴリズムや暗号鍵１２１１のデータの更新が可能である。これにより、実施形態１の制御装置５は、検証部１２２１のアルゴリズムや暗号鍵１２１１のデータが危殆化する前に、これらを安全なアルゴリズムやデータに更新することができる。したがって、実施形態１の制御装置５は、製品寿命の比較的長い機械等が制御対象であっても、この製品寿命の期間に亘って長期的に安全な起動を実現することができる。

【0096】

［実施形態２］
図４及び図５を用いて、実施形態２の制御装置５について説明する。実施形態２の制御装置５において、実施形態１と同様の構成及び動作については、説明を省略する。

【0097】

図４は、実施形態２の制御装置５の機能的構成を示す図である。図５は、図４に示す制御装置５の起動処理の流れを示すシーケンスである。なお、図５に示す起動処理は、図２に示す起動処理に対応しており、制御装置５の電源投入後に開始される。

【0098】

実施形態２の制御装置５では、実施形態１と同様に、検証部１２２１がセキュア領域１２に格納され、第２取得部２２２及び起動実行部２２１が第２マイコン２のＯＴＰ領域に格納されている。

【0099】

実施形態２の制御装置５では、実施形態１とは異なり、記憶装置３が第２プログラムだけでなく、第１プログラムを格納してもよい。具体的には、図４に示すように、実施形態２のメイン制御プログラム１１２１、メイン更新部１１２３、起動許可通知部１１２４及び取得許可通知部１１２５が、第１プログラムとして、記憶装置３の第１マイコン用記憶領域３２に格納されていてもよい。実施形態２の第１検証期待値１１２２についても、記憶装置３の第１マイコン用記憶領域３２に格納されていてもよい。

【0100】

また、実施形態２の制御装置５では、実施形態１とは異なり、メインプログラム記憶部１１２が、プログラムの書き換えが不可能なＯＴＰ領域を有し、第１取得部１１２６が当該ＯＴＰ領域に格納されていてもよい。そして、実施形態２の第１取得部１１２６は、記憶装置３から第２プログラム及び第２検証期待値３１２を取得するだけではなく、記憶装置３から第１プログラム及び第１検証期待値１１２２を取得してもよい。

【0101】

具体的には、図５のステップＳ１１１に示すように、実施形態２の第１マイコン１は、第１取得部１１２６を用いて、制御装置５の電源投入後であってステップＳ１０１の前に、記憶装置３の第１マイコン用記憶領域３２から第１プログラムを取得する。その後、実施形態２の第１マイコン１は、実施形態１と同様のステップＳ１０１～ステップＳ１０９を実行してもよい。実施形態２の第２マイコン２は、実施形態１と同様のステップＳ２０１～ステップＳ２０４を実行してもよい。

【0102】

なお、図５のステップＳ１１１において、実施形態２の第１マイコン１は、第１取得部１１２６を用いて、第１プログラム及び第２プログラムの両方を取得することもできる。この場合、実施形態２の第１マイコン１は、ステップＳ１０４を省略することができる。また、この場合、実施形態２の第１マイコン１は、第１プログラムの改竄が無いことが検証された直後（ステップＳ１０２：ＹＥＳの直後）に、ステップＳ１０５を実行して第２プログラムの取得許可を第２マイコン２に通知することができる。

【0103】

このように、実施形態２の制御装置５は、検証部１２２１はセキュア領域１２に格納され、第１取得部１１２６、第２取得部２２２及び起動実行部２２１は、ＯＴＰ領域に格納されている。実施形態２の制御装置５は、実施形態１と同様に、制御装置５のセキュリティ機能を実現し得る検証部１２２１や、第１プログラム及び第２プログラムの起動に関わる第１取得部１１２６、第２取得部２２２及び起動実行部２２１が改竄されることを確実に防止することができる。更に、実施形態２の制御装置５では、第１プログラムの容量が将来的に増大する場合であっても、第１マイコン１よりも拡張性の高い記憶装置３を容量の大きな記憶装置に交換するだけで容易に対応することができる。よって、実施形態２の制御装置５は、複数の演算処理装置を備える制御装置の安全な起動を容易且つ持続的に実現することができる。

【0104】

［その他］
なお、本発明は上記の実施形態に限定されるものではなく、様々な変形例が含まれる。例えば、上記の実施形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、或る実施形態の構成の一部を他の実施形態の構成に置き換えることが可能であり、また、或る実施形態の構成に他の実施形態の構成を加えることも可能である。また、各実施形態の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

【0105】

また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路にて設計する等によりハードウェアによって実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアによって実現してもよい。各機能を実現するプログラム、テープ、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ等の記録装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。

【0106】

また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

【符号の説明】

【0107】

１…第１マイコン（第１演算処理装置）、１１１…メイン制御部（プロセッサ）、１１２３…メイン更新部、１１２４…起動許可通知部、１１２５…取得許可通知部、１１２６…第１取得部、１２…セキュア領域、１２２１…検証部、１２２３…セキュア更新部、２…第２マイコン（第２演算処理装置）、２１…制御部（プロセッサ）、２２１…起動実行部、２２２…第２取得部、３…記憶装置、５…制御装置

【図1】

【図2】

【図3】

【図4】

【図5】