2023-114517 プログラム更新装置およびプログラム更新方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023114517

(43)【公開日】2023-08-18

(54)【発明の名称】プログラム更新装置およびプログラム更新方法

(51)【国際特許分類】

   G06F 8/65 20180101AFI20230810BHJP

   G06F 21/57 20130101ALI20230810BHJP

【ＦＩ】

G06F8/65

G06F21/57

【審査請求】未請求

【請求項の数】8

【出願形態】ＯＬ

(21)【出願番号】P 2022016849

(22)【出願日】2022-02-07

(71)【出願人】

【識別番号】000237592

【氏名又は名称】株式会社デンソーテン

(74)【代理人】

【識別番号】110001933

【氏名又は名称】弁理士法人 佐野特許事務所

(72)【発明者】

【氏名】土井 一功

(72)【発明者】

【氏名】養畑 裕紀

【テーマコード（参考）】

5B376

【Ｆターム（参考）】

5B376CA76

5B376CA81

5B376CA82

5B376FA11

5B376GA08

(57)【要約】

【課題】リプロに要する時間を短縮できるプログラム更新技術を提供する。
【解決手段】プログラム更新装置は、処理部と、メモリと、を備える。前記処理部は、プログラムをブロック単位で前記メモリに書き込む書込処理を行うとともに、前記書込処理を行っている間に、先に前記メモリに書き込まれた前記プログラムの改ざんをチェックするチェック処理を開始する。
【選択図】図７

【特許請求の範囲】

【請求項1】

処理部と、メモリと、を備え、
前記処理部は、
プログラムをブロック単位で前記メモリに書き込む書込処理を行うとともに、
前記書込処理を行っている間に、先に前記メモリに書き込まれた前記プログラムの改ざんをチェックするチェック処理を開始する、プログラム更新装置。

【請求項2】

前記書込処理は、暗号化された前記プログラムを復号化して前記メモリに書き込む処理である、請求項１に記載のプログラム更新装置。

【請求項3】

前記ブロックのデータサイズは、前記暗号化の複数の演算単位と等しい、請求項２に記載のプログラム更新装置。

【請求項4】

前記ブロックのデータサイズは、前記暗号化の演算単位と前記チェックの演算単位との最小公倍数と等しい、請求項２に記載のプログラム更新装置。

【請求項5】

前記処理部は、第１演算処理回路と、第２演算処理回路と、を備え、
前記第１演算処理回路は、前記書込処理を行い、
前記第２演算処理回路は、前記チェック処理を行う、請求項１～４のいずれか一項に記載のプログラム更新装置。

【請求項6】

前記第１演算処理回路はＣＰＵであり、前記第２演算処理回路はＩＣＵである、請求項５に記載のプログラム更新装置。

【請求項7】

前記第１演算処理回路はＣＰＵの第１プロセッサコアであり、前記第２演算処理回路は前記ＣＰＵの第２プロセッサコアである、請求項５に記載のプログラム更新装置。

【請求項8】

プログラムをブロック単位でメモリに書き込む書込工程と、
先に前記メモリに書き込まれた前記プログラムの改ざんをチェックするチェック工程と、を備え、
前記書込工程を行っている間に、前記チェック工程を開始する、プログラム更新方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、プログラムを更新する技術に関する。

【背景技術】

【0002】

従来、車両に搭載されるＥＣＵ（Electronic Control Unit）が知られている。ＥＣＵは、ＥＣＵ内部のマイクロコンピュータ（以下、「マイコン」と称する場合がある）に格納されているプログラムに従って、制御対象を電子制御する。ＥＣＵの制御対象としては、例えば、エンジン、ブレーキ、トランスミッション、パワーステアリング、エアバッグ等がある。

【0003】

ＥＣＵ内部のマイコンに格納されているプログラムは、機能を追加する場合、事後的に不具合が発見された場合等に更新（リプログラミング）が必要となる。なお、以下では、「リプログラミング」という用語を短縮して「リプロ」と称する場合がある。

【0004】

改ざんされたプログラムが使用されることを防止するために、リプロ時にプログラムの改ざんがチェックされる。

【先行技術文献】

【特許文献】

【0005】

【特許文献1】特開２０１９－３５４４号公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

近年、マイコンの高性能化、プログラムの高機能化に伴い、プログラムのデータサイズが増大している。そのため、リプロ時の改ざんチェックに要する時間も増大している。

【0007】

特許文献１は、複数のＥＣＵに係るリプロの効率化を図ることができる技術を開示する。特許文献１で開示される技術は、複数のＥＣＵに係るリプロに限定されるものである。つまり、特許文献１は、リプロ全般に対して適用可能な技術を開示していない。

【0008】

本発明は、上記課題に鑑みて、リプロに要する時間を短縮できるプログラム更新技術を提供することを目的とする。

【課題を解決するための手段】

【0009】

例示的な本発明のプログラム更新装置は、処理部と、メモリと、を備える。前記処理部は、プログラムをブロック単位で前記メモリに書き込む書込処理を行うとともに、前記書込処理を行っている間に、先に前記メモリに書き込まれた前記プログラムの改ざんをチェックするチェック処理を開始する。

【発明の効果】

【0010】

例示的な本発明によると、リプロに要する時間を短縮できる。

【図面の簡単な説明】

【0011】

【図1】第１実施形態に係るＥＣＵの要部構成を示す図

【図2】マイコンの動作例を示すフローチャート

【図3】マイコンの第１状態を示す図

【図4】マイコンの第２状態を示す図

【図5】マイコンの第３状態を示す図

【図6】マイコンの第４状態を示す図

【図7】マイコンの第５状態を示す図

【図8】マイコンの第６状態を示す図

【図9】第１実施形態に係るＥＣＵのリプロに要する時間を示す概念図

【図10】第１実施形態に係るＥＣＵのリプロに要する時間を示す他の概念図

【図11】第２実施形態に係るＥＣＵの要部構成を示す図

【発明を実施するための形態】

【0012】

以下、本発明の例示的な実施形態について、図面を参照しながら詳細に説明する。

【0013】

＜第１実施形態＞
図１は、第１実施形態に係るＥＣＵ１（以下、「ＥＣＵ１」と称する）の要部構成を示すブロック図である。

【0014】

ＥＣＵ１は、マイコン１１を備える。マイコン１１は、プログラムを更新するプログラム更新装置の例である。マイコン１１は、ＣＰＵ（Central Processing Unit）１２と、ＲＯＭ（Read only memory）１３と、ＲＡＭ（Random access memory）１４と、ＩＣＵ（Intelligent Cryptographic Unit）１５と、バス１６とを、備える。

【0015】

ＣＰＵ１２は、ＲＯＭ１３に記憶されたプログラム（制御プログラム）を実行することでＥＣＵ１に割り当てられた機能を実現する。ＥＣＵ１に割り当てられた機能としては、例えば、エンジンを制御する機能、ブレーキを制御する機能、トランスミッションを制御する機能、パワーステアリングを制御する機能、エアバッグを制御する機能等がある。

【0016】

ＲＯＭ１３は、ＲＯＭ１３内の記憶内容の書き換えが可能な不揮発性メモリであって、例えばフラッシュメモリにて構成される。ＲＯＭ１３は、制御プログラムを不揮発的に記憶する。

【0017】

ＲＡＭ１４は、制御プログラムの実行の際に生じる一時的なデータを記憶する。

【0018】

ＩＣＵ１５は、セキュリティを強化するためのハードウェアモジュールであり、データの暗号処理、乱数発生等の機能を有する。

【0019】

ＣＰＵ１２、ＲＯＭ１３、ＲＡＭ１４、及びＩＣＵ１５は、バス１６を通じて双方向通信可能である。

【0020】

次に、制御プログラムの書き換えについて説明する。

【0021】

以下、ＲＯＭ１３に既に記憶されている制御プログラムを「第１制御プログラム」と称し、リプロによってＲＯＭ１３において「第１制御プログラム」から書き換えられた制御プログラムを「第２制御プログラム」と称する場合がある。第１制御プログラムと第２制御プログラムとは互いに異なるプログラムである。第２制御プログラムは、例えば、第１制御プログラムの一部を改訂したものである。

【0022】

制御プログラムの書き換えが実行されるときには、図１に示すように、外部装置の例であるパーソナルコンピュータ２（以下、「パソコン２」と称する）がＥＣＵ１に接続される。パソコン２とＥＣＵ１との接続は、有線接続であってもよく、無線接続であってもよい。つまり、ＥＣＵ１に設けられる通信部の仕様に応じて適切な接続形態が採用されればよい。

【0023】

パソコン２は、ＰＣリプロ用プログラムを格納している。制御プログラムの書き換えが実行されるときには、パソコン２のユーザがパソコン２を操作してＰＣリプロ用プログラムを起動させる。パソコン２は、ＰＣリプロ用プログラムに従って、リプロ実行コマンドをＥＣＵ１に送り、その後、暗号化された第２制御プログラムをＥＣＵ１に送る。なお、パソコン２は、第２制御プログラムを図示せぬセンターから受信してもよい。

【0024】

ＲＯＭ１３は、制御プログラムを書き換えるためのリプログラミングソフトウェアを不揮発的に記憶している。ＣＰＵ１２は、パソコン２から送られてくるリプロ実行コマンドを受け取ると、リプログラミングソフトウェアを実行する。ＣＰＵ１２によるリプログラミングソフトウェアの実行によって、マイコン１１は図２に示すフローチャートの動作を行う。

【0025】

ステップＳ１では、ＲＡＭ１４が、暗号化された第２制御プログラムＰ２を記憶する。したがって、ステップＳ１の完了時点において、マイコン１１は図３に示す第１状態になる。ステップＳ１の処理が完了すると、次のステップＳ２に処理が進められる。

【0026】

ステップＳ２では、ＣＰＵ１２は、第２制御プログラムＰ２の１ブロック目Ｐ２＿１をＲＯＭ１３に書き込む書込処理を行う。

【0027】

詳細には、ＣＰＵ１２は、ＲＡＭ１４に記憶されている暗号化された第２制御プログラムＰ２に対して復号化処理を行う。このとき、マイコン１１は図４に示す第２状態になる。

【0028】

そして、復号化終了分の第２制御プログラムＰ２のデータサイズがブロックのデータサイズに達したら、ＣＰＵ１２は、ＲＯＭ１３に記憶されている第１制御プログラムの１ブロック目Ｐ１＿１をＲＯＭ１３から消去する。当該消去処理が完了した時点において、マイコン１１は図５に示す第３状態になる。

【0029】

その後、ＣＰＵ１２は、第１制御プログラムの１ブロック目Ｐ１＿１を消去した領域に復号化された第２制御プログラムＰ２の１ブロック目Ｐ２＿１を書き込む。当該書込処理が完了した時点において、マイコン１１は図６に示す第４状態になる。

【0030】

ステップＳ２の処理が完了すると、次のステップＳ３に処理が進められる。

【0031】

ステップＳ３では、ＣＰＵ１２が、第２制御プログラムＰ２の２ブロック目Ｐ２＿２から順にＲＯＭ１３に書き込む書込処理を行うとともに、ＩＣＵ１５が、ＲＯＭ１３に書き込まれた第２制御プログラムＰ２の１ブロック目Ｐ２＿１から順に改ざんのチェックを行う。第２制御プログラムＰ２の２ブロック目Ｐ２＿２以降の書き込み手順は、第２制御プログラムＰ２の２ブロック目Ｐ２＿１の書き込み手順と同様である。

【0032】

ステップＳ３処理中の第１時点において、マイコン１１は例えば図７に示す第５状態になる。マイコン１１の第５状態は、ＣＰＵ１２が復号化された第２制御プログラムＰ２の２ブロック目Ｐ２＿２をＲＯＭ１３に書き込む書込処理と、ＩＣＵ１５が、ＲＯＭ１３に書き込まれた復号化された第２制御プログラムＰ２の１ブロック目Ｐ２＿１の改ざんをチェックする処理とが並列して実行されている状態である。

【0033】

ステップＳ３処理中の第２時点において、マイコン１１は例えば図８に示す第６状態になる。第２時点は、上述した第１時点より後に到来する時点である。マイコン１１の第６状態は、ＣＰＵ１２が復号化された第２制御プログラムＰ２の３ブロック目Ｐ２＿３をＲＯＭ１３に書き込む書込処理と、ＩＣＵ１５が、ＲＯＭ１３に書き込まれた復号化された第２制御プログラムＰ２の２ブロック目Ｐ２＿２の改ざんをチェック処理とが並列して実行されている状態である。

【0034】

第２制御プログラムＰ２の全てのブロックについて書込処理及びチェック処理の両方が終了すると、ステップＳ３が完了し、リプロが完了する。

【0035】

図９は、ＥＣＵ１のリプロに要する時間を示す概念図である。図９は、第２制御プログラムＰ２の１～ｎブロック目それぞれをＲＯＭ１３に書き込むために要する時間ＷＴ１～ＷＴｎと、第２制御プログラムＰ２の１～６ブロック目それぞれの改ざんをチェックするのに要する時間ＣＴ１～ＣＴｎと、を図示している。

【0036】

ＥＣＵ１は、第２制御プログラムＰ２の２ブロック目以降の書込処理及びチェック処理を並列して実行するため、参考例のＥＣＵのように全ての書込処理が完了してからチェック処理が実行される場合に比べて大幅にリプロに要する時間を短縮することができる。なお、図９では、時間ＷＴ１～ＷＴｎそれぞれと、時間ＣＴ１～ＣＴｎそれぞれとが同じ長さになってなるが、時間ＷＴ１～ＷＴｎそれぞれと、時間ＣＴ１～ＣＴｎそれぞれとは異なる長さであってもよい。

【0037】

本実施形態では、マイコン１１が図２に示すフローチャートの動作を行うので、ＣＰＵ１２及びＩＣＵ１５によって構成される処理部が、第２制御プログラムＰ２をブロック単位でＲＯＭ１３に書き込む書込処理を行うとともに、当該書込処理を行っている間に、先にＲＯＭ１３に書き込まれた第２制御プログラムＰ２の改ざんをチェックするチェック処理を開始する。これにより、第２制御プログラムＰ２の２ブロック目以降の書込処理及びチェック処理が並列して実行されることになる。したがって、マイコン１１は、並列処理が行われない場合と比較して、大幅にリプロに要する時間を短縮することができる。

【0038】

また、本実施形態では、ＣＰＵ１２及びＩＣＵ１５によって構成される処理部が、暗号化された第２制御プログラムＰ２を復号化してＲＯＭ１３に書き込む。これにより、パソコン２は、第２制御プログラムＰ２を暗号化してＥＣＵ１に送ることができる。これにより、第２制御プログラムＰ２の漏洩を抑制することができる。

【0039】

ここで、暗号化及び改ざんチェックの例について説明する。

【0040】

第２制御プログラムＰ２の暗号化は、例えばＡＥＳ（Advanced Encryption Standard）―１２８に則って実行される。ＡＥＳ―１２８で第２制御プログラムＰ２を暗号化する場合、第２制御プログラムＰ２は、128bit単位で分割されて暗号化が繰り返される。つまり、ＡＥＳ―１２８で第２制御プログラムＰ２を暗号化する場合は、128bitが暗号化の演算単位となる。暗号化の繰り返し方法としては、例えばＣＢＣ（Cipher Block Chaining）を採用することで秘匿性を高めることができる。

【0041】

第２制御プログラムＰ２の改ざんチェックは、例えばＣＭＡＣ（Cipher-based Message Authentication Code）に則って実行される。ＣＭＡＣで第２制御プログラムＰ２の改ざんをチェックする場合、パソコン２は、共通鍵を用いて第２制御プログラムＰ２から算出した固定長の認証コード（ＭＡＣ）を算出する。パソコン２で算出されたＭＡＣは、マイコン１１に送られる。一方、ＩＣＵ１５は、共通鍵を用いて、ＲＯＭ１３に書き込まれた復号化された第２制御プログラムＰ２から算出した固定長の認証コード（ＭＡＣ）を算出する。ＩＣＵ１５は、パソコン２で算出されたＭＡＣとＩＣＵ１５で算出されたＭＡＣとが一致すれば、改ざんが行われていないと判定する。ＣＭＡＣでは、認証コード（ＭＡＣ）の固定長が改ざんチェックの演算単位となる。

【0042】

復号化された第２制御プログラムＰ２をＣＰＵ１２がブロック単位でＲＯＭ１３に書き込む場合のブロックのデータサイズは、例えば暗号化の複数の演算単位（例えば3kbyte）と等しくすればよい。これにより、ＲＯＭ１３での消去及び書込の頻度が少なくなるため、ＣＰＵ１２によるＲＯＭ１３の制御が容易になる。

【0043】

また、復号化された第２制御プログラムＰ２をＣＰＵ１２がブロック単位でＲＯＭ１３に書き込む場合のブロックのデータサイズは、例えば暗号化の演算単位と改ざんチェックの演算単位との最小公倍数と等しくしてもよい。これにより、ステップＳ２の処理時間の最小化を図ることができ、リプロに要する時間をより一層短縮することができる。

【0044】

図１０は、ＥＣＵ１のリプロに要する時間を示す概念図である。ブロックのデータサイズを暗号化の複数の演算単位と等しくする場合と、ブロックのデータサイズを暗号化の演算単位と改ざんチェックの演算単位との最小公倍数と等しくする場合の両方を図示している。なお、ブロックのデータサイズを暗号化の演算単位と改ざんチェックの演算単位との最小公倍数と等しくする場合の方が、ブロックのデータサイズを暗号化の複数の演算単位と等しくする場合に比べてｎの値が大きくなる。

【0045】

なお、上述した「等しい」は、ＣＰＵ１２及びＩＣＵ１５の処理において支障が生じない程度の誤差を含んでいてもよい。つまり、「等しい」は、完全に等しいと限定されず、略等しいを含む概念である。

【0046】

＜第２実施形態＞
図１１は、第２実施形態に係るＥＣＵ１’（以下、「ＥＣＵ１’」と称する）の要部構成を示すブロック図である。

【0047】

ＥＣＵ１’は、ＣＰＵ１２がマルチコアプロセッサである点でＥＣＵ１と相違し、それ以外のハードウェア構成はＥＣＵ１と同様である。なお、ＥＣＵ１のＣＰＵ１２はシングルコアプロセッサである。

【0048】

ＥＣＵ１’のＣＰＵ１２は、第１プロセッサコア１２１と、第２プロセッサコア１２２と、を備える。ＥＣＵ１’では、第１プロセッサコア１２１が第１実施形態において説明した書込処理を行い、第２プロセッサコア１２２が第１実施形態において説明したチェック処理を行う。なお、本実施形態では、第２プロセッサコア１２２がチェック処理を行うため、ＥＣＵ１’にＩＣＵ１５を設けない構成にすることもできる。

【0049】

本実施形態によれば、第１実施形態と同様に、第２制御プログラムＰ２の２ブロック目以降の書込処理及びチェック処理が並列して実行されることになる。したがって、マイコン１１は、並列処理が行われない場合と比較して、大幅にリプロに要する時間を短縮することができる。

【0050】

＜留意事項＞
本明細書の、発明を実施するための形態に開示される種々の技術的特徴は、その技術的創作の主旨を逸脱しない範囲で種々の変更を加えることが可能である。また、本明細書の、発明を実施するための形態に開示される複数の実施形態および変形例は可能な範囲で組み合わせて実施されてよい。

【0051】

例えば、上述した実施形態では、ＣＰＵ１２又は第１プロセッサコア１２１が書込処理を行ったが、ＣＰＵ１２、第１プロセッサコア１２１以外の演算処理回路が書込処理を行ってもよい。

【0052】

また、例えば、上述した実施形態では、ＩＣＵ１５又は第２プロセッサコア１２２がチェック処理を行ったが、ＩＣＵ１５、第２プロセッサコア１２２以外の演算処理回路がチェック処理を行ってもよい。

【0053】

互いに異なるハードウェアである２つ演算処理回路の一方が書込処理を行い、他方がチェック処理を行うことによって、書込処理とチェック処理との並列処理が容易になる。

【符号の説明】

【0054】

１ 第１実施形態に係るＥＣＵ
１’ 第２実施形態に係るＥＣＵ
２ パーソナルコンピュータ
１１ マイクロコンピュータ
１２ ＣＰＵ
１３ ＲＯＭ
１４ ＲＡＭ
１５ ＩＣＵ
１６ バス
１２１ 第１プロセッサコア
１２２ 第２プロセッサコア
Ｐ１＿１ 第１制御プログラムの１ブロック目
Ｐ１＿２ 第１制御プログラムの２ブロック目
Ｐ１＿３ 第１制御プログラムの３ブロック目
Ｐ２ 暗号化された第２制御プログラム
Ｐ２＿１ 第２制御プログラムの１ブロック目
Ｐ２＿２ 第２制御プログラムの２ブロック目
Ｐ２＿３ 第２制御プログラムの３ブロック目

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】