特開 2024-177943 車載電子制御装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024177943

(43)【公開日】2024-12-24

(54)【発明の名称】車載電子制御装置

(51)【国際特許分類】

   H04L 9/10 20060101AFI20241217BHJP

   H04L 9/08 20060101ALI20241217BHJP

【ＦＩ】

H04L9/10 A

H04L9/08 F

【審査請求】未請求

【請求項の数】13

【出願形態】ＯＬ

(21)【出願番号】P 2023096367

(22)【出願日】2023-06-12

(71)【出願人】

【識別番号】509186579

【氏名又は名称】日立Ａｓｔｅｍｏ株式会社

(74)【代理人】

【識別番号】110001678

【氏名又は名称】藤央弁理士法人

(72)【発明者】

【氏名】山口 宗一郎

(57)【要約】

【課題】複数のマイクロコンピュータを含むＥＣＵにおいて、外部通信機能を持たないマイクロコンピュータを内部に有する場合でも、電子鍵を利用するすべてのマイクロコンピュータへ同一の電子鍵を書き込む。
【解決手段】第１のマイクロコンピュータと第２のマイクロコンピュータを有する車載電子制御装置であって、第１のマイクロコンピュータは、第１のプロセッサと、第１の記憶部と、第１の通信部と、第１の不揮発性記憶部を含む第１のＨＳＭと、第１のマイクロコンピュータ間通信部と、を有し、第２のマイクロコンピュータは、第２のプロセッサと、第２の記憶部と、第２のマイクロコンピュータ間通信部と、第２の不揮発性記憶部を含む第２のＨＳＭと、を有し、第１のプロセッサは、受信した電子鍵を第１のＨＳＭに書き込ませ、第１のプロセッサは、第２のマイクロコンピュータに転送して第２の不揮発性記憶部に書き込ませる。
【選択図】図１

【特許請求の範囲】

【請求項1】

第１のマイクロコンピュータと第２のマイクロコンピュータを有する車載電子制御装置であって、
前記第１のマイクロコンピュータで演算処理を行う第１のプロセッサと、
前記第１のプロセッサに接続されて情報を記憶する第１の記憶部と、
前記第１のプロセッサに接続されて外部と通信を行って電子鍵を受信する第１の通信部と、
前記第１のプロセッサに接続されて前記電子鍵を保持する第１の不揮発性記憶部を含んで暗号処理を行う第１のハードウェアセキュリティモジュールと、
前記第１のプロセッサに接続されて前記第２のマイクロコンピュータと通信を行う第１のマイクロコンピュータ間通信部と、
前記第２のマイクロコンピュータで演算処理を行う第２のプロセッサと、
前記第２のプロセッサに接続されて情報を記憶する第２の記憶部と、
前記第２のプロセッサに接続されて前記第１のマイクロコンピュータと通信を行う第２のマイクロコンピュータ間通信部と、
前記第２のプロセッサに接続されて前記電子鍵を保持する第２の不揮発性記憶部を含んで暗号処理を行う第２のハードウェアセキュリティモジュールと、を有し、
前記第１のプロセッサは、前記第１の通信部が受信した前記電子鍵を前記第１のハードウェアセキュリティモジュールに受け渡して前記第１の不揮発性記憶部に書き込ませ、
前記第１のプロセッサは、前記電子鍵を第１のマイクロコンピュータ間通信部を介して前記第２のマイクロコンピュータに転送し、前記電子鍵の第１の書き込み結果を前記第１のハードウェアセキュリティモジュールから取得し、
前記第２のプロセッサは、前記第２のマイクロコンピュータ間通信部を介して受信した前記電子鍵を、前記第２のハードウェアセキュリティモジュールに受け渡して前記第２の不揮発性記憶部に書き込ませ、前記電子鍵の第２の書き込み結果を前記第２のハードウェアセキュリティモジュールから取得して前記第２のマイクロコンピュータ間通信部を介して前記第１のマイクロコンピュータへ送信し、
前記第１のプロセッサは、前記第１の書き込み結果と前記第２の書き込み結果から電子鍵の書き込み結果を統合して外部へ送信することを特徴とする車載電子制御装置。

【請求項2】

請求項１に記載の車載電子制御装置であって、
前記第２のマイクロコンピュータは、
前記第２のマイクロコンピュータ間通信部を介して前記第１のマイクロコンピュータから受信した電子鍵を前記第２のハードウェアセキュリティモジュールに書き込ませることを特徴とする車載電子制御装置。

【請求項3】

請求項１に記載の車載電子制御装置であって、
前記第２のマイクロコンピュータは、前記第２のプロセッサに接続されて外部からの情報を受信する第２の通信部をさらに有し、
前記電子鍵は、所定の通信プロトコルで前記第１のマイクロコンピュータと前記第２のマイクロコンピュータへ伝達され、
前記第２のマイクロコンピュータは、
前記第２の通信部で受信した前記電子鍵を破棄することを特徴とする車載電子制御装置。

【請求項4】

請求項１に記載の車載電子制御装置であって、
前記第１のプロセッサは、
前記第１の書き込み結果と前記第２の書き込み結果が一致していること検証し、検証結果に応じて電子鍵の書き込み結果の成否を示す情報を外部へ送信することを特徴とする車載電子制御装置。

【請求項5】

請求項４に記載の車載電子制御装置であって、
前記電子鍵の書き込み結果の成否を示す情報は、
前記第１のマイクロコンピュータと前記第２のマイクロコンピュータの両方で書き込みが成功した場合には成功と判定し、いずれかが書き込みに失敗した場合には失敗と判定することを特徴とする車載電子制御装置。

【請求項6】

請求項１に記載の車載電子制御装置であって、
前記第２のマイクロコンピュータは、
前記第１のマイクロコンピュータから電子鍵を受信することをもって、前記電子鍵の書き込み許可とみなすことを特徴とする車載電子制御装置。

【請求項7】

請求項１に記載の車載電子制御装置であって、
前記第１のマイクロコンピュータは、
前記第２のマイクロコンピュータからの電子鍵の書き込み結果が、所定時間返信されない場合には前記第２のマイクロコンピュータでの電子鍵の書き込みが失敗したとみなすことを特徴とする車載電子制御装置。

【請求項8】

請求項１に記載の車載電子制御装置であって、
前記第１のマイクロコンピュータは、
前記第２のマイクロコンピュータとの間のマイクロコンピュータ間通信で前記電子鍵のチェックサム演算処理の結果を受信して通信が正常に行われたか否かの判定を行うことを特徴とする車載電子制御装置。

【請求項9】

請求項１に記載の車載電子制御装置であって、
前記第１のマイクロコンピュータは、
前記第２のマイクロコンピュータとのマイクロコンピュータ間通信で異常が発生した場合、マイクロコンピュータ間通信の異常の履歴を前記第１の記憶部へ保存することを特徴とする車載電子制御装置。

【請求項10】

請求項１に記載の車載電子制御装置であって、
前記第１のマイクロコンピュータは、
前記第２のマイクロコンピュータとの間のマイクロコンピュータ間通信に失敗した場合には、所定回数までマイクロコンピュータ間通信を再実行することを特徴とする車載電子制御装置。

【請求項11】

請求項１に記載の車載電子制御装置であって、
前記第１のマイクロコンピュータは、
前記第１のマイクロコンピュータと前記第２のマイクロコンピュータが電子鍵の書き込み処理中であることを示す信号を、所定の周期で外部へ送信することを特徴とする車載電子制御装置。

【請求項12】

請求項１に記載の車載電子制御装置であって、
前記第２のマイクロコンピュータを複数有し、
前記第１のマイクロコンピュータは、
複数の前記第２のマイクロコンピュータに電子鍵を転送することを特徴とする車載電子制御装置。

【請求項13】

請求項１に記載の車載電子制御装置であって、
前記電子鍵は、共通鍵暗号方式または非対称鍵暗号方式に対応することを特徴とする車載電子制御装置。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、車載電子制御装置の電子鍵の書き込みに関する。

【背景技術】

【0002】

ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）などの車載電子制御装置は、マイクロコンピュータ（以下、マイコン）により制御されている。そのマイコンには様々な機能が割り当てられており、さらに各機能に対応した外部回路が設けられており、不揮発性メモリであるフラッシュＲＯＭに記憶されている制御用ソフトウェアによって対象の装置の制御を行う。自動車においては、例えば、エンジンの燃料噴射や点火を制御する。

【0003】

機能安全要求で定めるセーフティゴールによっては、システムの構成に高い冗長性が要求される場合があり、１つのＥＣＵの内部に複数のマイコンを搭載し、制御することで、冗長性を確保する方式がある。システムの例としては、例えば電動パワーステアリング制御ＥＣＵなどがある。

【0004】

サイバーセキュリティの観点においては、近年、コネクテッドの世代の車載ＥＣＵにおいて、車外からのセキュリティ脅威が増加傾向にあり、サイバーセキュリティに関する自動車規格が策定されている。国連の下部組織であるＷＰ．２９というフォーラムでは、２０１９年頃からセキュリティ法規発行に向けた議論が開始され、２０２０年６月に合意、２０２０年１２月には発行へ至っている。

【0005】

ＷＰ．２９では、例えば車載ＥＣＵ間通信のメッセージ認証や、ソフトウェア更新における機器の認証、デジタル署名の検証、ソフトウェアの暗号化、システム起動時のセキュアブートの検証などが求められている。

【0006】

サイバーセキュリティ機能の要素技術である暗号技術においては、電子鍵(暗号鍵)の情報が重要であり、この電子鍵とデータを暗号アルゴリズムへの入力として、暗号演算を行う。使用する暗号方式の候補としては、「共通鍵暗号(対称暗号)」と「公開鍵暗号(非対称暗号)」がある。

【0007】

電子鍵のうち、特に共通鍵暗号においては、送信者と受信者の間で共通の鍵を用いるため、仮に第三者に共通鍵が漏れてしまうと、暗号文から平文を復号することができてしまい、その内容を知られてしまうことになる。言い換えると，共通鍵は秘密にしたい平文と同等の価値を持つため、車載ＥＣＵの内部で安全に管理する必要がある。

【0008】

公開鍵暗号に用いる電子鍵においては、電子鍵送信部などのデータ転送元クライアント側では秘密鍵を保持し、サーバ側となる車載ＥＣＵには公開鍵を保持する。公開鍵暗号方式の特性として、秘密鍵は共通鍵と同様に安全に管理する必要があるが、公開鍵はその限りではない。しかし、車載ＥＣＵ内部の公開鍵が第三者に書き換えられることを防ぐ目的で、公開鍵においても共通鍵と同等の管理を行う場合がある。

【0009】

マイコンにはＨＳＭ（Ｈａｒｄｗａｒｅ Ｓｅｃｕｒｉｔｙ Ｍｏｄｕｌｅ）が搭載されており、その内部でＥＣＵの電子鍵の安全な管理を行うことができる（例えば特許文献１）。登録する鍵のスロットには、電子鍵の種別に応じた割り当てを行い、予め定義したスロットへ電子鍵の初回書き込み及び更新を行う。

【0010】

書き込み方法としては、ＯＢＤ（Ｏｎ－ｂｏａｒｄ Ｄｉａｇｎｏｓｔｉｃ）コネクタを介して有線で電子鍵送信部をＥＣＵへ接続し、ＣＡＮ（Ｃａｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）、Ｅｔｈｅｒｎｅｔ、ＬＩＮ（Ｌｏｃａｌ Ｉｎｔｅｒｃｏｎｎｅｃｔ Ｎｅｔｗｏｒｋ）、ＦｌｅｘＲａｙなどの所定の通信プロトコルによって電子鍵が書き換え対象のＥＣＵへ送信される。ＥＣＵは、電子鍵の書き込み完了後、書き込み結果の信号を電子鍵送信部へ応答する必要がある。

【0011】

また、マイコンが外部から電子鍵を取得した後、ＨＳＭへ電子鍵書き込み処理を実行するまでは電子鍵を保持しておく必要があるが、セキュリティ要件で保持時間に制約がある場合があり、その場合には制約を考慮してシステム構成を検討する必要がある。

【先行技術文献】

【特許文献】

【0012】

【特許文献1】特開２０２２－１０７２８８号公報

【発明の概要】

【発明が解決しようとする課題】

【0013】

１つのＥＣＵ内部に複数のマイコンを搭載する場合、同じ電子鍵であっても、それぞれのマイコンに対して電子鍵送信部から個別に電子鍵を送信し、データを受け取ったマイコンは電子鍵をＨＳＭへ書き込み、書き込み結果成否を個別に応答すればよい。

【0014】

しかしながら、冗長系システムの構成によっては、外部通信機能を持たないマイコンがＥＣＵ内部に存在する場合があり、外部通信機能を持たないマイコンでも電子鍵を利用する場合、従来の技術ではすべてのマイコンへ同一の電子鍵送信及び書き込み結果の応答ができないという問題があった。

【0015】

外部通信機能を持たないマイコンにおいて、ＣＡＮなどの信号の送受信ともにできない場合と、外部からの受信はできるが送信はできない場合がある。したがって、直接電子鍵送信部と通信を行わない方式で、同一の電子鍵送信及び書き込み結果応答を行う必要がある。

【0016】

本発明は、上記課題を解決するためになされたものであり、複数のマイコンを含むＥＣＵシステムにおいて、外部通信機能を持たないマイコンを内部に有する場合であっても、電子鍵を利用するすべてのマイコンへ同一の電子鍵を書き込むことのできる車載電子制御装置を提供することを目的とする。

【課題を解決するための手段】

【0017】

本発明は、第１のマイクロコンピュータと第２のマイクロコンピュータを有する車載電子制御装置であって、前記第１のマイクロコンピュータで演算処理を行う第１のプロセッサと、前記第１のプロセッサに接続されて情報を記憶する第１の記憶部と、前記第１のプロセッサに接続されて外部と通信を行って電子鍵を受信する第１の通信部と、前記第１のプロセッサに接続されて前記電子鍵を保持する第１の不揮発性記憶部を含んで暗号処理を行う第１のハードウェアセキュリティモジュールと、前記第１のプロセッサに接続されて前記第２のマイクロコンピュータと通信を行う第１のマイクロコンピュータ間通信部と、前記第２のマイクロコンピュータで演算処理を行う第２のプロセッサと、前記第２のプロセッサに接続されて情報を記憶する第２の記憶部と、前記第２のプロセッサに接続されて前記第１のマイクロコンピュータと通信を行う第２のマイクロコンピュータ間通信部と、前記第２のプロセッサに接続されて前記電子鍵を保持する第２の不揮発性記憶部を含んで暗号処理を行う第２のハードウェアセキュリティモジュールと、を有し、前記第１のプロセッサは、前記第１の通信部が受信した前記電子鍵を前記第１のハードウェアセキュリティモジュールに受け渡して前記第１の不揮発性記憶部に書き込ませ、前記第１のプロセッサは、前記電子鍵を第１のマイクロコンピュータ間通信部を介して前記第２のマイクロコンピュータに転送し、前記電子鍵の第１の書き込み結果を前記第１のハードウェアセキュリティモジュールから取得し、前記第２のプロセッサは、前記第２のマイクロコンピュータ間通信部を介して受信した前記電子鍵を、前記第２のハードウェアセキュリティモジュールに受け渡して前記第２の不揮発性記憶部に書き込ませ、前記電子鍵の第２の書き込み結果を前記第２のハードウェアセキュリティモジュールから取得して前記第２のマイクロコンピュータ間通信部を介して前記第１のマイクロコンピュータへ送信し、前記第１のプロセッサは、前記第１の書き込み結果と前記第２の書き込み結果から電子鍵の書き込み結果を統合して外部へ送信する。

【発明の効果】

【0018】

本発明に係る車載電子制御装置は、外部通信機能を持たないマイクロコンピュータを内部に有する場合であっても、電子鍵送信部からの一度の電子鍵を含む信号の受信によって、同一の電子鍵を、電子鍵を利用するすべてのマイクロコンピュータへ書き込み、書き込み結果を電子鍵送信元へ一度の信号送信により通知することができる。

【0019】

電子鍵の書き込みにおいて、第１のマイクロコンピュータに対してのみ電子鍵の書き込みの信号送信を行えばよいため、それぞれのマイクロコンピュータへ個別に指示をする必要がなく、書き込み作業者は複数のマイクロコンピュータを有する車載電子制御装置（ＥＣＵ）であっても、書き込み成否を一度に取得することができ、外部から見ると１つのＥＣＵであることにより、通信設計やマイクロコンピュータの構成の自由度も向上する。

【0020】

第２のマイコンはマイコン間通信で第１のマイクロコンピュータから電子鍵の情報を取得することで書き込みを開始するため、電子鍵だけを取得し、書き込み処理ができない時間が長時間経過するという問題がなく、電子鍵を保持する時間制約に関するセキュリティ条件を満足することができる。

【0021】

本明細書において開示される主題の、少なくとも一つの実施の詳細は、添付されている図面と以下の記述の中で述べられる。開示される主題のその他の特徴、態様、効果は、以下の開示、図面、請求項により明らかにされる。

【図面の簡単な説明】

【0022】

【図1】本発明の実施例１に係るマイコンを２つ搭載したＥＣＵのうち、第１マイコン通信部と電子鍵送信部が接続された場合のシステム構成を示す図である。

【図2】本発明の実施例１に係る電子鍵の書き込み処理を示すフローチャートである。

【図3】本発明の実施例１に係る第１マイコンの電子鍵の書き込み処理開始から完了までを詳述したフローチャートである。

【図4】本発明の実施例１に係る第１マイコンから第２マイコンへのマイコン間通信を使用した電子鍵転送処理開始から完了までを詳述したフローチャートである。

【図5】本発明の実施例１に係る第１マイコンの第２マイコンからの応答待機開始から完了までを詳述したフローチャートである。

【図6】本発明の実施例１に係る第２マイコンの電子鍵の書き込み処理開始から完了までを詳述したフローチャートである。

【図7】本発明の実施例１に係る第２マイコンから第１マイコンへのマイコン間通信を使用した電子鍵の書き込み結果転送処理の開始から完了までを詳述したフローチャートである。

【図8】本発明の実施例２に係るマイコンを２つ搭載したＥＣＵのうち、第１マイコン通信部及び第２マイコン通信部と電子鍵送信部が接続された場合のシステム構成を示す図である。

【図9】本発明の実施例３に係るマイコンを２つ搭載したＥＣＵと電子鍵送信部の間にデータ中継ＥＣＵが接続され、第１マイコン通信部と電子鍵送信部が接続された場合のシステム構成を示す図である。

【図10】本発明の実施例４に係るマイコンを２つ搭載したＥＣＵと電子鍵送信部の間にデータ中継ＥＣＵが接続され、第１マイコン通信部及び第２マイコン通信部と電子鍵送信部が接続された場合のシステム構成を示す図である。

【発明を実施するための形態】

【0023】

以下、添付された図面を参照し、本発明を実施するための実施形態について詳述する。

【実施例0024】

図１は、本発明の実施例１に係るＥＣＵ（自動車用電子制御装置または車載電子制御装置）１の内部構成について示す図である。ＥＣＵ１は第１マイコン２（マイクロコンピュータ）と第２マイコン２′を含む。第１マイコン２と第２マイコン２′は、ソフトウェアの演算処理を実施する少なくとも１つのホスト側ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）３、３′と少なくとも１つのセキュアＣＰＵ８と８′を含む。

【0025】

ホスト側ＣＰＵ３、３′とは、例えば公知または周知のアプリケーションプログラム（ホスト用プログラム）を実行するＣＰＵである。セキュアＣＰＵ８、８′（セキュリティ専用ＣＰＵであってもよい）は、例えばセキュリティプログラムを実行して、鍵（電子鍵）を利用したセキュリティ用の演算を行うＣＰＵである。これらのＣＰＵが各プログラムを実行することにより、第１マイコン２と第２マイコン２′は本明細書に記載される機能を実現する。

【0026】

第１マイコン２と第２マイコン２′は、記憶部として、ホスト側記憶領域及びセキュア記憶領域を含む。ホスト側記憶領域は、少なくとも１つの各ホスト側ＣＰＵ３、３′専用のローカルＲＡＭ４、４′（ホスト側揮発性メモリ）を含む。

【0027】

セキュア記憶領域は、セキュアＣＰＵ８、８′専用のローカルＲＡＭ９、９′（セキュア揮発性メモリ）を含む。これらのＲＡＭは、対応するＣＰＵからしかアクセスできないように構成されている。

【0028】

ホスト側記憶領域は、ホスト側ＣＰＵ３、３′が実行するプログラム（ホスト用プログラム）と、ホスト用プログラムで使用するデータを格納する第１マイコンホスト側不揮発性メモリ７と７′、ホスト側ＣＰＵ３、３′及びセキュアＣＰＵ８、８′からそれぞれアクセスが可能な共有ＲＡＭ５、５′（ホスト側揮発性メモリ）を含む。

【0029】

セキュア記憶領域は、セキュアＣＰＵ８、８′が実行するプログラム（セキュアプログラム、ＨＳＭ（Ｈａｒｄｗａｒｅ Ｓｅｃｕｒｉｔｙ Ｍｏｄｕｌｅ）ファームウェア）と、セキュアプログラムで使用するデータを格納するセキュア不揮発性メモリ１０、１０′を含む。セキュア不揮発性メモリ１０、１０′には、セキュアプログラムで使用する電子鍵を格納することができる。

【0030】

ホスト側ＣＰＵは、データバス兼ペリフェラルバス１２、１２′と接続されている。また、これらのバスとは切り離された形で、セキュアＣＰＵ８、８’のみが接続されるセキュアコア（ＨＳＭ）専用のデータバス及びペリフェラルバス１３、１３′が設けられる。

【0031】

セキュア不揮発性メモリ１０、１０′には、セキュアＣＰＵ８、８′以外のコア（ホスト側ＣＰＵ３、３′）からはアクセスができない構成となっている。すなわち、セキュアＣＰＵ８、８′は、セキュア記憶領域にアクセス可能であるが、ホスト側ＣＰＵ３、３′は、セキュア記憶領域にアクセス可能ではない。

【0032】

セキュアＣＰＵとセキュア記憶領域を有する装置をＨＳＭ２０、２０’と呼び、セキュア不揮発性メモリ内で電子鍵を安全に管理し、電子鍵を用いて暗号演算を行うことができる。なお、ＨＳＭ２０、２０’は第１マイコン２及び第２マイコン２’の内部に配置される例を示すが、これに限定されるものではなく、第１マイコン２及び第２マイコン２’の外部に配置されて第１マイコン２及び第２マイコン２’のデータバス兼ペリフェラルバス１２、１２’に接続されていればよい。

【0033】

第１マイコン２、第２マイコン２′は、少なくとも１つの通信部６、６′を搭載している。この通信部６は、ＥＣＵ１の外部にある、電子鍵送信部１４へと接続され、電子鍵の書き込み時においては前記電子鍵送信部１４との通信を行う。なお、第２マイコン２’の通信部６′は外部と接続されない。

【0034】

図２は、電子鍵の書き込み処理の一例を示すフローチャートである。電子鍵の書き込み処理において、ステップＳ１で電子鍵送信部（診断機）１４より電子鍵の書き込み命令が送信されて、前記電子鍵の書き込み対象ＥＣＵが受信すると処理がスタートし、ステップＳ２へ移行する。

【0035】

ステップＳ２において、第１マイコン２は、電子鍵の書き込みデータを含む命令のうち、ＣＡＮなどの通信プロトコルで定められるメッセージ識別子がそれぞれの受信許可対象となっているかを判定する。第２マイコン２’も外部受信可能である場合には、同様の判定を実施してもよい。受信許可の場合には、ステップＳ４へ移行し、受信不許可の場合にはステップＳ３へ移行する。

【0036】

ステップＳ３において、受信不許可の判定後であるため、第１マイコン２及び第２マイコン２’は受信した電子鍵の書き込みデータを破棄し、ステップＳ１４へ移行する。

【0037】

ステップＳ４において、受信許可の判定後であるため、第１マイコン２は電子鍵の書き込み処理を開始し、書き込み完了後にステップＳ５へ移行する。

【0038】

ステップＳ５において、第１マイコン２はステップＳ４の書き込みが正常に完了したか否かを判定する。書き込みが正常に完了した場合、ステップＳ６へ移行する。書き込みが失敗した場合には、ステップＳ１３へ移行する。

【0039】

ステップＳ６において、第１マイコン２での電子鍵の書き込みが正常に完了した後のため、第２マイコン２’への電子鍵を書き込みへ移行するべく、マイコン間通信を使用して、第１マイコン２が第２マイコン２’への電子鍵の転送を開始する。

【0040】

ステップＳ７において、第１マイコン２は第２マイコン２’への電子鍵の転送が正常に完了したか否かを判定する。転送処理が正常に完了した場合、ステップＳ８へ移行する。転送処理が失敗もしくは異常終了した場合には、ステップＳ１３へ移行する。

【0041】

ステップＳ８において、第１マイコン２から第２マイコン２’へ電子鍵の転送が正常に完了後のため、第１マイコン２は第２マイコン２’からの応答待機を開始する。

【0042】

ステップＳ９において、マイコン間通信を経由して、第２マイコン２’が第１マイコン２から電子鍵を受信すると、第２マイコン２’は電子鍵の書き込み処理を開始し、書き込み完了後にステップＳ１０へ移行する。

【0043】

ステップＳ１０において、第２マイコン２’はマイコン間通信を使用して電子鍵の書き込み処理の結果成否を第１マイコン２へ転送開始し、ステップＳ１１へ移行する。

【0044】

ステップＳ１１において、第１マイコン２はマイコン間通信を経由して第２マイコン２’の書き込み結果成否を受信し、第２マイコン２’での書き込み成功の場合にはステップＳ１２へ移行する。

【0045】

第２マイコン２’での書き込みが失敗した場合には、ステップＳ１３へ移行する。また、ステップＳ８にて開始した応答待機処理について、所定期間内に第１マイコン２が第２マイコン２’からの書き込み結果成否を受信できなかった場合には、第２マイコン２’での書き込み失敗またはマイコン間の通信異常とみなし、ステップＳ１３へ移行する。

【0046】

ステップＳ１２において、第１マイコン２は第１マイコン２及び第２マイコン２’の書き込み結果情報が一致しており、成功であることを検証した上で、第１マイコン２及び第２マイコン２’への電子鍵の書き込みが成功である肯定応答を示す信号を診断機へ送信し、ステップＳ１４へ移行する。

【0047】

ステップＳ１３において、第１マイコン２は電子鍵の書き込み対象ＥＣＵ内の第１マイコン２または第２マイコン２’への電子鍵の書き込み失敗である否定応答を示す信号を診断機へ送信し、ステップＳ１４へ移行する。

【0048】

ステップＳ１４において、電子鍵の書き込み処理を終了する。このとき、書き込み作業者は、第１マイコン２と、第２マイコン２’の書き込みの成否を一度に取得することができる。

【0049】

図３は、図２におけるステップＳ４の第１マイコン２での電子鍵の書き込み処理開始から完了までを詳述したフローチャートである。

【0050】

ステップＳ１００において、第１マイコンホスト側ＣＰＵ３が電子鍵の書き込み処理を開始し、ステップＳ１０１へ移行する。このとき、電子鍵はホスト側ローカルＲＡＭ４で保持される。

【0051】

ステップＳ１０１において、第１マイコンホスト側ＣＰＵ３は受信した電子鍵の構造が予め定義された通りであるかを判定し、判定結果が正常であればステップＳ１０２へ移行する。判定結果が異常であれば、ステップＳ１０７へ移行する。このとき、第１マイコンホスト側ＣＰＵ３が判定する条件は、例えば、受信データ長が定義通りであるか、電子鍵の書き込みの命令識別子が定義通りであるか、などがある。

【0052】

ステップＳ１０２において、第１マイコンホスト側ＣＰＵ３は電子鍵の書き込み対象となるセキュアＣＰＵ８へ書き込み命令を実行可能であるかを判定し、判定結果が正常であればステップＳ１０３へ移行する。判定結果が異常であれば、ステップＳ１０７へ移行する。このとき第１マイコンホスト側ＣＰＵ３が判定する条件は、例えば、セキュアＣＰＵ８は有効であるか、セキュアＣＰＵ８が現在別の処理を実行中ではなく新たに命令を受領可能であるか、セキュアＣＰＵ８が故障情報を残していないか、などがある。

【0053】

ステップＳ１０３において、第１マイコンホスト側ＣＰＵ３は共有ＲＡＭ５を介してセキュアＣＰＵ８へ電子鍵の書き込み命令を実行する。セキュアＣＰＵ８は、共有ＲＡＭ５から電子鍵及び書き込み命令を受領し、セキュア不揮発性メモリ１０に対して電子鍵の書き込み処理を実行し、共有ＲＡＭ５を介して書き込み結果成否を示す情報を第１マイコンホスト側ＣＰＵ３へ返答する。その後、ステップＳ１０４へ移行する。

【0054】

ステップＳ１０４において、第１マイコンホスト側ＣＰＵ３はセキュアＣＰＵ８へ電子鍵の書き込み命令を実行した後に、診断機に対して現在電子鍵の書き込み中であることを示す信号の送信を開始し、ステップＳ１０５へ移行する。

【0055】

この信号は第１マイコン２及び第２マイコン２’での書き込みが完了するまでは定期的（所定の周期）に送信され、第１マイコン２が定期送信停止をするまで継続的に送信される。これにより、診断機が書き込み命令の送信後からの時間経過によって書き込み失敗と判断することを防止できる。

【0056】

ステップＳ１０５において、第１マイコンホスト側ＣＰＵ３は、ステップＳ１０３の処理が完了したときにセキュアＣＰＵ８から共有ＲＡＭ５を介して第１マイコンホスト側ＣＰＵ３へ返答された書き込み結果成否を示す情報を基に、電子鍵の書き込みが成功したか否かを判定する。成功であった場合には、ステップＳ１０６へ移行する。失敗であった場合には、ステップＳ１０７へ移行する。

【0057】

ステップＳ１０６において、第１マイコンホスト側ＣＰＵ３は自身のプログラムによって第１マイコン２における電子鍵の書き込みが正常に完了したことを示す情報を保持し、ステップＳ１０８へ移行する。

【0058】

ステップＳ１０７において、第１マイコンホスト側ＣＰＵ３は自身のプログラムによって第１マイコンにおける電子鍵の書き込み異常完了情報を保持し、ステップＳ１０８へ移行する。

【0059】

ステップＳ１０８において、第１マイコン２は電子鍵の書き込み処理を終了する。

【0060】

図４は、図２におけるステップＳ６の第１マイコン２から第２マイコン２’への電子鍵の転送の処理開始から完了までを詳述したフローチャートである。

【0061】

ステップＳ２００において、第１マイコン２は、マイコン間通信を使用して、第２マイコン２’へ診断機から受信した電子鍵の転送処理を開始し、ステップＳ２０１へ移行する。

【0062】

ステップＳ２０１において、第１マイコン２は、マイコン間通信の状態を監視し、第２マイコン２’への電子鍵の転送が完了したかを判定する。完了の場合には、マイコン間通信の状態監視を終了し、ステップＳ２０３へ移行する。未完了の場合には、マイコン間通信の状態監視を継続する。

【0063】

ステップＳ２０３において、第１マイコン２は第２マイコン２’への電子鍵の転送処理の成否を判定する。成功であった場合には、ステップＳ２０６へ移行する。失敗であった場合には、ステップＳ２０４へ移行する。

【0064】

ステップＳ２０４において、第１マイコン２は第２マイコン２’への電子鍵の転送処理の失敗回数が、所定回数より大きいか否かを判定する。所定回数より多かった場合には、ステップＳ２０５へ移行する。所定回数以下であった場合には、ステップＳ２０２へ移行する。

【0065】

ステップＳ２０２において、第１マイコン２は、第２マイコン２’への電子鍵の転送処理のリトライ処理を実施する。暫定的なマイコン間通信異常が発生した場合、本ステップ及びステップＳ２０２により正常復帰する可能性があるため、第１マイコン２は所定回数リトライ処理を実行する。

【0066】

ステップＳ２０５において、第１マイコン２は、第２マイコン２’とのマイコン間通信に異常があることを示す故障履歴を第１マイコンホスト側の不揮発性メモリ７へ保存し、ステップＳ２０７へ移行する。このとき、第１マイコン２は、マイコン間通信の異常と共に、第２マイコン２’への電子鍵の書き込み処理が失敗であることを判断できる。

【0067】

ステップＳ２０６において、第１マイコンホスト側ＣＰＵ３は自身のプログラムによって第１マイコン２から第２マイコン２’への電子鍵の転送処理が正常に完了したことを示す情報を保持し、ステップＳ２０８へ移行する。

【0068】

ステップＳ２０７において、第１マイコンホスト側ＣＰＵ３は自身のプログラムによって第１マイコン２から第２マイコン２’への電子鍵の転送処理に異常が生じたことを示す完了情報を保持し、ステップＳ２０８へ移行する。

【0069】

ステップＳ２０８において、第１マイコン２は、マイコン間通信を使用した第２マイコン２’への電子鍵の転送処理を終了する。

【0070】

図５は、図２におけるステップＳ８の第１マイコン２における第２マイコン２’からの電子鍵の書き込み結果応答待機処理の開始から完了までを詳述したフローチャートである。

【0071】

ステップＳ３００において、第１マイコン２は、マイコン間通信の受信状態の監視による第２マイコン２’からの電子鍵の書き込み完了応答待機処理を開始し、ステップＳ３０１に移行する。

【0072】

ステップＳ３０１において、第１マイコン２はマイコン間通信を監視することで、第２マイコン２’からの書き込み結果データの受信が開始したかを判定する。受信開始の場合、ステップＳ３０３へ移行する。未受信の場合、ステップＳ３０２へ移行する。

【0073】

ステップＳ３０２において、第１マイコン２は、第２マイコン２’への電子鍵の転送完了を第２マイコン２’における電子鍵の書き込み開始とし、経過時間が所定時間より大きいかを判定する。

【0074】

第１マイコン２は、所定時間を超過した場合、ステップＳ３０４へ移行する。経過時間が所定期間以内である場合、ステップＳ３０１における判定処理を継続する。本ステップにより、第２マイコン２’の異常で書き込み失敗の回答ができない場合において、書き込み作業者が長時間、待たされることを防止できる。

【0075】

ステップＳ３０３において、第１マイコン２は、マイコン間通信により受信した第２マイコン２’からの電子鍵の書き込み結果転送データを正しく受信できたかを検出するために、チェックサムの演算結果が正常であるかを判定する。第１マイコン２は、チェックサムの演算結果が正常であった場合には、ステップＳ３０５へ移行する。異常であった場合には、ステップＳ３０４へ移行する。

【0076】

ステップＳ３０４において、第１マイコン２は、第２マイコン２’とのマイコン間通信に異常があることを示す故障履歴を第１マイコンホスト側不揮発性メモリ７へ保存し、ステップＳ３０６へ移行する。このとき、第１マイコン２は、マイコン間通信の異常と共に、第２マイコン２’への電子鍵の書き込み処理が失敗であることを判断できる。

【0077】

ステップＳ３０５において、第１マイコンホスト側ＣＰＵ３は自身のプログラムによって第２マイコン２’から第１マイコン２への電子鍵の書き込み結果のデータ転送処理が正常に完了したことを示す情報を保持し、ステップＳ３０８へ移行する。

【0078】

ステップＳ３０６において、第１マイコンホスト側ＣＰＵ３は自身のプログラムによって第２マイコン２’から第１マイコン２への電子鍵の書き込み結果のデータ転送処理に異常が発生したことを示す完了情報を保持し、ステップＳ３０７へ移行する。

【0079】

ステップＳ３０７において、第１マイコン２は図３のステップＳ１０４にて開始した、診断機への電子鍵の書き込み中であることを示す信号の送信を停止し、ステップＳ３０８へ移行する。

【0080】

ステップＳ３０８において、第１マイコン２は第２マイコン２’からの電子鍵の書き込み結果の応答待機処理を終了する。

【0081】

図６は、図２におけるステップＳ９の第２マイコン２’での電子鍵の書き込み処理の開始から完了までを詳述したフローチャートである。

【0082】

ステップＳ４００において、第２マイコン２’は、第１マイコン２から電子鍵を受信することをもって、第２マイコン２’の電子鍵の書き込み許可とみなし、第２マイコンホスト側ＣＰＵ３′が電子鍵の書き込み処理を開始し、ステップＳ４０１へ移行する。このとき、電子鍵はホスト側ローカルＲＡＭ４′で保持される。本ステップにより、第２マイコン２’は、第１マイコン２から特別に書き込み許可信号を送受信することなく、書き込み処理を開始することができる。

【0083】

ステップＳ４０１において、第２マイコンホスト側ＣＰＵ３′は受信した電子鍵の構造が予め定義された通りであるかを判定し、判定結果が正常であればステップＳ４０２へ移行する。判定結果が異常であれば、ステップＳ４０６へ移行する。このとき第２マイコンホスト側ＣＰＵ３′が判定する条件は、例えば、受信データ長が定義通りであるか、電子鍵の書き込みの命令識別子が定義通りであるか、などがある。

【0084】

ステップＳ４０２において、第２マイコンホスト側ＣＰＵ３′は電子鍵の書き込み対象となるセキュアＣＰＵ８′へ書き込み命令を実行可能であるかを判定し、判定結果が正常であればステップＳ４０３へ移行する。判定結果が異常であれば、ステップＳ４０６へ移行する。このとき第２マイコンホスト側ＣＰＵ３′が判定する条件は、例えば、セキュアＣＰＵ８′は有効であるか、セキュアＣＰＵ８′が現在別の処理を実行中でなく新たに命令を受領可能であるか、セキュアＣＰＵ８′が故障情報を残していないか、などがある。

【0085】

ステップＳ４０３において、第２マイコンホスト側ＣＰＵ３′は共有ＲＡＭ５′を介してセキュアＣＰＵ８′へ電子鍵の書き込み命令を実行する。セキュアＣＰＵ８′は、共有ＲＡＭ５から電子鍵及び書き込み命令を受領し、セキュア不揮発性メモリ１０′に対して電子鍵の書き込み処理を実行し、共有ＲＡＭ５′を介して書き込み結果の成否を示す情報を第２マイコンホスト側ＣＰＵ３′へ返答する。その後、ステップＳ４０４へ移行する。

【0086】

ステップＳ４０４において、第２マイコンホスト側ＣＰＵ３′は、ステップＳ４０３の完了時にセキュアＣＰＵ８′から共有ＲＡＭ５′を介して第２マイコンホスト側ＣＰＵ３′へ返答された書き込み結果の成否を示す情報を基に、電子鍵の書き込みが成功したか否かを判定する。成功であった場合には、ステップＳ４０５へ移行する。失敗であった場合には、ステップＳ４０６へ移行する。

【0087】

ステップＳ４０５において、第２マイコンホスト側ＣＰＵ３′は自身のプログラムによって第２マイコン２’における電子鍵の書き込みが正常に完了したことを示す情報を保持し、ステップＳ４０７へ移行する。

【0088】

ステップＳ４０６において、第２マイコンホスト側ＣＰＵ３′は自身のプログラムによって第２マイコン２’における電子鍵の書き込みに異常が発生したことを示す完了情報を保持し、ステップＳ４０７へ移行する。

【0089】

ステップＳ４０７において、第２マイコン２’は電子鍵の書き込み処理を終了する。

【0090】

図７は、図２におけるステップＳ１０の第２マイコン２’から第１マイコン２への電子鍵の書き込み結果データの転送処理の開始から完了までを詳述したフローチャートである。

【0091】

ステップＳ５００において、第２マイコン２’は、マイコン間通信を使用して、第１マイコン２への電子鍵の書き込み結果データの転送処理を開始し、ステップＳ５０１へ移行する。

【0092】

ステップＳ５０１において、第２マイコン２’は、マイコン間通信の状態を監視し、第１マイコン２への電子鍵の書き込み結果データの転送が完了したかを判定する。完了の場合には、マイコン間通信の状態監視を終了し、ステップＳ５０３へ移行する。未完了の場合には、マイコン間通信の状態監視を継続する。

【0093】

ステップＳ５０３において、第２マイコン２’は、第１マイコン２への電子鍵の書き込み結果データの転送処理の成否を判定する。成功であった場合には、ステップＳ５０５へ移行する。失敗であった場合には、ステップＳ５０４へ移行する。

【0094】

ステップＳ５０４において、第２マイコン２’は第１マイコン２への電子鍵の書き込み結果データの転送処理の失敗回数が、所定回数より大きいか否かを判定する。第２マイコン２’は所定回数より多かった場合には、ステップＳ５０６へ移行する。所定回数以下であった場合には、ステップＳ５０２へ移行する。

【0095】

ステップＳ５０２において、第２マイコン２’は、第１マイコン２への電子鍵の転送処理のリトライ処理を実施する。暫定的なマイコン間通信異常が発生した場合、本ステップ及びステップＳ５０２により正常復帰する可能性があるため、所定回数までリトライ処理を実行する。

【0096】

ステップＳ５０５において、第２マイコンホスト側ＣＰＵ３′は自身のプログラムによって第２マイコン２’から第１マイコン２への電子鍵の書き込み結果データの転送処理が正常に完了したことを示す情報を保持し、ステップＳ５０７へ移行する。

【0097】

ステップＳ５０６において、第２マイコンホスト側ＣＰＵ３′は自身のプログラムによって第２マイコン２’から第１マイコン２への電子鍵の転送処理に異常が発生したことを示す完了情報を保持し、ステップＳ５０７へ移行する。

【0098】

ステップＳ５０７において、第２マイコン２’は、マイコン間通信を使用した第１マイコン２への電子鍵の書き込み結果データの転送処理を終了する。

【0099】

本実施例の構成において、電子鍵の用途としては、例えば、第１マイコン２及び第２マイコン２’それぞれのソフトウェア書き換え時のデジタル署名の検証演算やシステム起動時のセキュアブート演算などがある。

【0100】

このように、外部通信機能を持たない第２マイコン２’がＥＣＵ１内に存在する場合であっても、本発明を適用することによって、第１マイコン２を経由して第２マイコン２’へ電子鍵を書き込み、結果の成否を検出し、電子鍵を暗号演算に使用することが可能である。以上を第１の実施例とする。

【実施例0101】

第１の実施例では、通信部６は、ＥＣＵ１の外部にある、電子鍵送信部１４へと接続され、通信部６′は外部と接続されていなかったが、図８のように、通信部６′も電子鍵送信部１４と接続され、第２マイコン２’は受信のみ可能な構成としてもよい。

【0102】

電子鍵の書き込み時においては、通信部６が前記電子鍵送信部１４との通信を行い、通信部６′で受信する電子鍵は第２マイコン２’内で破棄する。これは、第２マイコン２’内で電子鍵を保持する時間を短縮し、セキュリティ条件（電子鍵の保持時間の制約）を満足するためであり、本発明を適用する構成では、第２マイコン２’では直接外部から電子鍵受信をせず、第１マイコン２からのマイコン間通信で電子鍵が転送されて書き込む。

【0103】

第１マイコン２及び第２マイコン２’への電子鍵の書き込みは、第１の実施例における電子鍵の書き込み方法と同様の方法で実現できる。

【0104】

本実施例のシステム構成において、制御による出力値を第１マイコン２と第２マイコン２’へ特定の比率で割り当て、冗長性を確保することが特徴となる場合がある。例えば、電動パワーステアリングの制御用ＥＣＵでは、ＥＣＵが制御モータへ出力するトルク制御値を第１マイコン２と第２マイコン２’へ５０対５０などの比率で割り当て、片方のマイコンが故障した場合であっても、車両が走行持続可能であることを保証する。

【0105】

このとき、第２マイコン２’の通信部６′が通信部６と同様に外部からの信号受信のみが可能であるが、これは、車両内に搭載される別の車載電子制御装置から車速情報などの信号を受信し、車載電子制御装置におけるリアルタイム制御を実現するためである。車速情報などの信号にはメッセージ認証子などが付与される場合があり、電子鍵は第１の実施例の用途に加え、メッセージ認証演算などに用いられる。

【0106】

このように、第２マイコン２’の通信部６′が信号の受信のみを行う必要があるシステム構成であっても、本発明を適用することによって、第１マイコン２を経由して第２マイコン２’へ電子鍵を書き込み、結果の成否を検出し、電子鍵を暗号演算に使用することが可能である。以上を第２の実施例とする。