(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2022-12-19
(45)【発行日】2022-12-27
(54)【発明の名称】制御装置
(51)【国際特許分類】
G06F 12/14 20060101AFI20221220BHJP
【ＦＩ】
G06F12/14 510A
【請求項の数】
1
(21)【出願番号】P 2018199896
(22)【出願日】2018-10-24
(65)【公開番号】P2020067802
(43)【公開日】2020-04-30
【審査請求日】2021-09-21
(73)【特許権者】
【識別番号】000004260
【氏名又は名称】株式会社デンソー
(74)【代理人】
【識別番号】110000017
【氏名又は名称】弁理士法人アイテック国際特許事務所
(72)【発明者】
【氏名】大越 康樹
【審査官】局 成矢
(56)【参考文献】
【文献】特開２００１－２１６２８４（ＪＰ，Ａ）
【文献】特開２０１８－１０６６２８（ＪＰ，Ａ）
【文献】特開２０１５－１１９３５７（ＪＰ，Ａ）
【文献】国際公開第２００６／０２２１６１（ＷＯ，Ａ１）
【文献】特開２０１７－０５４２４３（ＪＰ，Ａ）
【文献】米国特許出願公開第２００８／０１５５２５７（ＵＳ，Ａ１）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０６Ｆ １２／１４
(57)【特許請求の範囲】
【請求項1】
通信線を介して他の装置と情報をやり取りしながら対象機器を制御する制御装置において、制御プログラムを実行する中央処理部と、
セキュリティ情報を用いて前記他の装置との間でやり取りされる前記情報に対するセキュリティ処理を実行するセキュリティ処理部と、
前記中央処理部および前記セキュリティ処理部の双方からアクセス可能であり、前記制御プログラムの実行に用いられる情報および前記セキュリティ情報を格納する不揮発性メモリと、
を備え、
前記セキュリティ処理部は、一定の周期で前記セキュリティ処理の実行を開始し、
前記中央処理部は、少なくとも前記セキュリティ処理部により前記セキュリティ処理が実行される間、前記不揮発性メモリへのアクセスを停止すると共に、前記不揮発性メモリへのアクセスの終了前であっても、前記セキュリティ処理部による前記セキュリティ処理の開始タイミングの予め定められた後処理時間だけ前に前記不揮発性メモリへのアクセスを中断することを特徴とする制御装置。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、通信線を介して他の装置と情報をやり取りしながら対象機器を制御する制御装置に関する。
【背景技術】
【0002】
従来、この種の制御装置として、中央処理部と、当該中央処理部からの実行依頼に応じてセキュリティ情報を使用したセキュリティ処理を実施するセキュリティ処理部と、セキュリティ処理部からはアクセス可能で中央処理部からはアクセスできないセキュア領域とセキュリティ処理部および中央処理部の双方からアクセス可能なユーザ領域とを有する不揮発性メモリと、セキュリティ処理部からはアクセス可能で中央処理部からはアクセスできないセキュアメモリとを含むものが知られている（例えば、特許文献１参照）。この制御装置において、不揮発性メモリのセキュア領域には複数のセキュリティ情報が記憶されており、セキュリティ処理部は、当該セキュア領域から複数のセキュリティ情報の一部を読み出してセキュアメモリに格納し、セキュリティ処理で使用するセキュリティ情報がセキュアメモリに記憶されている場合は、セキュアメモリからセキュリティ情報を読み出して使用する。これにより、セキュリティ処理の実行に際してセキュリティ処理部により使用される情報がセキュアメモリに格納されていれば、セキュリティ処理部が不揮発性メモリのセキュア領域にアクセスする必要がなくなるので、中央処理部とセキュリティ処理部とが不揮発性メモリに同時にアクセスするのを回避することができる。
【先行技術文献】
【特許文献】
【0003】
【文献】特開２０１８－１０６６２８号公報
【発明の概要】
【発明が解決しようとする課題】
【0004】
しかしながら、特許文献１に記載された発明は、上述のようなセキュアメモリ（揮発性メモリ）の存在を前提としたものであり、コスト低減化を図るべく当該セキュアメモリが省略された制御装置には適用され得ない。そして、上述のようなセキュアメモリを含まない制御装置では、中央処理部とセキュリティ処理部とが不揮発性メモリに同時にアクセスするのを回避し得なくなり、他の装置からの情報に対するセキュリティ処理に遅延を生じてしまうおそれがある。
【0005】
そこで、本開示は、制御装置のコストアップを抑制しつつ、他の装置との間でやり取りされる情報に対するセキュリティ処理の遅延を抑制することを主目的とする。
【課題を解決するための手段】
【0006】
本開示の制御装置は、通信線を介して他の装置と情報をやり取りしながら対象機器を制御する制御装置において、制御プログラムを実行する中央処理部と、セキュリティ情報を用いて前記他の装置との間でやり取りされる前記情報に対するセキュリティ処理を実行するセキュリティ処理部と、前記中央処理部および前記セキュリティ処理部の双方からアクセス可能であり、前記制御プログラムの実行に用いられる情報および前記セキュリティ情報を格納する不揮発性メモリとを含み、前記中央処理部が、少なくとも前記セキュリティ処理部により前記セキュリティ処理が実行される間、前記不揮発性メモリへのアクセスを停止することを特徴とする
【0007】
本開示の制御装置では、少なくともセキュリティ処理部によりセキュリティ処理が実行される間、中央処理部が不揮発性メモリへのアクセスを停止する。これにより、セキュリティ情報を格納するセキュリティ処理部に専用のメモリが制御装置から省略されていても、中央処理部とセキュリティ処理部とが不揮発性メモリに同時にアクセスするのを回避し、セキュリティ処理部の不揮発性メモリへのアクセスを優先させることができる。この結果、制御装置のコストアップを抑制しつつ、他の装置との間でやり取りされる情報に対するセキュリティ処理の遅延を抑制することが可能となる。
【0008】
また、前記セキュリティ処理部は、一定の周期で前記セキュリティ処理の実行を開始するものであってもよく、前記中央処理部は、前記不揮発性メモリへのアクセスの終了前であっても、前記セキュリティ処理部による前記セキュリティ処理の開始タイミングの予め定められた第１の後処理時間だけ前に前記不揮発性メモリへのアクセスを中断するものであってもよい。これにより、他の装置との間でやり取りされる情報に対するセキュリティ処理の遅延をより確実に抑制することが可能となる。
【0009】
更に、前記中央処理部は、前記不揮発性メモリへのアクセスの中断後に該アクセスを再開する場合、前記セキュリティ処理部による前記セキュリティ処理の終了タイミングから予め定められた第２の後処理時間が経過した時点で前記アクセスを再開するものであってもよい。これにより、不揮発性メモリへのアクセス再開後に中央処理部に円滑にデータ処理を実行させることが可能となる。
【図面の簡単な説明】
【0010】
【図1】本開示の制御装置を含む車両の一例を示す概略構成図である。
【図2】本開示の制御装置の中央処理部により実行されるメモリアクセス許否判定ルーチンの一例を示すフローチャートである。
【図3】本開示の制御装置の動作状態を例示するタイムチャートである。
【発明を実施するための形態】
【0011】
次に、図面を参照しながら本開示の発明を実施するための形態について説明する。
【0012】
図１は、本開示の制御装置であるモータ電子制御装置（以下、「ＭＧＥＣＵ」という。）２０を含む車両１の概略構成図である。同図に示す車両１は、炭化水素系の燃料と空気との混合気の爆発燃焼により動力を発生する内燃機関であるエンジン２と、シングルピニオン式のプラネタリギヤ３と、主に発電機として作動するモータジェネレータＭＧ１と、主に走行用の動力や回生制動力を出力するモータジェネレータＭＧ２と、蓄電装置（バッテリ）４と、当該蓄電装置４に接続されると共にモータジェネレータＭＧ１およびＭＧ２を駆動する電力制御装置（ＰＣＵ）５とを含むハイブリッド車両である。モータジェネレータＭＧ１，ＭＧ２は、何れも同期発電電動機（三相交流電動機）であり、蓄電装置４は、例えばリチウムイオン二次電池あるいはニッケル水素二次電池等である。電力制御装置５は、モータジェネレータＭＧ１を駆動する第１インバータ５１やモータジェネレータＭＧ２を駆動する第２インバータ５２、図示しない昇圧コンバータ等を含む。
【0013】
ＭＧＥＣＵ２０は、車両１の全体を制御するハイブリッド電子制御装置（以下、「ＨＶＥＣＵ」という。）１０等と協働して電力制御装置５を制御するように構成されている。図１に示すように、ＭＧＥＣＵ２０は、ＨＶＥＣＵ１０やエンジン２を制御する図示しないエンジン電子制御装置（エンジンＥＣＵ）等と共に、ＬｏおよびＨｉの２本の通信線（ワイヤーハーネス）を含むＣＡＮバスである共用通信線（多重通信バス）ＭＢに接続されており、当該共用通信線ＭＢを介してＣＡＮ通信により制御に必要な情報（通信フレーム）を相互にやり取りする。
【0014】
また、ＭＧＥＣＵ２０は、ＬｏおよびＨｉの２本の通信線（ワイヤーハーネス）を含むＣＡＮバスである専用通信線（ローカル通信バス）ＬＢを介してＨＶＥＣＵ１０に個別に接続されており、当該専用通信線ＬＢを介してＨＶＥＣＵ１０との間でＣＡＮ通信により制御に必要な情報（通信フレーム）をやり取りする。これにより、ＨＶＥＣＵ１０とＭＧＥＣＵ２０との間で重要度の高い情報を速やかにやり取りすることが可能となる。本実施形態において、共用通信線ＭＢにおける伝送速度と専用通信線ＬＢにおける伝送速度とは同一である。ただし、共用通信線ＭＢにおける伝送速度と専用通信線ＬＢにおける伝送速度とは互いに異なっていてもよい。
【0015】
図１に示すように、ＭＧＥＣＵ２０は、ＣＰＵ（中央処理部）２１０、何れも図示しないＲＯＭおよびＲＡＭ（揮発性メモリ）、第１ＣＡＮコントローラ２１１、第２ＣＡＮコントローラ２１２、セキュリティ処理部（セキュアＩＰ）２１４、不揮発性メモリ２１５等を含むマイクロコンピュータ（以下、「マイコン」という。）２１と、マイコン２１の第１ＣＡＮコントローラ２１１および共用通信線ＭＢに接続された第１ＣＡＮトランシーバ２５１と、マイコン２１の第２ＣＡＮコントローラ２１２および専用通信線ＬＢに接続された第２ＣＡＮトランシーバ２５２とを含む。
【0016】
マイコン２１のＣＰＵ２１０は、当該マイコン２１に接続された図示しないセンサの検出値やＨＶＥＣＵ１０等からの情報に基づいて、ＲＯＭに格納された電力制御装置５を作動させるための各種制御プログラムを実行する。また、ＣＰＵ２１０は、ＨＶＥＣＵ１０等に共用通信線ＭＢを介して情報を送信する際、当該情報に応じた信号を第１ＣＡＮトランシーバ２５１から共用通信線ＭＢに出力させるように第１ＣＡＮコントローラ２１１に指令信号を与える。更に、ＣＰＵ２１０は、ＨＶＥＣＵ１０等に専用通信線ＬＢを介して情報を送信する際、当該情報に応じた信号を第２ＣＡＮトランシーバ２５２から専用通信線ＬＢに出力させるように第２ＣＡＮコントローラ２１２に指令信号を与える。第１および第２ＣＡＮコントローラ２１１，２１２は、ＣＡＮプロトコルの機能を実現するものであり、ＣＰＵ２１０からの指令信号に応じたデジタル信号を第１または第２ＣＡＮトランシーバ２５１，２５２に与える。
【0017】
また、第１および第２ＣＡＮトランシーバ２５１，２５２は、それぞれ対応する第１または第２ＣＡＮコントローラ２１１，２１２からのデジタル信号をＣＡＮ通信プロトコルに従う差動信号に変換して共用通信線ＭＢまたは専用通信線ＬＢに出力する。また、第１および第２ＣＡＮトランシーバ２５１，２５２は、共用通信線ＭＢまたは専用通信線ＬＢからの差動信号をデジタル信号に変換して第１または第２ＣＡＮコントローラ２１１，２１２に与え、第１および第２ＣＡＮコントローラ２１１，２１２により受信された情報は、ＣＰＵ２１０に与えられる。本実施形態において、第１および第２ＣＡＮトランシーバ２５１，２５２等を介した情報の送受信処理は、予め定められた一定の周期Ｔ（例えば、１ｍｓｅｃ）で実行（開始）される。
【0018】
セキュリティ処理部２１４は、第１および第２ＣＡＮトランシーバ２５１，２５２等を介した情報の送受信処理に同期して、すなわち一定の周期ＴでＭＧＥＣＵ２０とＨＶＥＣＵ１０等との間で送受信される情報に対するセキュリティ処理（認証処理）を実行する。すなわち、セキュリティ処理部２１４は、複数のＥＣＵ間で共有される共通鍵といったセキュリティ情報や乱数等を用いてＭＧＥＣＵ２０から送信される情報に付与されるメッセージ認証コード（ＭＡＣ）を生成する。また、セキュリティ処理部２１４は、第１、第２ＣＡＮトランシーバ２５１，２５２等により受信された情報をＣＰＵ２１０から受け取り、当該情報に付与されたＭＡＣをセキュリティ情報に基づいて検証することで、いわゆるなりすまし攻撃等による情報の改ざんの有無の判定や、不正メッセージの処理等を実行する。
【0019】
不揮発性メモリ２１５は、ＣＰＵ２１０およびセキュリティ処理部２１４の双方からアクセス可能となるようにバスを介して両者に接続されたフラッシュメモリである。不揮発性メモリ２１５には、各種制御プログラムやセキュリティ処理の実行に際してＣＰＵ２１０やセキュリティ処理部２１４により用いられる情報が格納される作業領域と、セキュリティ処理部２１４により用いられるセキュリティ情報が格納（記憶）される領域とが設けられている。すなわち、本実施形態において、セキュリティ処理部２１４には、揮発性メモリ等の専用メモリが設けられてはおらず、当該セキュリティ処理部２１４は、不揮発性メモリ２１５に格納されたセキュリティ情報を用いて上述のようなセキュリティ処理を実行する。なお、詳細な説明は省略するが、本実施形態の車両１では、ＨＶＥＣＵ１０やエンジンＥＣＵ等も、ＭＧＥＣＵ２０と同様のセキュリティ処理を実行するように構成されている。
【0020】
次に、図２および図３を参照しながら、ＭＧＥＣＵ２０の動作について説明する。図２は、ＭＧＥＣＵ２０のマイコン２１のＣＰＵ２１０によって微小時間おきに繰り返し実行されるメモリアクセス許否判定ルーチンの一例を示すフローチャートである。
【0021】
図２に示すメモリアクセス許否判定ルーチンの開始に際し、ＣＰＵ２１０は、上記情報の送受信処理が実行される周期Ｔを計時する送受信タイマの計時値ｔを取得する（ステップＳ１００）。送受信タイマは、計時の開始後に計時値ｔが周期Ｔになるとリセットされて再度計時を開始するようにバードウェアまたはソフトウェアにより構成されたものである。次いで、ＣＰＵ２１０は、ステップＳ１００にて取得した計時値ｔがセキュリティ処理部２１４によるセキュリティ処理の実行に要する時間ｔｍと予め定められた後処理時間（遅延時間、例えば５０－３００μｓｅｃ程度）ｔｐａとの和を上回っているか否かを判定する（ステップＳ１１０）。後処理時間ｔｐａは、セキュリティ処理部２１４が不揮発性メモリ２１５にアクセスした後（データの読み書きを行った後）に当該不揮発性メモリ２１５へのデータの格納や作業領域からのデータの削除等に要する時間としてマイコン２１の仕様等に応じて予め定められた時間である。
【0022】
ステップＳ１１０にて計時値ｔが時間ｔｍと後処理時間ｔｐａとの和を上回っていると判定した場合（ステップＳ１１０：ＹＥＳ）、ＣＰＵ２１０は、ステップＳ１００にて取得した計時値ｔが上記周期Ｔから予め定められた後処理時間（遅延時間、例えば１００－３００μｓｅｃ程度）ｔｐｂを減じた値未満であるか否かを判定する（ステップＳ１２０）。後処理時間ｔｐｂは、ＣＰＵ２１０が不揮発性メモリ２１５にアクセスした後（データの読み書きを行った後）に当該不揮発性メモリ２１５へのデータの格納や作業領域からのデータの削除等に要する時間としてマイコン２１の仕様等に応じて予め定められた時間である。
【0023】
ステップＳ１２０にて計時値ｔが周期Ｔから後処理時間ｔｐｂを減じた値未満であると判定した場合（ステップＳ１２０：ＹＥＳ）、ＣＰＵ２１０は、当該ＣＰＵ２１０の不揮発性メモリ２１５へのアクセスを許容すべくメモリアクセス許可フラグをオンし（ステップＳ１３０）、図２のルーチンを一旦終了させる。これに対して、ステップＳ１１０にて計時値ｔが時間ｔｍと後処理時間ｔｐａとの和以下であると判定した場合（ステップＳ１１０：ＮＯ）、およびステップＳ１２０にて計時値ｔが周期Ｔから後処理時間ｔｐｂを減じた値以上であると判定した場合（ステップＳ１２０：ＮＯ）、ＣＰＵ２１０は、当該ＣＰＵ２１０の不揮発性メモリ２１５へのアクセスを禁止すべくメモリアクセス許可フラグをオフし（ステップＳ１４０）、図２のルーチンを一旦終了させる。
【0024】
上述のような図２のメモリアクセス許否判定ルーチンが実行される結果、ＭＧＥＣＵ２０では、図３に示すように、少なくともセキュリティ処理部２１４によりセキュリティ処理が実行される間、ＣＰＵ２１０が不揮発性メモリ２１５へのアクセスを停止する。より詳細には、ＣＰＵ２１０は、セキュリティ処理部２１４によるセキュリティ処理の開始タイミングの後処理時間ｔｐｂだけ前から、当該セキュリティ処理の終了後に後処理時間ｔｐａが経過するまでの間（図３における時刻ｔ１－ｔ２間、時刻ｔ３－ｔ４間、時刻ｔ５－ｔ６間）、不揮発性メモリ２１５へのアクセスを停止する。これにより、セキュリティ情報を格納するセキュリティ処理部２１４に専用のメモリがＭＧＣＥＵ２０から省略されていても、ＣＰＵ２１０とセキュリティ処理部２１４とが不揮発性メモリ２１５に同時にアクセスするのを回避し、セキュリティ処理部２１４の不揮発性メモリ２１５へのアクセスを優先させることができる。この結果、ＭＧＥＣＵ２０のコストアップを抑制しつつ、ＨＶＥＣＵ１０等の他の装置との間でやり取りされる情報に対するセキュリティ処理の遅延を抑制することが可能となる。
【0025】
また、ＭＧＥＣＵ２０において、ＣＰＵ２１０は、不揮発性メモリ２１５へのアクセス（データの読み書き）の終了前であっても、セキュリティ処理部２１４によるセキュリティ処理の開始タイミングの後処理時間（第１の後処理時間）ｔｐｂだけ前（図３における時刻ｔ１，ｔ３，ｔ５）に不揮発性メモリ２１５へのアクセスを中断する。更に、ＣＰＵ２１０は、不揮発性メモリ２１５へのアクセスの中断後に当該アクセスを再開する場合、セキュリティ処理部２１４によるセキュリティ処理の終了タイミングから後処理時間（第２の後処理時間）ｔｐａが経過した時点（図３における時刻ｔ２，ｔ４，ｔ６）で不揮発性メモリ２１５へのアクセスを再開する。これにより、ＨＶＥＣＵ１０等の他の装置との間でやり取りされる情報に対するセキュリティ処理の遅延をより確実に抑制すると共に、不揮発性メモリ２１５へのアクセス再開後にＣＰＵ２１０に円滑にデータ処理を実行させることが可能となる。
【0026】
以上説明したように、本開示の制御装置としてのＭＧＥＣＵ２０は、共用通信線ＭＢや専用通信線ＬＢを介してＨＶＥＣＵ１０等の他の装置と情報をやり取りしながら電力制御装置５（対象機器）を制御するものであり、各種制御プログラムを実行するＣＰＵ２１０と、セキュリティ情報を用いてＨＶＥＣＵ１０等との間でやり取りされる情報に対するセキュリティ処理を実行するセキュリティ処理部２１４と、ＣＰＵ２１０およびセキュリティ処理部２１４の双方からアクセス可能であって制御プログラムの実行に用いられる情報やセキュリティ情報を格納する不揮発性メモリ２１５とを含む。そして、ＣＰＵ２１０は、少なくともセキュリティ処理部２１４によりセキュリティ処理が実行される間、不揮発性メモリ２１５へのアクセスを停止する（図２のステップＳ１１０：ＮＯ，Ｓ１２０：ＮＯ）。これにより、ＭＧＥＣＵ２０のコストアップを抑制しつつ、ＨＶＥＣＵ１０等の他の装置との間でやり取りされる情報に対するセキュリティ処理の遅延を抑制することが可能となる。
【0027】
なお、上記実施形態において、後処理時間ｔｐａ，ｔｐｂは、それぞれ一定の値として例示されているが、これに限られるものではない。すなわち、後処理時間ｔｐａ，ｔｐｂは、ＣＰＵ２１０の不揮発性メモリ２１５へのアクセスの中断回数や再開回数に応じてそれぞれ変更されてもよい。また、本開示の構成は、車両等に搭載されて共用通信線や専用通信線を介して他の装置と情報をやり取りする任意の制御装置に適用され得るものである。更に、ＭＧＥＣＵ２０は、モータジェネレータＭＧ１に対応したマイコンと、モータジェネレータＭＧ２に対応したマイコンと含むものであってもよく、この場合、２つのマイコンの一方が上記ＭＧＥＣＵ２０と同様に構成されてもよい。また、本開示の発明が適用される車両は、１モータ式のハイブリッド車両であってもよく、シリーズ式のハイブリッド車両であってもよく、プラグイン式のハイブリッド車両であってもよく、電気自動車であってもよく、走行用動力の発生源としてエンジン（内燃機関）のみを含む車両であってもよい。
【0028】
そして、本開示の発明は上記実施形態に何ら限定されるものではなく、本開示の外延の範囲内において様々な変更をなし得ることはいうまでもない。更に、上記発明を実施するための形態は、あくまで課題を解決するための手段の欄に記載された発明の具体的な一形態に過ぎず、課題を解決するための手段の欄に記載された発明の要素を限定するものではない。
【産業上の利用可能性】
【0029】
本開示の発明は、制御装置の製造産業等において利用可能である。
【符号の説明】
【0030】
１ 車両、２ エンジン、３ プラネタリギヤ、４ 蓄電装置、５ 電力制御装置（ＰＣＵ）、５１ 第１インバータ、５２ 第２インバータ、１０ ハイブリッド電子制御装置（ＨＶＥＣＵ）、２０ モータ電子制御装置（ＭＧＥＣＵ）、２１ マイクロコンピュータ（マイコン）、２１０ ＣＰＵ（中央処理部）、２１１ 第１ＣＡＮコントローラ、２１２ 第２ＣＡＮコントローラ、２１４ セキュリティ処理部、２１５ 不揮発性メモリ、２５１ 第１ＣＡＮトランシーバ、２５２ 第２ＣＡＮトランシーバ、ＬＢ 専用通信線、ＭＢ 共用通信線、ＭＧ１，ＭＧ２ モータジェネレータ。
【図1】
【図2】
【図3】