電子制御装置
【課題】中央演算処理部の外部に設けられた外部記憶素子に記憶されたデータの不正読み出しを防止可能な電子制御装置を提供する。
【解決手段】中央演算処理部と、中央演算処理部の内部に設けられた内部記憶素子と、中央演算処理部の外部に設けられ、暗号化されたデータを記憶する外部記憶素子と、外部記憶素子から暗号化されたデータを読み出して内部記憶素子に記憶する読出部と、外部装置から、暗号化されたデータを復号するための復号コードを取得する復号コード取得部と、取得した復号コードに基づいて、内部記憶素子に記憶された暗号化されたデータを復号し、復号したデータを内部記憶素子に格納する復号部と、を備えることを特徴とする。
【解決手段】中央演算処理部と、中央演算処理部の内部に設けられた内部記憶素子と、中央演算処理部の外部に設けられ、暗号化されたデータを記憶する外部記憶素子と、外部記憶素子から暗号化されたデータを読み出して内部記憶素子に記憶する読出部と、外部装置から、暗号化されたデータを復号するための復号コードを取得する復号コード取得部と、取得した復号コードに基づいて、内部記憶素子に記憶された暗号化されたデータを復号し、復号したデータを内部記憶素子に格納する復号部と、を備えることを特徴とする。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、マイコン等を含む中央演算処理部の外部に設けられた外部記憶素子からデータを読み込む電子制御装置に関する。
【背景技術】
【０００２】
電子制御装置（ＥＣＵともいう）は、ワンチップマイコン等の中央演算処理部がその内部のメモリに記憶されたプログラムを実行して、所定の機能を実現している。しかし、ＥＣＵの改良や機能追加によるプログラムのバージョンアップが行われると、メモリの内容を書き換える必要がある。この場合、中央演算処理部の内部のメモリの空き容量の制約により、改良プログラムを全て書き込めない問題が生ずる。
【０００３】
そこで、中央演算処理部の外部に、プログラム／データを格納した外部記憶素子を設け、中央演算処理部がプログラム／データを読み込んで、所定の処理を行うＥＣＵも開発されている。しかし、この構成のＥＣＵでは、外部記憶素子が基板に直接はんだ付けされているか、基板にはんだ付けされたソケットに装着されているかによらず、当該素子を取り外して、当該素子に対してＲＥＡＤ信号を送信することで、当該素子に保存されているプログラム／データが解読される危険性がある。
【０００４】
このため、外部記憶素子に記憶されている内容を暗号化してセキュリティを高める技術が開示されている。例えば、暗号処理エンジン、セキュリティ鍵情報、ＣＰＵ、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭを備えたＴＲＭ（Ｔａｍｐｅｒ Ｒｅｓｉｓｔａｎｔ Ｍｏｄｕｌｅ：耐タンパモジュール）のセキュリティ鍵情報を用いて、ＣＰＵやＴＲＭの外部に接続されたフラッシュメモリ（外部記憶素子）に暗号化したデータを記憶する情報処理装置が考案されている（特許文献１参照）。
【０００５】
また、メモリカードに、プリペイドカードに対し所定の情報処理を行うプログラムを暗号化して記憶し、この暗号化されたプログラムを復号化するために必要なキーデータを別のカードに記憶し、装置本体のＲＯＭに、暗号化プログラムを復号化するプログラムを記憶し、本体の初期化処理が実行された後、カードからキーデータが読み取られ、このキーデータを用いてＲＯＭに記録されている復号化プログラムを実行し、メモリカードに記録されている暗号化されたプログラムの復号化処理を行うカード処理装置が考案されている（特許文献２参照）。
【０００６】
また、不正読出しを防止するフラッシュメモリ内蔵のマイコンは既に発売されている（非特許文献１参照）。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００９−０７０４０８号公報
【特許文献２】特開平０８−１６１５５８号公報
【非特許文献】
【０００８】
【非特許文献１】Ｍｉｃｒｏｎ社のメモリ製品のセキュリティ技術に関するＷｅｂページ（http://www.numonyx.com/jp/MemoryProducts/securityfeatures/Pages/KryptoSecurity.aspx）。
【発明の概要】
【発明が解決しようとする課題】
【０００９】
特許文献１では、復号に必要なセキュリティ鍵情報と外部記憶素子とが、同一の装置内にあるので、ＴＲＭと外部記憶素子との間の制御信号等を解析することで、暗号化のロジックを解読される虞がある。
【００１０】
また、特許文献２では、キーデータを記憶したカードは、カード処理装置とは別構成となっているが、カードを紛失すると復号できない。カードが本体と一緒に盗まれた場合には、上述のようにカードと本体との間の信号解析から暗号化のロジックを解読される虞がある。
【００１１】
また、非特許文献１のマイコンは、他の汎用マイコンとは異なって構造が複雑であるため、コストを上昇させるという問題も生ずる。さらに、マイコン内部のフラッシュメモリの容量の制約の問題は残る。
【００１２】
また、データ読み出し時にパスワードを要求し、不正読み出しを防止する素子もあるが、特に車載用の電子制御装置のような「組み込みシステム」では、パスワードを入力するための操作入力部を備えていないものが多く、全ての電子制御装置で使用できるわけではない。また、回路構成も複雑となり、コスト上昇の要因となる。
【００１３】
上記問題点を背景として、本発明の課題は、中央演算処理部の外部に設けられた外部記憶素子に記憶されたデータの不正読み出しを防止可能な電子制御装置を提供することにある。
【課題を解決するための手段および発明の効果】
【００１４】
上記課題を解決するための電子制御装置は、中央演算処理部と、中央演算処理部の内部に設けられた内部記憶素子と、中央演算処理部の外部に設けられ、暗号化されたデータを記憶する外部記憶素子と、外部記憶素子から暗号化されたデータを読み出して内部記憶素子に記憶する読出部と、外部装置から、暗号化されたデータを復号するための復号コードを取得する復号コード取得部と、取得した復号コードに基づいて、内部記憶素子に記憶された暗号化されたデータを復号し、復号したデータを内部記憶素子に格納する復号部と、を備えることを特徴とする。
【００１５】
上記構成によって、電子制御装置の外部から復号コードを取得する構成であるため、同一装置内に復号コードを記憶する構成に比べてセキュリティは高くなる。また、中央演算処理部に復号コードとデータを読み込んで復号を行うため、復号時に中央演算処理部と外部との信号の遣り取りはなく、信号解析を行っても暗号化のロジックを解読されることはない。さらに、キーデータを記憶したカードを用いる構成ではないので、カードの紛失、あるいは盗難という問題も発生しない。さらに特殊な部品や回路を必要としないので、コストは上昇しない。
【００１６】
また、本発明の電子制御装置は、外部装置との通信を行う通信部を備え、復号コード取得部は、通信部を介して受信する受信データのうち、予め定められた受信データを復号コードとして取得する。
【００１７】
上記構成によって、外部装置から受信したデータの少なくとも一部を復号用のデータとして使用できるので、復号専用のデータを送信してもらう必要がなく、他の車載装置のハードウェアやソフトウェア変更を行う必要もない。また、特に車両においては、車載装置が数多く搭載され、通信データ量も膨大なものとなるので、その中から復号コードを特定することは、容易なことではないので、暗号化されたデータを解読される虞も低くなる。
【００１８】
また、本発明の電子制御装置における復号コード取得部は、受信データのうち、値の変動の頻度が小さい受信データを復号コードとして取得する。
【００１９】
受信データには、常に値が変動しているものや、予め定められた条件が成立しているときのみ値が変わる（すなわち、値の変動の頻度が小さい）ものなど、様々なものがある。上記構成によって、値の変動の頻度が小さい受信データを復号コードとして使用すれば、復号専用のデータを必要とすることはない。仮に、通信データから復号コードを探すとき、通常は通信データのうち固定値が復号コードではないかと推定するので、復号コードを見つけ出すことを困難にすることもできる。
【００２０】
また、本発明の電子制御装置は、復号部における復号結果が正しいか否かを判定する復号結果判定部を備える。
【００２１】
上記構成によって、正常に復号できたかどうかが分かるだけではなく、中央演算処理部の動作異常も防止することができる。
【００２２】
また、本発明の電子制御装置における復号結果判定部は、復号されたデータの内部記憶素子における予め定められた1つ以上の位置の値が予め定められた値であるか否かによって復号結果が正しいか否かを判定する。
【００２３】
データ全体を調べると時間がかかり、電子制御装置の動作にも影響を及ぼすこともあるが、上記構成によって、比較的短時間で復号結果が正しいか否かを判定することができる。
【図面の簡単な説明】
【００２４】
【図１】電子制御装置の全体構成を示すブロック図。
【図２】ＤＲＡＭの記憶内容の一例を示す図。
【図３】外部記憶素子の記憶内容の一例を示す図。
【図４】復号処理を説明するフロー図。
【図５】通信データの構成の一例を示す図。
【図６】復号が正常に行われたかの判定方法を説明する図。
【図７】復号処理の別例を説明するフロー図。
【発明を実施するための形態】
【００２５】
以下、本発明の電子制御装置について、図面を用いて説明する。図１に、電子制御装置（以下、「ＥＣＵ」という）１の全体構成を示す。ＥＣＵ１は、例えば車両に搭載され、中央演算処理部１１と、中央演算処理部１１に接続された外部記憶素子１６，通信Ｉ／Ｆ（インターフェース）１７，信号入出力回路を含むＩ／Ｏ１８を含んで構成される。
【００２６】
中央演算処理部１１は、周知のＳｉＰ（System in Package）として構成され、内部にはマイコン１２、ＤＲＡＭ１３、ＳＲＡＭ１４、ＭＡＳＫ ＲＯＭ１５を含んでいる。なお、マイコン１２が本発明の読出部，復号部，復号結果判定部に相当する。また、ＤＲＡＭ１３、ＳＲＡＭ１４が本発明の内部記憶素子に相当する。
【００２７】
ＤＲＡＭ１３は、周知のダイナミックＲＡＭで、図２に、ＤＲＡＭ１３の記憶内容の一例を示す。ＤＲＡＭ１３は、外部記憶素子１６からの個々のプログラム／データの転送状況を示すデータ転送状況格納領域１３ａ（例えばフラグエリアとして構成）、復号コード格納領域１３ｂ、外部記憶素子１６から転送した暗号化データを格納する暗号化データ格納領域１３ｃ、暗号化データを復号した復号データを格納する復号データ格納領域１３ｄ、各プログラムの作業領域であるワークエリア１３ｅを含んでいる。なお、本発明では、プログラム、データの両方を含めたものを「データ」と総称している。
【００２８】
図１に戻り、ＳＲＡＭ１４は、周知のスタティックＲＡＭで、ＥＣＵ１に外部から電源が供給されていないときでも、リチウム電池等で記憶されたデータのバックアップを行う。ＳＲＡＭ１４には、ＥＣＵ１の動作に必要で、かつ外部電源切断時でもその内容の保持が必要なデータを格納する。
【００２９】
また、ＳＲＡＭ１４に、データ転送状況格納領域、復号コード格納領域、暗号化データ格納領域、復号データ格納領域を設ける構成としてもよいし、暗号化データおよび復号データのうち、バックアップが必要なものをＳＲＡＭ１４に格納するようにしてもよい。
【００３０】
ＭＡＳＫ ＲＯＭ１５は暗号化データを復号するための復号プログラムの他に、ＥＣＵ１の動作に必要な最小限のプログラムを記憶している。なお、ＭＡＳＫ ＲＯＭ１５は、読み出し専用記憶媒体である。
【００３１】
外部記憶素子１６は、例えばフラッシュメモリのような電気的に書き換え可能な記憶媒体により構成され、ＥＣＵ１の動作に必要なプログラム／データを記憶している。外部記憶素子１６は、中央演算処理部１１とは別部品として、例えばＥＣＵ１の基板上に実装される。図３に、外部記憶素子１６の記憶内容の一例を示す。図３のように、外部記憶素子１６には、プログラム（Ａ〜Ｄ）、データ（Ｊ〜Ｍ）が記憶され、データ情報１６ａには、各プログラム／データに関する情報（例えば、名称，データ長，配置アドレス，暗号化されているか否か）が記憶されている。
【００３２】
図３の例では、プログラム（Ａ〜Ｄ）のうち、プログラムＡ、Ｃ、Ｄは暗号化され、プログラムＢは暗号化されていない。また、データ（Ｊ〜Ｍ）のうち、データＪ、Ｌ、Ｍは暗号化され、データＫは暗号化されていない。このように、暗号化されていないプログラム／データを含めて記憶してもよいし、全てのプログラム／データを暗号化して記憶してもよい。また、図３のように、暗号化データおよび非暗号化データが混在していてもよいし、暗号化データおよび非暗号化データそれぞれのデータ専用の記憶領域を設定してもよい。
【００３３】
図１に戻り、通信Ｉ／Ｆ１７は、例えば車内ＬＡＮ３１を介して他の車載機器とのデータ通信を行う、周知のＬＡＮインターフェース回路として構成される。なお、通信Ｉ／Ｆ（インターフェース）１７が本発明の復号コード取得部，通信部に相当する。
【００３４】
Ｉ／Ｏ１８は、例えば、ＥＣＵ１に接続されたセンサ群２１からの信号（センサ検出信号）を、中央演算処理部１１で処理可能な状態にするための増幅あるいは波形整形等を行ったり、中央演算処理部１１からの制御信号に基づいて、ＥＣＵ１に接続されたアクチュエータ群２２に対して駆動信号を生成し出力する。
【００３５】
上述の構成により、ＥＣＵ１は、センサ群２１からのセンサ検出信号を取得して、中央演算処理部１１で所定の演算を行い、その演算結果に基づいて、アクチュエータ群２２に対する制御指令を出力し、アクチュエータ群２２の駆動制御を行う。例えば、センサ群２１で車両のドアの開閉状態を検出し、ドアのうちの少なくともいずれかが開状態となったときに、アクチュエータ群２２に含まれるルームランプ等の車内照明装置を点灯させる。
【００３６】
図４を用いて、マイコン１２が実行する復号処理について説明する。本処理は、ＭＡＳＫ ＲＯＭ１５に記憶された復号プログラムに含まれている。例えば、電源投入時（ＥＣＵ１をバッテリに接続したとき）に実行される。まず、ＤＲＡＭ１３およびＳＲＡＭ１４の初期化を行う（Ｓ１１）。例えば、ＤＲＡＭ１３およびＳＲＡＭ１４の全領域あるいは予め定められた領域の記憶内容をクリアする。また、このとき、アクチュエータ群２２を予め定められた初期状態とするように制御指令を送る。
【００３７】
次に、外部記憶素子１６から、ＤＲＡＭ１３またはＳＲＡＭ１４に、プログラム／データを転送する（Ｓ１２）。暗号化されたプログラム／データ（図３のプログラムＡ、Ｃ、ＤとデータＪ、Ｌ、Ｍ）は、暗号化データ格納領域１３ｃに、暗号化されていないプログラム／データ（図３のプログラムＢとデータＫ）は、復号データ格納領域１３ｄに格納される。格納後に、データ転送状況格納領域１３ａの各プログラム／データに該等するフラグの状態を「転送済」とする。また、このとき、外部記憶素子１６のデータ情報１６ａの内容も転送される。
【００３８】
外部記憶素子１６に記憶されたプログラム／データを全て転送しないようにしてもよい。つまり、ＥＣＵ１の当面の動作に必要なプログラム／データのみを転送し、使用頻度の少ない機能や処理に関するプログラム／データは、必要に応じて転送する。こうすることで、復号処理に要する時間を短縮できる。この場合、本処理実行時に転送するプログラムについての情報は、バックアップが可能なＳＲＡＭ１４に記憶することが望ましい。
【００３９】
次に、ＥＣＵ１の外部（すなわち、外部装置）との通信手段を確立する（Ｓ１３）。例えば、車内ＬＡＮ３１を介して、他の車載機器からの通信データを正常時に受信できたときに、通信手段が確立したと見なす。通信データは、例えば、図５のように、送信元の車載機器を識別する送信元ＩＤ、あて先の車載機器を指定するあて先ＩＤ、送信元ＩＤとは別に有し車載機器を識別するための固有ＩＤ（これらをヘッダ情報ともいう）、データ（データ１〜データｎ）を含んで構成される。
【００４０】
次に、車内ＬＡＮ３１を介して、他の車載機器からのデータを受信する。受信したデータ（「受信データ」という）はＤＲＡＭ１３のワークエリア１３ｅに一時保存される。そして、受信データから復号コードを取得して（Ｓ１４）、ＤＲＡＭ１３の復号コード格納領域１３ｂに格納する（Ｓ１５）。
【００４１】
復号コードは以下のうちのいずれかを用いる。なお、原則として、受信データのあて先ＩＤがＥＣＵ１を示すものではないときには、ワークエリア１３ｅの受信データは消去されるか次の受信データにより上書きされる。また、受信データのあて先ＩＤがＥＣＵ１を示すものであるときには、ＤＲＡＭ１３あるいはＳＲＡＭ１４の所定領域に格納され、その受信データの内容に応じた処理を行う。
・所定の送信元ＩＤ、あるいは送信元ＩＤに所定の演算を行ったものを復号コードとする。
・固有ＩＤ、あるいは固有ＩＤに所定の演算を行ったものを復号コードとする。
【００４２】
・データ１〜ｎのうち、予め定められた位置にあるもの（例えば、３番目のデータであるデータ３）。
例えば車両のドアの開閉状態を示すデータのような、状態すなわちデータ値の変化の頻度が比較的少ないものがある。このデータを復号コードとして用いることができる。例えば、ドアの開閉状態のデータで全てのドアが閉状態のときのデータ値を復号コードとして用いる。本処理の実行中にいずれかのドアが開状態であっても、復号コード受信のリトライ中に全ドアが閉状態（待機状態）となる確率が高いので、ドア状態の他にも待機状態である割合が高い（すなわち、データ値が変化しにくい）データは、復号コードに適している。また、送信元ＩＤや固定ＩＤに比べて、復号コードを解読される可能性も低くなる。
【００４３】
また、受信データのあて先ＩＤがＥＣＵ１を示すものではないものから復号コードを取得してもよい。こうすることで、どのデータから復号コードを取得しているかをより分かり難くすることができる。
【００４４】
どの受信データから、どのようにして復号コードを取得するかは、例えばＳＲＡＭ１４あるいはＭＡＳＫ ＲＯＭ１５に予め記憶されている。
【００４５】
次に、ＤＲＡＭ１３の（ＳＲＡＭ１４でもよい）暗号化データ格納領域１３ｃに転送された暗号化プログラム／データを、上述の復号コードを用いて復号する（Ｓ１６）。なお、暗号化アルゴリズムは、周知のＤＥＳ、ＭＤ４、ＡＥＳ等のうちのいずれを用いてもよい。また、復号したものは、データ情報１６ａに基づいて、復号データ格納領域１３ｄの所定位置（アドレス）に格納する。
【００４６】
復号が終了した暗号化プログラム／データは、直ちに消去してもよいし、次の初期化時（ステップＳ１１）まで保持してもよいし、暗号化データ格納領域１３ｃの容量に制限があるときには随時消去してもよい。
【００４７】
次に、復号が正常に行われたか否かを判定する。復号データ格納領域１３ｄに格納されたプログラムは、上述のように所定のアドレスに格納されている。すなわち、各プログラムの先頭アドレスは、外部記憶素子１６に記憶されたプログラムがバージョンアップされても、常に同じとなるように構成されている。
【００４８】
そこで、プログラムの開始アドレスから○○番目のデータが予め定められた値であるときに、復号が正常に行われたと判定することができる。図６に、その一例を示す。図６の例では、復号データ格納領域１３ｄのアドレス１０００Ｈ（１６進）に文字Ａを表すデータが、アドレス１８００Ｈに文字Ｂを表すデータが、アドレス２０００Ｈに文字Ｃを表すデータが、それぞれ格納されている。これらのデータは、ダミーのテーブルデータ、あるいは文字コード定義データとしてソースプログラム上にアドレスを指定して記述されている。
【００４９】
図６の例では、復号判定用のデータは３個であるが、３個より多くても少なくてもよい。また、復号判定用のデータを複数有し、そのデータをアドレス順に並べると、所定の意味を表す単語となるようにしてもよい。
【００５０】
復号が正常に行われたと判定したとき（Ｓ１７：ＹＥＳ）、復号データ格納領域１３ｄに格納されたプログラムのうち、本処理を終了し、予め指定されたプログラム（例えば、メイン周回処理）を実行する（Ｓ１８）。
【００５１】
一方、復号が正常に行われないとき（Ｓ１７：ＮＯ）、ステップＳ１６へ戻り、再度復号を行う。あるいは、ステップＳ１４へ戻り、新たな受信データから復号コードを取得して復号を行う。
【００５２】
図７を用いて、復号プログラム実行終了後の、復号データ格納領域１３ｄに格納されたプログラムを実行しているときに、暗号化されたプログラム／データを転送して復号する処理について説明する。なお、本処理は、例えばＭＡＳＫ ＲＯＭ１５に記憶され、予め定められたタイミング、あるいは、個々のプログラム終了時（次のプログラムを実行する前）に実行される。
【００５３】
まず、現在実行しているプログラムの次に実行されるプログラム／データを先読みする（Ｓ３１）。これは、例えば、現在実行中のアドレス（マイコン１１のプログラムカウンタから取得可能）より先を対象として、復号データ格納領域１３ｄで、次に呼び出されるプログラム／データのアドレスあるいはジャンプ先のアドレスを探すものである。
【００５４】
次に、復号データ格納領域１３ｄにおいて、上述のアドレスにプログラム／データが存在するか否か、すなわち、復号されたプログラム／データがあるか否かを調べる（Ｓ３２）。
【００５５】
上述のアドレスにプログラム／データが存在するとき（Ｓ３３：ＹＥＳ）、本処理を終了し、そのプログラムの実行タイミングが到来したときに、該プログラムを実行する（Ｓ４０）。一方、上述のアドレスにプログラム／データが存在しないとき（Ｓ３３：ＮＯ）、外部記憶素子１６から該当するプログラム／データをＤＲＡＭ１３（あるいはＳＲＡＭ１４）に転送する（Ｓ３４）。このとき、プログラム／データが暗号化されているときには暗号化データ格納領域１３ｃに記憶し、暗号化されていないときには復号データ格納領域１３ｄに記憶する。
【００５６】
プログラム／データが暗号化されているとき（Ｓ３５：ＹＥＳ）、復号コード格納領域１３ｂに記憶されている復号コードを読み出す（Ｓ３６）。図４のステップＳ１４のように、車内ＬＡＮ３１を介して、新たに受信データから復号コードを取得してもよい。
【００５７】
一方、プログラム／データが暗号化されていないとき（Ｓ３５：ＮＯ）、本処理を終了し、そのプログラムの実行タイミングが到来したときに、該プログラムを実行する（Ｓ４０）。
【００５８】
次に、図４のステップＳ１６と同様に、暗号化プログラム／データを、復号コードを用いて復号する（Ｓ３７）。そして、正常に復号されたとき（Ｓ３８：ＹＥＳ）、本処理を終了し、復号したプログラムの実行タイミングが到来したときに、該プログラムを実行する（Ｓ３９）。
【００５９】
一方、正常に復号されないとき（Ｓ３８：ＮＯ）、ステップＳ３７（あるいはステップＳ３６）へ戻り、再度復号を行う。また、車内ＬＡＮ３１を介して、新たに受信データから復号コードを取得してもよい。
【００６０】
予め定められたタイミングで、既に復号されている暗号化プログラム／データの復号を行ってもよい。例えば、該当するプログラム／データを実行中であるか否かを判定し、実行中でないときに復号を行う。これにより、正しく復号できなかったときや、ノイズ等による復号プログラムの意図しない書き換えが行われたとき、ＥＣＵ１の動作に対する影響を最小限に抑えることができる。また、復号データも、予め定められたタイミングで再取得してもよい。
【００６１】
以上、本発明の実施の形態を説明したが、これらはあくまで例示にすぎず、本発明はこれらに限定されるものではなく、特許請求の範囲の趣旨を逸脱しない限りにおいて、当業者の知識に基づく種々の変更が可能である。
【符号の説明】
【００６２】
１ ＥＣＵ
１１ 中央演算処理部
１２ マイコン（読出部，復号部，復号結果判定部）
１３ ＤＲＡＭ（内部記憶素子）
１４ ＳＲＡＭ（内部記憶素子）
１５ ＭＡＳＫ ＲＯＭ
１６ 外部記憶素子
１７ 通信Ｉ／Ｆ（復号コード取得部，通信部）
【技術分野】
【０００１】
本発明は、マイコン等を含む中央演算処理部の外部に設けられた外部記憶素子からデータを読み込む電子制御装置に関する。
【背景技術】
【０００２】
電子制御装置（ＥＣＵともいう）は、ワンチップマイコン等の中央演算処理部がその内部のメモリに記憶されたプログラムを実行して、所定の機能を実現している。しかし、ＥＣＵの改良や機能追加によるプログラムのバージョンアップが行われると、メモリの内容を書き換える必要がある。この場合、中央演算処理部の内部のメモリの空き容量の制約により、改良プログラムを全て書き込めない問題が生ずる。
【０００３】
そこで、中央演算処理部の外部に、プログラム／データを格納した外部記憶素子を設け、中央演算処理部がプログラム／データを読み込んで、所定の処理を行うＥＣＵも開発されている。しかし、この構成のＥＣＵでは、外部記憶素子が基板に直接はんだ付けされているか、基板にはんだ付けされたソケットに装着されているかによらず、当該素子を取り外して、当該素子に対してＲＥＡＤ信号を送信することで、当該素子に保存されているプログラム／データが解読される危険性がある。
【０００４】
このため、外部記憶素子に記憶されている内容を暗号化してセキュリティを高める技術が開示されている。例えば、暗号処理エンジン、セキュリティ鍵情報、ＣＰＵ、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭを備えたＴＲＭ（Ｔａｍｐｅｒ Ｒｅｓｉｓｔａｎｔ Ｍｏｄｕｌｅ：耐タンパモジュール）のセキュリティ鍵情報を用いて、ＣＰＵやＴＲＭの外部に接続されたフラッシュメモリ（外部記憶素子）に暗号化したデータを記憶する情報処理装置が考案されている（特許文献１参照）。
【０００５】
また、メモリカードに、プリペイドカードに対し所定の情報処理を行うプログラムを暗号化して記憶し、この暗号化されたプログラムを復号化するために必要なキーデータを別のカードに記憶し、装置本体のＲＯＭに、暗号化プログラムを復号化するプログラムを記憶し、本体の初期化処理が実行された後、カードからキーデータが読み取られ、このキーデータを用いてＲＯＭに記録されている復号化プログラムを実行し、メモリカードに記録されている暗号化されたプログラムの復号化処理を行うカード処理装置が考案されている（特許文献２参照）。
【０００６】
また、不正読出しを防止するフラッシュメモリ内蔵のマイコンは既に発売されている（非特許文献１参照）。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００９−０７０４０８号公報
【特許文献２】特開平０８−１６１５５８号公報
【非特許文献】
【０００８】
【非特許文献１】Ｍｉｃｒｏｎ社のメモリ製品のセキュリティ技術に関するＷｅｂページ（http://www.numonyx.com/jp/MemoryProducts/securityfeatures/Pages/KryptoSecurity.aspx）。
【発明の概要】
【発明が解決しようとする課題】
【０００９】
特許文献１では、復号に必要なセキュリティ鍵情報と外部記憶素子とが、同一の装置内にあるので、ＴＲＭと外部記憶素子との間の制御信号等を解析することで、暗号化のロジックを解読される虞がある。
【００１０】
また、特許文献２では、キーデータを記憶したカードは、カード処理装置とは別構成となっているが、カードを紛失すると復号できない。カードが本体と一緒に盗まれた場合には、上述のようにカードと本体との間の信号解析から暗号化のロジックを解読される虞がある。
【００１１】
また、非特許文献１のマイコンは、他の汎用マイコンとは異なって構造が複雑であるため、コストを上昇させるという問題も生ずる。さらに、マイコン内部のフラッシュメモリの容量の制約の問題は残る。
【００１２】
また、データ読み出し時にパスワードを要求し、不正読み出しを防止する素子もあるが、特に車載用の電子制御装置のような「組み込みシステム」では、パスワードを入力するための操作入力部を備えていないものが多く、全ての電子制御装置で使用できるわけではない。また、回路構成も複雑となり、コスト上昇の要因となる。
【００１３】
上記問題点を背景として、本発明の課題は、中央演算処理部の外部に設けられた外部記憶素子に記憶されたデータの不正読み出しを防止可能な電子制御装置を提供することにある。
【課題を解決するための手段および発明の効果】
【００１４】
上記課題を解決するための電子制御装置は、中央演算処理部と、中央演算処理部の内部に設けられた内部記憶素子と、中央演算処理部の外部に設けられ、暗号化されたデータを記憶する外部記憶素子と、外部記憶素子から暗号化されたデータを読み出して内部記憶素子に記憶する読出部と、外部装置から、暗号化されたデータを復号するための復号コードを取得する復号コード取得部と、取得した復号コードに基づいて、内部記憶素子に記憶された暗号化されたデータを復号し、復号したデータを内部記憶素子に格納する復号部と、を備えることを特徴とする。
【００１５】
上記構成によって、電子制御装置の外部から復号コードを取得する構成であるため、同一装置内に復号コードを記憶する構成に比べてセキュリティは高くなる。また、中央演算処理部に復号コードとデータを読み込んで復号を行うため、復号時に中央演算処理部と外部との信号の遣り取りはなく、信号解析を行っても暗号化のロジックを解読されることはない。さらに、キーデータを記憶したカードを用いる構成ではないので、カードの紛失、あるいは盗難という問題も発生しない。さらに特殊な部品や回路を必要としないので、コストは上昇しない。
【００１６】
また、本発明の電子制御装置は、外部装置との通信を行う通信部を備え、復号コード取得部は、通信部を介して受信する受信データのうち、予め定められた受信データを復号コードとして取得する。
【００１７】
上記構成によって、外部装置から受信したデータの少なくとも一部を復号用のデータとして使用できるので、復号専用のデータを送信してもらう必要がなく、他の車載装置のハードウェアやソフトウェア変更を行う必要もない。また、特に車両においては、車載装置が数多く搭載され、通信データ量も膨大なものとなるので、その中から復号コードを特定することは、容易なことではないので、暗号化されたデータを解読される虞も低くなる。
【００１８】
また、本発明の電子制御装置における復号コード取得部は、受信データのうち、値の変動の頻度が小さい受信データを復号コードとして取得する。
【００１９】
受信データには、常に値が変動しているものや、予め定められた条件が成立しているときのみ値が変わる（すなわち、値の変動の頻度が小さい）ものなど、様々なものがある。上記構成によって、値の変動の頻度が小さい受信データを復号コードとして使用すれば、復号専用のデータを必要とすることはない。仮に、通信データから復号コードを探すとき、通常は通信データのうち固定値が復号コードではないかと推定するので、復号コードを見つけ出すことを困難にすることもできる。
【００２０】
また、本発明の電子制御装置は、復号部における復号結果が正しいか否かを判定する復号結果判定部を備える。
【００２１】
上記構成によって、正常に復号できたかどうかが分かるだけではなく、中央演算処理部の動作異常も防止することができる。
【００２２】
また、本発明の電子制御装置における復号結果判定部は、復号されたデータの内部記憶素子における予め定められた1つ以上の位置の値が予め定められた値であるか否かによって復号結果が正しいか否かを判定する。
【００２３】
データ全体を調べると時間がかかり、電子制御装置の動作にも影響を及ぼすこともあるが、上記構成によって、比較的短時間で復号結果が正しいか否かを判定することができる。
【図面の簡単な説明】
【００２４】
【図１】電子制御装置の全体構成を示すブロック図。
【図２】ＤＲＡＭの記憶内容の一例を示す図。
【図３】外部記憶素子の記憶内容の一例を示す図。
【図４】復号処理を説明するフロー図。
【図５】通信データの構成の一例を示す図。
【図６】復号が正常に行われたかの判定方法を説明する図。
【図７】復号処理の別例を説明するフロー図。
【発明を実施するための形態】
【００２５】
以下、本発明の電子制御装置について、図面を用いて説明する。図１に、電子制御装置（以下、「ＥＣＵ」という）１の全体構成を示す。ＥＣＵ１は、例えば車両に搭載され、中央演算処理部１１と、中央演算処理部１１に接続された外部記憶素子１６，通信Ｉ／Ｆ（インターフェース）１７，信号入出力回路を含むＩ／Ｏ１８を含んで構成される。
【００２６】
中央演算処理部１１は、周知のＳｉＰ（System in Package）として構成され、内部にはマイコン１２、ＤＲＡＭ１３、ＳＲＡＭ１４、ＭＡＳＫ ＲＯＭ１５を含んでいる。なお、マイコン１２が本発明の読出部，復号部，復号結果判定部に相当する。また、ＤＲＡＭ１３、ＳＲＡＭ１４が本発明の内部記憶素子に相当する。
【００２７】
ＤＲＡＭ１３は、周知のダイナミックＲＡＭで、図２に、ＤＲＡＭ１３の記憶内容の一例を示す。ＤＲＡＭ１３は、外部記憶素子１６からの個々のプログラム／データの転送状況を示すデータ転送状況格納領域１３ａ（例えばフラグエリアとして構成）、復号コード格納領域１３ｂ、外部記憶素子１６から転送した暗号化データを格納する暗号化データ格納領域１３ｃ、暗号化データを復号した復号データを格納する復号データ格納領域１３ｄ、各プログラムの作業領域であるワークエリア１３ｅを含んでいる。なお、本発明では、プログラム、データの両方を含めたものを「データ」と総称している。
【００２８】
図１に戻り、ＳＲＡＭ１４は、周知のスタティックＲＡＭで、ＥＣＵ１に外部から電源が供給されていないときでも、リチウム電池等で記憶されたデータのバックアップを行う。ＳＲＡＭ１４には、ＥＣＵ１の動作に必要で、かつ外部電源切断時でもその内容の保持が必要なデータを格納する。
【００２９】
また、ＳＲＡＭ１４に、データ転送状況格納領域、復号コード格納領域、暗号化データ格納領域、復号データ格納領域を設ける構成としてもよいし、暗号化データおよび復号データのうち、バックアップが必要なものをＳＲＡＭ１４に格納するようにしてもよい。
【００３０】
ＭＡＳＫ ＲＯＭ１５は暗号化データを復号するための復号プログラムの他に、ＥＣＵ１の動作に必要な最小限のプログラムを記憶している。なお、ＭＡＳＫ ＲＯＭ１５は、読み出し専用記憶媒体である。
【００３１】
外部記憶素子１６は、例えばフラッシュメモリのような電気的に書き換え可能な記憶媒体により構成され、ＥＣＵ１の動作に必要なプログラム／データを記憶している。外部記憶素子１６は、中央演算処理部１１とは別部品として、例えばＥＣＵ１の基板上に実装される。図３に、外部記憶素子１６の記憶内容の一例を示す。図３のように、外部記憶素子１６には、プログラム（Ａ〜Ｄ）、データ（Ｊ〜Ｍ）が記憶され、データ情報１６ａには、各プログラム／データに関する情報（例えば、名称，データ長，配置アドレス，暗号化されているか否か）が記憶されている。
【００３２】
図３の例では、プログラム（Ａ〜Ｄ）のうち、プログラムＡ、Ｃ、Ｄは暗号化され、プログラムＢは暗号化されていない。また、データ（Ｊ〜Ｍ）のうち、データＪ、Ｌ、Ｍは暗号化され、データＫは暗号化されていない。このように、暗号化されていないプログラム／データを含めて記憶してもよいし、全てのプログラム／データを暗号化して記憶してもよい。また、図３のように、暗号化データおよび非暗号化データが混在していてもよいし、暗号化データおよび非暗号化データそれぞれのデータ専用の記憶領域を設定してもよい。
【００３３】
図１に戻り、通信Ｉ／Ｆ１７は、例えば車内ＬＡＮ３１を介して他の車載機器とのデータ通信を行う、周知のＬＡＮインターフェース回路として構成される。なお、通信Ｉ／Ｆ（インターフェース）１７が本発明の復号コード取得部，通信部に相当する。
【００３４】
Ｉ／Ｏ１８は、例えば、ＥＣＵ１に接続されたセンサ群２１からの信号（センサ検出信号）を、中央演算処理部１１で処理可能な状態にするための増幅あるいは波形整形等を行ったり、中央演算処理部１１からの制御信号に基づいて、ＥＣＵ１に接続されたアクチュエータ群２２に対して駆動信号を生成し出力する。
【００３５】
上述の構成により、ＥＣＵ１は、センサ群２１からのセンサ検出信号を取得して、中央演算処理部１１で所定の演算を行い、その演算結果に基づいて、アクチュエータ群２２に対する制御指令を出力し、アクチュエータ群２２の駆動制御を行う。例えば、センサ群２１で車両のドアの開閉状態を検出し、ドアのうちの少なくともいずれかが開状態となったときに、アクチュエータ群２２に含まれるルームランプ等の車内照明装置を点灯させる。
【００３６】
図４を用いて、マイコン１２が実行する復号処理について説明する。本処理は、ＭＡＳＫ ＲＯＭ１５に記憶された復号プログラムに含まれている。例えば、電源投入時（ＥＣＵ１をバッテリに接続したとき）に実行される。まず、ＤＲＡＭ１３およびＳＲＡＭ１４の初期化を行う（Ｓ１１）。例えば、ＤＲＡＭ１３およびＳＲＡＭ１４の全領域あるいは予め定められた領域の記憶内容をクリアする。また、このとき、アクチュエータ群２２を予め定められた初期状態とするように制御指令を送る。
【００３７】
次に、外部記憶素子１６から、ＤＲＡＭ１３またはＳＲＡＭ１４に、プログラム／データを転送する（Ｓ１２）。暗号化されたプログラム／データ（図３のプログラムＡ、Ｃ、ＤとデータＪ、Ｌ、Ｍ）は、暗号化データ格納領域１３ｃに、暗号化されていないプログラム／データ（図３のプログラムＢとデータＫ）は、復号データ格納領域１３ｄに格納される。格納後に、データ転送状況格納領域１３ａの各プログラム／データに該等するフラグの状態を「転送済」とする。また、このとき、外部記憶素子１６のデータ情報１６ａの内容も転送される。
【００３８】
外部記憶素子１６に記憶されたプログラム／データを全て転送しないようにしてもよい。つまり、ＥＣＵ１の当面の動作に必要なプログラム／データのみを転送し、使用頻度の少ない機能や処理に関するプログラム／データは、必要に応じて転送する。こうすることで、復号処理に要する時間を短縮できる。この場合、本処理実行時に転送するプログラムについての情報は、バックアップが可能なＳＲＡＭ１４に記憶することが望ましい。
【００３９】
次に、ＥＣＵ１の外部（すなわち、外部装置）との通信手段を確立する（Ｓ１３）。例えば、車内ＬＡＮ３１を介して、他の車載機器からの通信データを正常時に受信できたときに、通信手段が確立したと見なす。通信データは、例えば、図５のように、送信元の車載機器を識別する送信元ＩＤ、あて先の車載機器を指定するあて先ＩＤ、送信元ＩＤとは別に有し車載機器を識別するための固有ＩＤ（これらをヘッダ情報ともいう）、データ（データ１〜データｎ）を含んで構成される。
【００４０】
次に、車内ＬＡＮ３１を介して、他の車載機器からのデータを受信する。受信したデータ（「受信データ」という）はＤＲＡＭ１３のワークエリア１３ｅに一時保存される。そして、受信データから復号コードを取得して（Ｓ１４）、ＤＲＡＭ１３の復号コード格納領域１３ｂに格納する（Ｓ１５）。
【００４１】
復号コードは以下のうちのいずれかを用いる。なお、原則として、受信データのあて先ＩＤがＥＣＵ１を示すものではないときには、ワークエリア１３ｅの受信データは消去されるか次の受信データにより上書きされる。また、受信データのあて先ＩＤがＥＣＵ１を示すものであるときには、ＤＲＡＭ１３あるいはＳＲＡＭ１４の所定領域に格納され、その受信データの内容に応じた処理を行う。
・所定の送信元ＩＤ、あるいは送信元ＩＤに所定の演算を行ったものを復号コードとする。
・固有ＩＤ、あるいは固有ＩＤに所定の演算を行ったものを復号コードとする。
【００４２】
・データ１〜ｎのうち、予め定められた位置にあるもの（例えば、３番目のデータであるデータ３）。
例えば車両のドアの開閉状態を示すデータのような、状態すなわちデータ値の変化の頻度が比較的少ないものがある。このデータを復号コードとして用いることができる。例えば、ドアの開閉状態のデータで全てのドアが閉状態のときのデータ値を復号コードとして用いる。本処理の実行中にいずれかのドアが開状態であっても、復号コード受信のリトライ中に全ドアが閉状態（待機状態）となる確率が高いので、ドア状態の他にも待機状態である割合が高い（すなわち、データ値が変化しにくい）データは、復号コードに適している。また、送信元ＩＤや固定ＩＤに比べて、復号コードを解読される可能性も低くなる。
【００４３】
また、受信データのあて先ＩＤがＥＣＵ１を示すものではないものから復号コードを取得してもよい。こうすることで、どのデータから復号コードを取得しているかをより分かり難くすることができる。
【００４４】
どの受信データから、どのようにして復号コードを取得するかは、例えばＳＲＡＭ１４あるいはＭＡＳＫ ＲＯＭ１５に予め記憶されている。
【００４５】
次に、ＤＲＡＭ１３の（ＳＲＡＭ１４でもよい）暗号化データ格納領域１３ｃに転送された暗号化プログラム／データを、上述の復号コードを用いて復号する（Ｓ１６）。なお、暗号化アルゴリズムは、周知のＤＥＳ、ＭＤ４、ＡＥＳ等のうちのいずれを用いてもよい。また、復号したものは、データ情報１６ａに基づいて、復号データ格納領域１３ｄの所定位置（アドレス）に格納する。
【００４６】
復号が終了した暗号化プログラム／データは、直ちに消去してもよいし、次の初期化時（ステップＳ１１）まで保持してもよいし、暗号化データ格納領域１３ｃの容量に制限があるときには随時消去してもよい。
【００４７】
次に、復号が正常に行われたか否かを判定する。復号データ格納領域１３ｄに格納されたプログラムは、上述のように所定のアドレスに格納されている。すなわち、各プログラムの先頭アドレスは、外部記憶素子１６に記憶されたプログラムがバージョンアップされても、常に同じとなるように構成されている。
【００４８】
そこで、プログラムの開始アドレスから○○番目のデータが予め定められた値であるときに、復号が正常に行われたと判定することができる。図６に、その一例を示す。図６の例では、復号データ格納領域１３ｄのアドレス１０００Ｈ（１６進）に文字Ａを表すデータが、アドレス１８００Ｈに文字Ｂを表すデータが、アドレス２０００Ｈに文字Ｃを表すデータが、それぞれ格納されている。これらのデータは、ダミーのテーブルデータ、あるいは文字コード定義データとしてソースプログラム上にアドレスを指定して記述されている。
【００４９】
図６の例では、復号判定用のデータは３個であるが、３個より多くても少なくてもよい。また、復号判定用のデータを複数有し、そのデータをアドレス順に並べると、所定の意味を表す単語となるようにしてもよい。
【００５０】
復号が正常に行われたと判定したとき（Ｓ１７：ＹＥＳ）、復号データ格納領域１３ｄに格納されたプログラムのうち、本処理を終了し、予め指定されたプログラム（例えば、メイン周回処理）を実行する（Ｓ１８）。
【００５１】
一方、復号が正常に行われないとき（Ｓ１７：ＮＯ）、ステップＳ１６へ戻り、再度復号を行う。あるいは、ステップＳ１４へ戻り、新たな受信データから復号コードを取得して復号を行う。
【００５２】
図７を用いて、復号プログラム実行終了後の、復号データ格納領域１３ｄに格納されたプログラムを実行しているときに、暗号化されたプログラム／データを転送して復号する処理について説明する。なお、本処理は、例えばＭＡＳＫ ＲＯＭ１５に記憶され、予め定められたタイミング、あるいは、個々のプログラム終了時（次のプログラムを実行する前）に実行される。
【００５３】
まず、現在実行しているプログラムの次に実行されるプログラム／データを先読みする（Ｓ３１）。これは、例えば、現在実行中のアドレス（マイコン１１のプログラムカウンタから取得可能）より先を対象として、復号データ格納領域１３ｄで、次に呼び出されるプログラム／データのアドレスあるいはジャンプ先のアドレスを探すものである。
【００５４】
次に、復号データ格納領域１３ｄにおいて、上述のアドレスにプログラム／データが存在するか否か、すなわち、復号されたプログラム／データがあるか否かを調べる（Ｓ３２）。
【００５５】
上述のアドレスにプログラム／データが存在するとき（Ｓ３３：ＹＥＳ）、本処理を終了し、そのプログラムの実行タイミングが到来したときに、該プログラムを実行する（Ｓ４０）。一方、上述のアドレスにプログラム／データが存在しないとき（Ｓ３３：ＮＯ）、外部記憶素子１６から該当するプログラム／データをＤＲＡＭ１３（あるいはＳＲＡＭ１４）に転送する（Ｓ３４）。このとき、プログラム／データが暗号化されているときには暗号化データ格納領域１３ｃに記憶し、暗号化されていないときには復号データ格納領域１３ｄに記憶する。
【００５６】
プログラム／データが暗号化されているとき（Ｓ３５：ＹＥＳ）、復号コード格納領域１３ｂに記憶されている復号コードを読み出す（Ｓ３６）。図４のステップＳ１４のように、車内ＬＡＮ３１を介して、新たに受信データから復号コードを取得してもよい。
【００５７】
一方、プログラム／データが暗号化されていないとき（Ｓ３５：ＮＯ）、本処理を終了し、そのプログラムの実行タイミングが到来したときに、該プログラムを実行する（Ｓ４０）。
【００５８】
次に、図４のステップＳ１６と同様に、暗号化プログラム／データを、復号コードを用いて復号する（Ｓ３７）。そして、正常に復号されたとき（Ｓ３８：ＹＥＳ）、本処理を終了し、復号したプログラムの実行タイミングが到来したときに、該プログラムを実行する（Ｓ３９）。
【００５９】
一方、正常に復号されないとき（Ｓ３８：ＮＯ）、ステップＳ３７（あるいはステップＳ３６）へ戻り、再度復号を行う。また、車内ＬＡＮ３１を介して、新たに受信データから復号コードを取得してもよい。
【００６０】
予め定められたタイミングで、既に復号されている暗号化プログラム／データの復号を行ってもよい。例えば、該当するプログラム／データを実行中であるか否かを判定し、実行中でないときに復号を行う。これにより、正しく復号できなかったときや、ノイズ等による復号プログラムの意図しない書き換えが行われたとき、ＥＣＵ１の動作に対する影響を最小限に抑えることができる。また、復号データも、予め定められたタイミングで再取得してもよい。
【００６１】
以上、本発明の実施の形態を説明したが、これらはあくまで例示にすぎず、本発明はこれらに限定されるものではなく、特許請求の範囲の趣旨を逸脱しない限りにおいて、当業者の知識に基づく種々の変更が可能である。
【符号の説明】
【００６２】
１ ＥＣＵ
１１ 中央演算処理部
１２ マイコン（読出部，復号部，復号結果判定部）
１３ ＤＲＡＭ（内部記憶素子）
１４ ＳＲＡＭ（内部記憶素子）
１５ ＭＡＳＫ ＲＯＭ
１６ 外部記憶素子
１７ 通信Ｉ／Ｆ（復号コード取得部，通信部）
【特許請求の範囲】
【請求項１】
中央演算処理部と、
前記中央演算処理部の内部に設けられた内部記憶素子と、
前記中央演算処理部の外部に設けられ、暗号化されたデータを記憶する外部記憶素子と、
前記外部記憶素子から前記暗号化されたデータを読み出して前記内部記憶素子に記憶する読出部と、
外部装置から、前記暗号化されたデータを復号するための復号コードを取得する復号コード取得部と、
取得した前記復号コードに基づいて、前記内部記憶素子に記憶された前記暗号化されたデータを復号し、復号したデータを前記内部記憶素子に格納する復号部と、
を備えることを特徴とする電子制御装置。
【請求項２】
前記外部装置との通信を行う通信部を備え、
前記復号コード取得部は、前記通信部を介して受信する受信データのうち、予め定められた受信データを前記復号コードとして取得する請求項１に記載の電子制御装置。
【請求項３】
前記復号コード取得部は、前記受信データのうち、値の変動の頻度が小さい受信データを前記復号コードとして取得する請求項２に記載の電子制御装置。
【請求項４】
前記復号部における復号結果が正しいか否かを判定する復号結果判定部を備える請求項１ないし請求項３のいずれか１項に記載の電子制御装置。
【請求項５】
前記復号結果判定部は、復号されたデータの前記内部記憶素子における予め定められた1つ以上の位置の値が予め定められた値であるか否かによって前記復号結果が正しいか否かを判定する請求項４に記載の電子制御装置。
【請求項１】
中央演算処理部と、
前記中央演算処理部の内部に設けられた内部記憶素子と、
前記中央演算処理部の外部に設けられ、暗号化されたデータを記憶する外部記憶素子と、
前記外部記憶素子から前記暗号化されたデータを読み出して前記内部記憶素子に記憶する読出部と、
外部装置から、前記暗号化されたデータを復号するための復号コードを取得する復号コード取得部と、
取得した前記復号コードに基づいて、前記内部記憶素子に記憶された前記暗号化されたデータを復号し、復号したデータを前記内部記憶素子に格納する復号部と、
を備えることを特徴とする電子制御装置。
【請求項２】
前記外部装置との通信を行う通信部を備え、
前記復号コード取得部は、前記通信部を介して受信する受信データのうち、予め定められた受信データを前記復号コードとして取得する請求項１に記載の電子制御装置。
【請求項３】
前記復号コード取得部は、前記受信データのうち、値の変動の頻度が小さい受信データを前記復号コードとして取得する請求項２に記載の電子制御装置。
【請求項４】
前記復号部における復号結果が正しいか否かを判定する復号結果判定部を備える請求項１ないし請求項３のいずれか１項に記載の電子制御装置。
【請求項５】
前記復号結果判定部は、復号されたデータの前記内部記憶素子における予め定められた1つ以上の位置の値が予め定められた値であるか否かによって前記復号結果が正しいか否かを判定する請求項４に記載の電子制御装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【公開番号】特開２０１２−７０２１６（Ｐ２０１２−７０２１６Ａ）
【公開日】平成２４年４月５日（２０１２．４．５）
【国際特許分類】
【出願番号】特願２０１０−２１３２２８（Ｐ２０１０−２１３２２８）
【出願日】平成２２年９月２４日（２０１０．９．２４）
【出願人】（０００００４２６０）株式会社デンソー (27,639)
【Ｆターム（参考）】
【公開日】平成２４年４月５日（２０１２．４．５）
【国際特許分類】
【出願日】平成２２年９月２４日（２０１０．９．２４）
【出願人】（０００００４２６０）株式会社デンソー (27,639)
【Ｆターム（参考）】
[ Back to top ]