JP2024049544A - 車両制御装置 - Google Patents

Abstract

【課題】製造時においてマイコンの動作モードを確実にチェックモードに切り替える。【解決手段】セキュアブート用鍵が記憶可能な記憶部と、制御プログラムに基づいて車両の制御処理を実行するマイコンとを備える車両制御装置であって、マイコンは、記憶部におけるセキュアブート用鍵の記憶の有無に拘わらず動作モードをチェックモードに切り替える。【選択図】図１

Description

本発明は、車両制御装置に関する。

下記特許文献１には、鍵書き込み装置を用いて車両のＥＣＵ（エンジンコントロールユニット）に対して鍵の登録を行う技術が記載されている。ＥＣＵは、マイコンが所定の制御プログラムを実行することにより、車両の各部を制御するソフトウエア制御装置である。

国際公開第２０１８／１００７８９号

ところで、上記ＥＣＵは車両の各部を制御する車両制御装置である。上記ＥＣＵには、製造上の安全性（セキュリティ）を担保するためにマスタ鍵とセキュアブート用鍵とを記憶させる場合がある。これらマスタ鍵及びセキュアブート用鍵を記憶するタイプのＥＣＵでは、マスタ鍵及びセキュアブート用鍵を用いて安全性を先行確認した上で、動作モードをチェックモードに移行させて制御機能のチェックを行う。
しかしながら、ＥＣＵがマスタ鍵またはセキュアブート用鍵を記憶していない状態では、マイコンの動作モードをチェックモードに切り替えることができないために制御機能のチェックを行うことができないという問題がある。

本発明は、上述した事情に鑑みてなされたものであり、製造時においてマイコンの動作モードを確実にチェックモードに切り替えることが可能な車両制御装置を提供することを目的とする。

上記目的を達成するために、本発明では、車両制御装置に係る解決手段として、セキュアブート用鍵が記憶可能な記憶部と、制御プログラムに基づいて車両の制御処理を実行するマイコンとを備える車両制御装置であって、前記マイコンは、前記記憶部における前記セキュアブート用鍵の記憶の有無に拘わらず動作モードをチェックモードに切り替える、という手段を採用する。

本発明によれば、製造時においてマイコンの動作モードを確実にチェックモードに切り替えることが可能な車両の製造方法を提供することが可能である。

本発明の一実施形態に係る車両制御装置Ａの機能構成を示すブロック図である。 本発明の一実施形態に係る車両制御装置Ａの動作を示すフローチャートである。

以下、図面を参照して、本発明の一実施形態について説明する。
本実施形態に係る車両制御装置Ａは、車両を制御対象とするソフトウエア制御装置である。この車両制御装置Ａは、工場における製造段階を経て車両に搭載され、車両の走行動力を発生させるエンジンやモータ等を制御する。

より具体的には、車両制御装置Ａは、図１に示すように記憶部１とマイコン２とを少なくとも備えている。記憶部１は、エンジンやモータ等の被制御部Ｘをソフトウエア制御するための制御プログラム１ａを記憶する記憶領域に加え、車両制御装置Ａの安全性（セキュリティ）を担保するためのマスタ鍵１ｂ及びセキュアブート鍵１ｃを記憶する記憶領域を備えた集積回路である。

この記憶部１における制御プログラム１ａの記憶領域及びマスタ鍵１ｂ及びセキュアブート鍵１ｃの記憶領域は、いずれも不揮発性の記憶領域である。このような各記憶領域には、工場における車両制御装置Ａの製造段階において専用の書込装置を用いることにより、制御プログラム１ａ、マスタ鍵１ｂ及びセキュアブート鍵１ｃが各々書き込まれる。

制御プログラム１ａは、マイコン２によって実行されるアプリケーションプログラムである。すなわち、この制御プログラム１ａは、所定のＯＳ（Operating System）上で動作することにより、マイコン２に車両の制御処理を実行させる。

マスタ鍵１ｂは、オールマイティな権限が付帯する所定符号長の暗号である。このマスタ鍵１ｂは、記憶部１における書込みの有無によってマイコン２の処理動作を規制するものであり、これによって製造過程における車両制御装置Ａの安全性（セキュリティ）を担保する。

セキュアブート鍵１ｃは、セキュアブートの権限が付帯する所定符号長の暗号である。マイコン２の起動時には、最初にＯＳが所定のブートモード（起動モード）で作動することによってアプリケーションプログラムを実行する上で必要な動作環境を設定するが、ブートモードには幾つかの種類がある。

セキュアブートは、ブートモードの１つであり、マイコン２ の起動（ブート） 時に不正なソフトウェアを読み込まないものである。本実施形態におけるセキュアブート鍵１ｃは、記憶部１に書き込まれることによって、マイコン２におけるセキュアブートの実行を許容させる。

マイコン２は、外部バスを介してデータの送受信可能に記憶部１と接続されている。また、マイコン２は、外部信号線を介して信号の送受信可能に被制御部Ｘと接続されている。このようなマイコン２は、上述したＯＳの下で制御プログラム１ａ（アプリケーションプログラム）を実行することにより、エンジンやモータ等の被制御部Ｘを制御する集積回路である。

マイコンは、起動時においてＯＳを先行して実行することによって制御プログラム１ａ（アプリケーションプログラム）の実行が可能な状態となる。このマイコンは、制御プログラム１ａを実行することによって被制御部Ｘを制御するために必要な各種の制御信号を生成して被制御部Ｘに出力する。

被制御部Ｘは、車両において走行動力を発生させるエンジンやモータ等である。この被制御部Ｘは、エンジンを動力源とするエンジン車両ではスロットルバルブや燃料噴射弁等である。また、被制御部Ｘは、モータを動力源とする電動車両ではＰＣＵ（パワーコントロールユニット）等である。

次に、本実施形態に係る車両制御装置Ａの要部動作について、図２のフローチャートを参照して詳しく説明する。

本実施形態における要部動作は、マイコン２の起動時における動作である。マイコン２は、電源が投入された場合及びリセット操作された場合に起動動作を行う。マイコン２は、この起動動作において最初にセキュアブート鍵１ｃの有無を判断する（ステップＳ１）。

すなわち、マイコン２は、ＯＳに基づく処理として記憶部１にセキュアブート鍵１ｃが書き込まれているか否かを判断する。そして、マイコン２は、記憶部１にセキュアブート鍵１ｃが書き込まれていない場合、つまりステップＳ１の判断結果が「Ｎｏ」の場合、続いてマスタ鍵１ｂの有無を判断する（ステップＳ２）。

すなわち、マイコン２は、ＯＳに基づく処理として記憶部１にマスタ鍵１ｂが書き込まれているか否かを判断する。そして、マイコン２は、記憶部１にマスタ鍵１ｂが書き込まれていない場合、つまりステップＳ２の判断結果が「Ｎｏ」の場合、チェックモードに移行する（ステップＳ３）。

このチェックモードは、マイコン２の動作モードの１つであり、自身が備えている各種の制御機能の健全性をチェック（確認）する動作モードである。マイコン２は、このようなチェックモードを実行することにより、制御プログラム１ａ（アプリケーションプログラム）の実行前の段階で自身の制御機能の健全性を検証することができる。

一方、マイコン２は、記憶部１にセキュアブート鍵１ｃが書き込まれている場合、つまりステップＳ１の判断結果が「Ｙｅｓ」の場合には、セキュアブートを実行する（ステップＳ４）。また、マイコン２は、記憶部１にマスタ鍵１ｂが書き込まれている場合、つまりステップＳ２の判断結果が「Ｙｅｓ」の場合には、セキュアブートを実行する（ステップＳ４）。

そして、マイコン２は、セキュアブートの実行過程で異常を検出しなかった場合、つまりセキュアブートを正常に実行し終えると、ステップＳ３のチェックモードに移行する（ステップＳ５）。一方、マイコン２は、セキュアブートの実行過程で何らかの異常を検出すると、つまりセキュアブートを正常に実行できなかった場合には他のBootモードに移行する（ステップＳ５）。

本実施形態に係る車両制御装置によれば、セキュアブート用鍵１ｃが事前に記憶部１に書き込まれていない状態でもマイコン２の状態を確実にチェックモードに切り替えることができる。すなわち、本実施形態によれば、工場において確実にマイコン２の状態をチェックモードに切り替えることが可能な車両制御装置Ａを提供することが可能である。

なお、本発明は上記実施形態に限定されるものではなく、例えば以下のような変形例が考えられる。
（１）上記実施形態では、セキュアブート用鍵１ｃが事前に記憶部１に書き込まれているか否かの確認に加えて、マスタ鍵１ｂが事前に記憶部１に書き込まれているか否かを確認したが、本発明はこれに限定されない。セキュアブート用鍵１ｃが事前に記憶部１に書き込まれているか否かを少なくとも確認すればよい。

（２）上記実施形態では、セキュアブート用鍵１ｃが事前に記憶部１に書き込まれているか否かの確認を先行して行い、マスタ鍵１ｂが事前に記憶部１に書き込まれているか否かの確認を後に行ったが、本発明はこれに限定されない。マスタ鍵１ｂの確認を先行して行い、セキュアブート用鍵１ｃの確認を後に行ってもよい。

（付記１）
セキュアブート用鍵が記憶可能な記憶部と、制御プログラムに基づいて車両の制御処理を実行するマイコンとを備える車両制御装置であって、
前記マイコンは、前記記憶部における前記セキュアブート用鍵の記憶の有無に拘わらず動作モードをチェックモードに切り替える車両制御装置。

（付記２）
前記マイコンは、前記セキュアブート用鍵が前記記憶部に記憶されている場合、セキュアブートモードを経てチェックモードに移行する付記１に記載の車両制御装置。

（付記３）
前記記憶部はマスタ鍵をも記憶可能であり、
前記マイコンは、前記記憶部における前記マスタ鍵又は前記セキュアブート用鍵の記憶の有無に拘わらず動作モードをチェックモードに切り替える付記１又は２に記載の車両制御装置。

Ａ ＥＣＵ（車両制御装置）
Ｘ 被制御部
１ 記憶部
１ａ 制御プログラム
１ｂ マスタ鍵
１ｃ セキュアブート用鍵
２ マイコン

Claims (3)

1. セキュアブート用鍵が記憶可能な記憶部と、制御プログラムに基づいて車両の制御処理を実行するマイコンとを備える車両制御装置であって、
   前記マイコンは、前記記憶部における前記セキュアブート用鍵の記憶の有無に拘わらず動作モードをチェックモードに切り替える車両制御装置。
2. 前記マイコンは、前記セキュアブート用鍵が前記記憶部に記憶されている場合、セキュアブートモードを経てチェックモードに移行する請求項１に記載の車両制御装置。
3. 前記記憶部はマスタ鍵をも記憶可能であり、
   前記マイコンは、前記記憶部における前記マスタ鍵又は前記セキュアブート用鍵の記憶の有無に拘わらず動作モードをチェックモードに切り替える請求項１又は２に記載の車両制御装置。
   

Images