JP6461272B1 - 制御装置 - Google Patents

Abstract

【課題】決められた条件下では、起動の度に実施するセキュアブート処理を無くすことで安全を確保しつつ高速に起動できる制御装置を得る。【解決手段】制御に関わる状態情報を入手する状態情報入手手段１１２、制御データを格納する第一記憶領域１２０、状態情報を格納する第二記憶領域１２１、第一記憶領域のデータから生成された期待値を格納する第三記憶領域１２２、第一記憶領域のデータから検証値を生成する検証値生成手段１１４、期待値と検証値から制御手段１１０を実施するかを判定する第一の判定手段１１５、状態情報から第一の判定手段を実施するかを判定する第二の判定手段１１６を備え、制御手段を停止する際に、状態情報を入手して第二の記憶領域に格納し、制御手段の起動前に、再び状態情報を入手し、第二の判定手段は、停止時の状態情報と起動時の状態情報から第一の判定手段を実施するかを判定する。【選択図】図１

Description

この発明は、セキュリティに対する安全を確保しつつ、高速に起動できる制御装置に関するものである。

車両には、ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）と呼ばれる制御装置が複数搭載されており、ＥＣＵは他のＥＣＵや車両外の通信機器と通信によって接続されるため、不正に侵入される恐れがある。不正に侵入されると、ＥＣＵのプログラムデータが改ざんされ、遠隔操作される可能性がある。

ＥＣＵのデータ改ざんへの対策の一つとして、セキュアブートが知られている。セキュアブートは、暗号技術を用いて事前にデータから作成しておいた期待値と、データからその時点で作成した検証値との完全性を検証し、データの改ざんを検知する技術である。ＥＣＵの制御に関する処理が起動する前にＥＣＵが前回終了時からデータが改ざんされていないか検証することにより、制御を正常な状態で起動できるか判断することができる。

一方で、ＥＣＵは起動時間の制約が厳しく、セキュアブートの処理時間はＥＣＵの起動時間の制約（制御が開始するまでの要求時間）内に収めなければならない。そのため、ＥＣＵを安全に起動するためには、セキュアブート処理時間の短縮化が求められる。

特許文献１では、上記の課題を解決するために、保存しておいたプログラムリストを参照して、対象のプログラムまたはデータが、検証が必要なプログラムまたはデータであるか否かを判定し、検証が必要なプログラムまたはデータである場合に、対象のプログラムまたはデータの検証を実施することで、検証範囲を最小限に留め、セキュアブート処理を高速に安全に起動することができる。

特開２０１７−３３２４８号公報

しかしながら、特許文献１の技術を適用すると、次のような課題がある。セキュアブートにおいて、検証範囲を最小限に留めたところで、起動の度にセキュアブート処理が実施されるため、処理時間がかかり、セキュアブートを実施しない場合に比べて処理時間が増加してしまう。

この発明は、上記のような課題を解決するためになされたものであり、決められた条件下では、起動の度に実施するセキュアブート処理を無くすことで、セキュアブート処理が実施されない通常起動時間に近いＥＣＵの起動時間にした制御装置を得ることを目的とするものである。

この発明の制御装置は、制御対象を制御する制御手段と、制御手段の起動を制御する制御起動手段と、制御に関わる状態情報を入手する状態情報入手手段と、制御手段が制御に必要とするデータを格納する第一の記憶領域と、状態情報入手手段が入手した状態情報を格納する第二の記憶領域と、第一の記憶領域のデータから生成された期待値を格納する第三の記憶領域と、第一の記憶領域のデータから検証値を生成する検証値生成手段と、第三の記憶領域に格納される期待値と検証値生成手段による検証値から制御手段を実施するかを判定する第一の判定手段と、一つ以上の状態情報から第一の判定手段を実施するかを判定する第二の判定手段とを備え、制御手段を停止する際に、状態情報入手手段から状態情報を入手して第二の記憶領域に格納し、制御手段の起動前に、再び状態情報を入手し、第二の判定手段は、停止時の状態情報と起動時の状態情報から第一の判定手段を実施するかどうかを判定するものである。

この発明によれば、制御装置の起動時に行われるセキュアブートの処理時間を特定の条件下では検証を実施しないことで、制御装置の起動時間をセキュアブート処理が実施されない通常起動時間と同等にすることができるため、安全かつ高速にＥＣＵを起動させることができる。

この発明の実施の形態１における制御システムの構成を示すブロック図である。 この発明の実施の形態１による制御装置の終了時の処理の流れを示す図である。 この発明の実施の形態１による制御装置の起動時の処理の流れを示す図である。 この発明の実施の形態２における制御システムの構成を示すブロック図である。 この発明の実施の形態２による制御装置の終了時の処理の流れを示す図である。 この発明の実施の形態２による制御装置の起動時の処理の流れを示す図である。

以下、この発明の制御装置を各実施の形態に従って図面を用いて説明する。なお、各実施の形態において、同一もしくは相当部分は同一符号で示し、重複する説明は省略する。

実施の形態１．
図１はこの発明の実施の形態１に係る制御装置の一例として、安全かつ高速に起動可能とする起動方法が実施される車両制御システムの構成を示す。ここで、車両制御システムはモータ制御装置１００と制御対象となる駆動用モータ１０１で構成するものとする。車両制御システムには、図１に示す以外の構成物も備えているが、この実施の形態１に直接関係しないものについては図示を省略している。

モータ制御装置１００は、駆動用モータ１０１に接続され、これを制御する。モータ制御装置１００の構成と機能について簡単に説明する。制御手段１１０は、駆動用モータ１０１の制御に関わる制御量や各種処理値を演算する。停止手段１１１は、モータ制御装置１００への電源の供給を停止することで動作を終了させる。状態情報入手手段１１２は、モータ制御装置１００自体がもつ制御に関わる状態を示す状態情報のデータを収集する。ここでは、カウント手段１１７がカウントするカウント値を収集する。制御起動手段１１３は、第一の判定手段１１５と第二の判定手段１１６の結果に基づき、制御手段１１０を起動させる。

検証値生成手段１１４は、第一の記憶領域１２０に格納されているデータから検証値を生成する。第一の判定手段１１５は、第三の記憶領域１２２に格納される期待値と検証値生成手段１１４による検証値から制御手段１１０を実施するか否かを判定する。第二の判定手段１１６は、第二の記憶領域１２１に格納されている状態情報（カウント値）と、状態情報入手手段１１２が入手した状態情報（カウント値）とを比較し、比較結果が所定の範囲内に収まっているかにより、第一の判定手段１１５を実施するか否かを判定する。カウント手段１１７は、モータ制御装置１００が起動するたびに保有するカウンタ値をインクリメントする。

ここでは、モータ制御装置１００は、車両のＩＧ（イグニッション）スイッチの状態に応じて電源が供給されたり、制御装置がリセットされたりすれば起動するものとする。起動モード確認手段１１８は、起動時に要求される起動モードを確認する。ここでは、起動モードとして、駆動用モータ１０１の制御をおこなう制御モードと、第一の記憶領域１２０と第三の記憶領域１２２の格納データを書き換える書き換えモードが用意される。書き換えモードへの要求は制御装置の外部からテスター等が接続されたときに実施される。記憶領域書き換え手段１１９は、第一の記憶領域１２０と第三の記憶領域１２２の格納データを実際に書き換える手段となる。

次に第一の記憶領域１２０は、制御手段１１０が制御に必要とするデータを格納する。第二の記憶領域１２１は、状態情報入手手段１１２が入手した状態情報を格納する。第三の記憶領域１２２は、第一の記憶領域１２０に格納するデータからあらかじめ生成しておいた期待値を格納する。これらの記憶領域はデバイスごと分けることが望ましいが、一つのデバイス上で別領域として定義してもよい。

次に、実施の形態１に係る車両制御システムのモータ制御装置１００の停止時、起動時の処理の流れについて、それぞれ図２および図３のフローチャートを用いて説明する。図２の停止時の処理は、車両内のＩＧスイッチがＯＦＦにされたことの検知などをトリガーとして、モータ制御装置１００を停止させるときの最後の処理として実行される。図３の起動時の処理は、車両内のＩＧスイッチがＯＮにされるなどをトリガーとして、モータ制御装置１００へ電源が供給されたり、リセットされたりして起動したときに最初に実行される。

まず、モータ制御装置１００の停止時の処理について図２を用いて説明する。
図２において、ステップＳ２０１は、制御手段１１０がモータ制御に係る処理を停止しているかを確認する。制御が終了していれば（Ｙｅｓ）、ステップＳ２０２へ進み、制御が終了していない場合（Ｎｏ）は、終了まで待機する。続いて、ステップＳ２０２において、状態情報入手手段１１２が、カウント手段１１７が保有するカウント値を状態情報として収集する。ステップＳ２０３において、状態情報入手手段１１２は、収集したカウント値を第二の記憶領域１２１に格納を試みる。続いて、ステップＳ２０４において、格納が完了していれば（Ｙｅｓ）、ステップＳ２０５へ進み、格納が完了していない場合（Ｎｏ）は、ステップＳ２０３へ戻る。
ステップＳ２０５において、停止手段１１１が、電源リレー等を制御することにより、モータ制御装置１００への電源供給を停止してモータ制御装置１００を停止させる。

次に、モータ制御装置１００の起動時の処理について図３を用いて説明する。
図３において、ステップＳ３０１は、カウント手段１１７は自信が保有するカウント値を更新する。ここでは保有しているカウント値を＋１とする。
ステップＳ３０２において、起動モード確認手段１１８が起動モードを確認する。駆動用モータ１０１の制御をおこなう制御モードであれば、ステップＳ３０３へ進み、第一の記憶領域１２０と第三の記憶領域１２２の格納データを書き換える書き換えモードであれば、ステップＳ３１０へ進む。

ステップＳ３０３において、状態情報入手手段１１２は、カウント手段１１７が保有するカウント値を状態情報として収集する。続いて、ステップＳ３０４において、カウント値の収集が完了していれば（Ｙｅｓ）、ステップＳ３０５へ進み、カウント値の収集が完了していない場合（Ｎｏ）は、完了まで待機する。
ステップＳ３０５において、第二の判定手段１１６が、第二の記憶領域１２１に格納されているカウント値と、ステップＳ２０２で状態情報入手手段１１２が入手したカウント値とを比較する。続いて、ステップＳ３０６において、カウント値の比較結果が所定値として＋１の範囲に入っているか否かを判断する。範囲に入っている場合（Ｙｅｓ）は、ステップＳ３１１へ進み、範囲に入っていない場合（Ｎｏ）は、ステップＳ３０７へ進む。

ステップＳ３０７において、検証値生成手段１１４が、第一の記憶領域１２０に格納されているデータから検証値を生成する。ステップＳ３０８において、第一の判定手段１１５が、第三の記憶領域１２２に格納される期待値とステップＳ３０７で生成した検証値を比較判定する。
続いて、ステップＳ３０９において、期待値と検証値の比較結果が同じであれば（Ｙｅｓ）、ステップＳ３１１へ進み、比較結果が異なれば（Ｎｏ）、制御手段１１０を実施せずに処理を終了する。なお、ステップＳ３０７、ステップＳ３０８、ステップＳ３０９がセキュアブート処理として処理時間を要する部分となる。

ステップＳ３１０において、記憶領域書き換え手段１１９は、第一の記憶領域１２０の格納データを書き換えるとともに、第三の記憶領域１２２に第一の記憶領域１２０に格納したデータからあらかじめ生成した期待値を書き込む。その後、制御手段１１０を実施せずに処理を終了する。なお、記憶領域書き換え手段１１９に関しては実施の形態の動作、効果には影響しないため特に限定しない。
ステップＳ３１１において、制御起動手段１１３は制御手段１１０を起動させる。

以上のように、図１の構成で、モータ制御装置１００は、停止時に図２に示すフローに従って、状態情報として自身が持つカウンタ値を格納しておく。その後、モータ制御装置１００を起動するときには、図３に示すフローに従って、格納しておいたカウンタ値と、再度収集したカウンタ値との差分が所定の範囲に入っているかを確認し、所定の範囲に入っているときには、モータ制御装置１００を終了してから本起動までに一度も起動されていないと判断し、処理時間が発生する検証値作成（ステップＳ３０７）、第一の判定手段の実施（ステップＳ３０８）、判定結果の確認（ステップＳ３０９）を実施せずに制御手段１１０を起動させることができる。

このような車両制御システムによれば、モータ制御装置１００の停止時の状態情報と、起動時の状態情報の比較によって、停止中に書き換えの為等で起動されていないことや、意図せず起動されていないことが確認できれば、起動時の検証処理を割愛するので、セキュリティに対する安全を確保しつつ高速に制御装置を起動することができる。

なお、実施の形態１において、状態情報をカウンタ値として説明したがこれに限るものではない。モータ制御装置１００が保有するバックアップ用に保有する電池の電圧値などのアナログ値を用いても、ステップＳ３０６で用いる検証時の範囲を適切に定めることで停止中に意図せず起動されていないこと、短時間での再起動であることを検出し、起動時の検証処理を割愛するので、安全かつ高速に制御装置を起動することができる。

また、状態情報は、第二の記憶領域１２１に格納するときに暗号化し、状態情報を比較するときに復号化すれば、状態情報そのものを改ざんされる可能性が下がり、セキュリティに対する安全性を高めることができる。

実施の形態２．
次にこの発明の実施の形態２に係る制御装置を図４から図６に基づいて説明する。
図４はこの発明の実施の形態２に係る制御装置の一例として、安全かつ高速に起動可能とする起動方法が実施される車両制御システムの構成を示す。実施の形態２に係る車両制御システムは、上記実施の形態１で記したモータ制御装置１００と駆動用モータ１０１で構成される車両制御システムに加えて、ドア制御装置４１０を含んで構成される。
なお、図４において、各制御装置１００、４１０は、図４に示す以外の構成物も備えているが、実施の形態２に直接関係しないものについては図示を省略し、図１に示す実施の形態１において説明したものについては、同じ符号を付して説明を省略する。

実施の形態２に係る車両制御システムにおいては、モータ制御装置１００とドア制御装置４１０は、車両の通信線としてＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）ネットワーク４００を介して互いに通信可能に接続されている。
まず、実施の形態２に係るモータ制御装置１００の追加された構成と機能について簡単に説明する。データ送受信手段４０１は、ＣＡＮネットワーク４００を介して、接続されたドア制御装置４１０とデータを送受信する。

ドア制御装置４１０は、車両のドアモジュール４１１に接続され、ドアのロック／アンロックを制御する。ドア制御装置４１０の構成と機能について簡単に説明する。第二の制御手段４２０は、ドアモジュール４１１に関わる制御を実施する。記憶領域４２１は、第二の制御手段４２０が制御に必要とするデータを格納する。状態検出手段４２２は、ドアに関する状態情報として、ここでは運転席のドア開閉回数を収集する。ただし、状態情報は、これに限るものではない。第二のデータ送受信手段４２３は、ＣＡＮネットワーク４００を介して接続されたモータ制御装置１００のデータ送受信手段４０１とデータを送受信する。

次に、実施の形態２に係る車両制御システムのモータ制御装置１００の停止時、起動時の処理の流れについて、それぞれ図５および図６のフローチャートを用いて説明する。図５の停止時の処理は、車両内のＩＧスイッチがＯＦＦにされたことの検知などをトリガーとして、モータ制御装置１００を停止させるときに最後の処理として実行される。図６の起動時の処理は、車両内のＩＧスイッチがＯＮにされるなどをトリガーとして、モータ制御装置１００へ電源が供給されたり、リセットされたりして起動したときに最初に実行される。

まず、モータ制御装置１００の停止時の処理について図５を用いて説明する。
図５において、ステップＳ５０１は、制御手段１１０がモータ制御に係る処理を停止しているかを確認する。制御が終了していれば（Ｙｅｓ）、ステップＳ５０２へ進み、制御が終了していない場合（Ｎｏ）は、終了まで待機する。
続いて、ステップＳ５０２において、状態情報入手手段１１２が、データ送受信手段４０１を用いて、ドア制御装置４１０へ状態情報の送付を依頼する。続いて、ステップＳ５０３において、状態情報としてドア開閉回数の受信が完了していれば（Ｙｅｓ）、ステップＳ５０４へ進み、受信が完了していない場合（Ｎｏ）は、受信まで待機する。

ステップＳ５０４において、状態情報入手手段１１２は、受信し、収集したドア開閉回数を第二の記憶領域１２１に格納を試みる。続いて、ステップＳ５０５において、格納が完了していれば、ステップＳ５０６へ進み、格納が完了していない場合は、ステップＳ５０４へ戻る。
ステップＳ５０６において、停止手段１１１が、電源リレー等を制御することにより、モータ制御装置１００への電源供給を停止してモータ制御装置１００を停止させる。

次に、モータ制御装置１００の起動時の処理について図６を用いて説明する。
図６において、ステップＳ６０１は、モータ制御装置１００が、データ送受信手段４０１を起動させる。ステップＳ６０２において、起動モード確認手段１１８が、起動モードを確認する。起動モードが駆動用モータ１０１の制御をおこなう制御モードであれば、ステップＳ６０３へ進み、第一の記憶領域１２０と第三の記憶領域１２２の格納データを書き換える書き換えモードであれば、ステップＳ６１０へ進む。

ステップＳ６０３において、状態情報入手手段１１２が、データ送受信手段４０１を用いて、ドア制御装置４１０へ状態情報の送付を依頼する。続いて、ステップＳ６０４において、状態情報としてドア開閉回数の受信が完了していれば（Ｙｅｓ）、ステップＳ６０５へ進み、受信が完了していない場合（Ｎｏ）は、受信まで待機する。
ステップＳ６０５において、第二の判定手段１１６が、第二の記憶領域１２１に格納されているドア開閉回数と、ステップＳ６０４で状態情報入手手段１１２が入手したドア開閉回数とを比較する。続いて、ステップＳ６０６において、比較結果が所定値として＋１の範囲に入っているか否かを判断する。範囲に入っている場合（Ｙｅｓ）は、ステップＳ６１１へ進み、範囲に入っていない場合（Ｎｏ）は、ステップＳ６０７へ進む。

ステップＳ６０７において、検証値生成手段１１４が、第一の記憶領域１２０に格納されているデータから検証値を生成する。ステップＳ６０８において、第一の判定手段１１５が、第三の記憶領域１２２に格納される期待値とステップＳ６０７で生成した検証値を比較判定する。
続いて、ステップＳ６０９において、比較結果が同じであれば（Ｙｅｓ）、ステップＳ６１１へ、比較結果が異なれば（Ｎｏ）、制御手段１１０を実施せずに処理を終了する。なお、ステップＳ６０７、ステップＳ６０８，ステップＳ６０９がセキュアブート処理として処理時間を要する部分となる。

ステップＳ６１０において、記憶領域書き換え手段１１９は、第一の記憶領域１２０の格納データを書き換えるとともに、第三の記憶領域１２２に第一の記憶領域１２０に格納したデータからあらかじめ生成した期待値を書き込む。その後、制御手段１１０を実施せずに処理を終了する。なお、書き換え手段に関しては実施の形態の動作、効果には影響しないため特に限定しない。
ステップＳ６１１において、制御起動手段１１３は、制御手段１１０を起動させる。

以上のように、図４の構成で、モータ制御装置１００は、停止時に、図５に示すフローに従って、状態情報として、ドア制御装置４１０から受信したドア開閉回数を格納しておく。その後、モータ制御装置１００を起動するときには、図６に示すフローに従って、格納しておいたア開閉回数と再度ドア制御装置４１０から受信したドア開閉回数とを比較し、値の差分が所定の範囲に入っているかを確認し、所定の範囲に入っているときには、制御装置を終了してから本起動までに誰も車両に入っていない（制御装置にアクセスしていない）と判断し、処理時間が発生する検証値作成（ステップＳ６０７）、第一の判定手段の実施（ステップＳ６０８）、判定結果の確認（ステップＳ６０９）を実施せずに制御手段１１０を起動させることができる。

このような車両制御システムによれば、停止時の状態情報と、起動時の状態情報を比較によって停止中に書き換えの為に起動されていないことや、意図せず起動されていないことを確認できれば、起動時の検証処理を割愛するので、セキュリティに対する安全を確保しつつ高速に制御装置を起動することができる。

なお、実施の形態２において、状態情報をドア制御装置４１０が持つドアの開閉回数として説明したがこれに限るものではない。他の制御装置が持つ車両にアクセスを示せる状態情報を用いて、ステップＳ６０６で用いる検証時の範囲を適切に定めることで停止中に意図せず起動されていないことを検出し起動時の検証処理を割愛して、安全かつ高速に制御装置を起動することができる。また他の制御装置が持つ時間情報などを用いて、ステップＳ６０６で用いる検証時の範囲を適切に定めることで短時間での再起動であることを検出し、その場合には、セキュリティに対する安全を確保されているとみなし起動時の検証処理を割愛して、安全かつ高速に制御装置を起動することができる。

また、状態情報は、第二の記憶領域１２１に格納するときに、暗号化し、状態情報を比較するときに複合化すれば、状態情報そのものを改ざんされる可能性が下がり、セキュリティに対する安全性を高めることができる。
さらに、状態情報を送受するときに暗号化し、受信後に複合化することで、ＣＡＮネットワーク４００上で状態情報を改ざんされる可能性が下がり、セキュリティに対する安全性を高めることができる。
また、実施の形態２では、通信線としてＣＡＮネットワーク４００を挙げて説明したが、ネットワークの種類はこれに限るものではない。

以上、この発明の実施の形態を記述したが、この発明は実施の形態に限定されるものではなく、種々の設計変更を行うことが可能であり、その発明の範囲内において、各実施の形態を自由に組み合わせたり、各実施の形態を適宜、変形、省略することが可能である。

この発明は、車両制御システムのモータ制御装置として利用できる他、ＥＣＵで制御される制御装置を含むシステムであれば、起動時の記憶領域の検証手段としてどのような制御装置にも利用することができる。

１００：モータ制御装置、１０１：駆動用モータ、１１０：制御手段、１１１：停止手段、１１２：状態情報入手手段、１１３：制御起動手段、１１４：検証値生成手段、１１５：第一の判定手段、１１６：第二の判定手段、１１７：カウント手段、１１８：起動モード確認手段、１１９：記憶領域書き換え手段、１２０：第一の記憶領域、１２１：第二の記憶領域、１２２：第三の記憶領域、４００：ＣＡＮネットワーク、４０１：データ送受信手段、４１０：ドア制御装置、４１１：ドアモジュール、４２０：第二の制御手段、４２１：記憶領域、４２２：状態検出手段、４２３：第二のデータ送受信手段。

Claims (4)

1. 制御対象を制御する制御手段と、前記制御手段の起動を制御する制御起動手段と、制御に関わる状態情報を入手する状態情報入手手段と、前記制御手段が制御に必要とするデータを格納する第一の記憶領域と、前記状態情報入手手段が入手した状態情報を格納する第二の記憶領域と、前記第一の記憶領域のデータから生成された期待値を格納する第三の記憶領域と、前記第一の記憶領域のデータから検証値を生成する検証値生成手段と、前記第三の記憶領域に格納される期待値と前記検証値生成手段による検証値から前記制御手段を実施するかを判定する第一の判定手段と、一つ以上の状態情報から前記第一の判定手段を実施するかを判定する第二の判定手段とを備え、
   前記制御手段を停止する際に、前記状態情報入手手段から状態情報を入手して前記第二の記憶領域に格納し、前記制御手段の起動前に、再び状態情報を入手し、前記第二の判定手段は、停止時の前記状態情報と起動時の前記状態情報から前記第一の判定手段を実施するかどうかを判定することを特徴とする制御装置。
2. 前記制御装置の第二の判定手段は、停止時の前記状態情報と起動時の前記状態情報との差分が所定の範囲内であるときに、前記第一の判定手段を実施しないと判定することを特徴とする請求項１に記載の制御装置。
3. 前記状態情報入手手段は、制御装置内の情報から状態情報を入手することを特徴とする請求項１または請求項２に記載の制御装置。
4. 前記制御装置は他の制御装置と通信線で接続され、前記通信線を介してデータの送受信を実施する送受信手段を備え、前記状態情報入手手段は、前記送受信手段により他の制御装置から状態情報を入手することを特徴とする請求項１に記載の制御装置。

Images