JP2001202266A

JP2001202266A - 車載制御ユニットの検査方法

Info

Publication number: JP2001202266A
Application number: JP2000012803A
Authority: JP
Inventors: Kiyonari Nakayama; 聖也中山; Kenji Kamiya; 健治神谷; Chizuru Aoki; 千鶴青木
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2000-01-21
Filing date: 2000-01-21
Publication date: 2001-07-27

Abstract

(57)【要約】【課題】車載制御ユニットを正しく検査し、ひいては不
正改造の防止を図る。【解決手段】ＥＣＵ１０は周知のマイコン１１を備え、
マイコン１１は、各種制御の中枢をなすＣＰＵ１２、電
気的に消去及び書き込み可能なフラッシュメモリ１３、
その他図示しない入出力回路等を備える。外部ツール２
０も同様に、ＣＰＵ、メモリ、入出力回路等からなる周
知のマイコン２１を備える。ＥＣＵ１０の正偽判定（検
査）に際し、外部ツール２０では先ず、サム値算出指令
と乱数とを含む送信データをＥＣＵ１０に送信する。Ｅ
ＣＵ１０では、フラッシュメモリ１３内のデータのサム
値を算出すると共に、所定の暗号化アルゴリズムを用
い、乱数に応じてサム値を暗号化する。その後、暗号化
サム値を外部ツール２０に送信する。外部ツール２０で
は、復号化したサム値と予め登録されている真のサム値
とを比較判定し、その結果によりＥＣＵ１０が正常か異
常かを判断する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、車載制御ユニット
の検査方法に関するものである。

【０００２】

【従来の技術】この種の従来技術として、特開平１１−
１３２０９７号公報の「車両制御用メモリ書き換え装
置」がある。同公報の装置は、外部ツールにより電気的
に消去及び書き込み可能な制御メモリ（フラッシュメモ
リ）を搭載したＥＣＵ（車載制御ユニット）を備え、書
き換え許可された時にのみ前記制御メモリに対するデー
タ書き換えが実施される。また、この装置は、制御メモ
リが記憶するソフトウエア（制御プログラム）が正しい
ことを検査するものであり、その特徴として、・予め記憶しておいた制御メモリのサム値（真値）と、
ＥＣＵで算出したサム値とを共に表示し、それらを比較
することで正偽判定を行う。・上記サム値の比較は外部ツールの内部で行い、その結
果（正偽）のみを返信する。・イグニッションキースイッチのＯＦＦからＯＮへの切
換後にサム値の計算を行う。といった処理を実行する。

【０００３】

【発明が解決しようとする課題】上記公報の従来技術で
は、ＥＣＵで計算したサム値を外部ツールに対してその
まま送信する。そのため、ＥＣＵと外部ツールとの通信
データをモニタすることにより、ＥＣＵにより算出した
正しいサム値を容易に知り得ることができる。

【０００４】また、制御メモリのサム値は、ソフトウエ
アを書き換えなければ変化しないものであるため、外部
チェッカに対して正しいサム値を常に送信するような不
正なプログラムを不正改造者が作成し、それをＥＣＵに
組み込めば、正規のサム値算出アルゴリズムを知らなく
ても容易に正規ＥＣＵとしてなりすますことが可能とな
る。これは、ＥＣＵ側で正偽判定を行う構成でも同様で
ある。すなわち、モニタしたサム値を返答する偽プログ
ラムを不正改造者が作成することにより、不正改造され
た偽ＥＣＵであっても、外部ツールは正しいサム値（常
に同じ）が返答されたと認識し、正しいＥＣＵであると
判断してしまう。

【０００５】本発明は、上記問題に着目してなされたも
のであって、その目的とするところは、車載制御ユニッ
トを正しく検査し、ひいては不正改造の防止を図ること
ができる車載制御ユニットの検査方法を提供することで
ある。

【０００６】

【課題を解決するための手段】請求項１に記載の車載制
御ユニットの検査方法では、（１）乱数を発生させ、そ
の乱数をサム値の算出指令と共に外部ツールから制御ユ
ニットへ送信する第１のステップ、（２）前記メモリの
サム値を算出すると共に、該サム値を前記乱数に応じて
暗号化する第２のステップ、（３）前記暗号化したデー
タを外部ツールに送信する第３のステップ、（４）外部
ツールで受信したデータを復号化すると共に、そのデー
タ中のサム値を予め用意された真のサム値と比較し、そ
の比較判定の結果から車載制御ユニットを検査する第４
のステップ、といった各ステップを順に実施するので、
不正改造を行おうとする者に正しいサム値が漏れ知れる
可能性は低くなる。また、仮に正規の制御ユニットが不
正改造され、メモリの正しいサム値を外部ツール側に返
信できるような不正なプログラムが制御ユニットに組み
込まれたとしても、外部ツールでは、暗号化データを受
信すると共にその暗号化データを復号化した後、サム値
の比較判定を行うので、不正改造された制御ユニットが
正規な制御ユニットとしてなりすますことが極めて困難
になる。その結果、車載制御ユニットを正しく検査し、
ひいては不正改造の防止を図ることができる。

【０００７】上記発明は特に、フラッシュメモリ等、電
気的に書き換え可能な不揮発性メモリにて車載制御ユニ
ット内のメモリが構成される場合に有効である（請求項
２）。

【０００８】請求項３に記載の発明では、前記第４のス
テップにおいてサム値が不一致となった場合、前記第１
のステップに戻って新たに乱数を設定し、それに続く第
２〜第４のステップを再度実施する。これにより、一時
的な通信異常が原因で正しく検査されなかった場合に
も、再通信により適正な検査が実施できる。またここ
で、乱数を再設定するために制御ユニットと外部ツール
との間の送受信データはその都度異なるので、通信線が
モニタされることを想定しても、正しいサム値が漏れ知
れる可能性は極めて低くなる。

【０００９】請求項４に記載の発明では、・前記第１のステップでは、複数の暗号化アルゴリズム
の中から一つを指定してそれを表す識別データを、乱数
とサム値の算出指令と共に外部ツールから制御ユニット
へ送信し、・前記第２のステップでは、前記識別データによる指定
通りの暗号化アルゴリズムを使って暗号化を行い、・その後、前記第４のステップでは、前記指定した暗号
化アルゴリズムに対応する復号化の算出式を取り出して
受信データを復号化し、サム値を抽出する。

【００１０】かかる場合、複数の暗号化アルゴリズムを
択一的に使うことにより、不正改造者に暗号化アルゴリ
ズムが知られたとしても、実際に使われた暗号化アルゴ
リズムに対応させてサム値を解明するのは非常に困難と
なる。それ故、車載制御ユニットの不正改造を、より一
層困難なものとすることができる。

【００１１】請求項５に記載の発明では、車載制御ユニ
ットは、電気的に書き換え可能な不揮発性メモリを実装
した第１マイクロコンピュータと、書き換え不可能なＲ
ＯＭを実装した第２マイクロコンピュータとを備え、第
２マイクロコンピュータのＲＯＭに、前記不揮発性メモ
リのサム値を暗号化するための暗号化アルゴリズムを記
憶させておく。つまり、書き換え不可能な第２マイクロ
コンピュータのＲＯＭにサム値の暗号化アルゴリズムを
配置することにより、不正改造防止が更に強化される。

【００１２】かかる請求項５の発明では、請求項６に記
載したように、第２のステップを実現する上で、前記不
揮発性メモリのサム値を第１マイクロコンピュータから
第２マイクロコンピュータへ送信するステップと、第２
マイクロコンピュータにて前記ＲＯＭ内の暗号化アルゴ
リズムでサム値を暗号化した後、その暗号化データを第
１マイクロコンピュータに返信するステップと、を設け
ると良い。

【００１３】

【発明の実施の形態】（第１の実施の形態）この発明を
具体化した本実施の形態では、エンジン制御等を司るＥ
ＣＵにて車載制御ユニットを構成しており、このＥＣＵ
に対して外部ツールを接続し、当該ＥＣＵの検査やデー
タの交換等を行うこととしている。以下、その詳細を図
面に従って説明する。

【００１４】図１は、制御システムの概略構成を示すブ
ロック図である。本システムにおいて、ＥＣＵ１０は周
知のマイクロコンピュータ（以下、マイコンという）１
１を備え、マイコン１１は、予め用意されている制御プ
ログラム等を用いてエンジンの各種制御を実施する。マ
イコン１１は、各種制御の中枢をなすＣＰＵ１２、電気
的に消去及び書き込み可能なフラッシュメモリ１３、そ
の他図示しないＲＡＭや入出力回路等を備える。

【００１５】外部ツール２０も同様に、ＣＰＵ、メモ
リ、入出力回路等からなる周知のマイコン２１を備え
る。この外部ツール２０は、ＥＣＵ１０の正偽判定等の
検査や、同ＥＣＵ１０内のフラッシュメモリ１３のデー
タ書き換えに際し、通信線Ｌ１を介してＥＣＵ１０に接
続される。これにより、ＥＣＵ１０と外部ツール２０と
の間でシリアル通信によるデータのやり取りが行われ
る。

【００１６】ＥＣＵ１０の正偽判定（検査）の概要を、
図２を用いて説明する。かかる場合、フラッシュメモリ
１３内のデータのサム値と既知の正しいサム値とが比較
され、両者が一致すれば、ＥＣＵ１０が正規なものであ
ると判断される。このとき、外部ツール２０側では乱数
を発生させてそれをＥＣＵ１０に送信する一方、ＥＣＵ
１０側では、その内部に予め記憶された暗号化アルゴリ
ズムを用い、サム値を暗号化して外部ツール２０に送信
するようになっている。なお図２では、処理順序を表す
ため、（１）〜（６）の連続番号を付している。

【００１７】先ず始めに、サム値の算出指令と乱数Ｒｔ
とを含む送信データを通信線Ｌ１を介して外部ツール２
０からＥＣＵ１０に送信する（図の（１））。このと
き、外部ツール２０の送信データは、例えば図５（ａ）
のフレーム構成を有し、このうち、送信ヘッダは送信元
ＩＤ、送信先ＩＤ及びコマンドコードにて構成され、デ
ータは送信データＩＤ、乱数、本送信データのチェック
サム（ＣＳ）にて構成されている。

【００１８】ＥＣＵ１０側では、フラッシュメモリ１３
内のデータのサム値Ｘｓｕｍを算出すると共に、所定の
暗号化アルゴリズムを用い、乱数Ｒｔに応じてサム値Ｘ
ｓｕｍを暗号化する（図の（２），（３））。つまり、
算出式Ｘｔ＝ｆ（Ｘｓｕｍ，Ｒｔ）により、暗号化した
サム値Ｘｔ（以下には便宜上、暗号化サム値Ｘｔと言
う）を算出する。

【００１９】その後、暗号化サム値Ｘｔを通信線Ｌ１を
介して外部ツール２０に送信する（図の（４））。この
とき、外部ツール２０の受信データは、例えば図５
（ｂ）のフレーム構成を有し、このうち、送信ヘッダは
送信元ＩＤ、送信先ＩＤ及びコマンドコードにて構成さ
れ、データは送信データＩＤ、暗号化データ、本送信デ
ータのチェックサム（ＣＳ）にて構成されている。

【００２０】外部ツール２０では、算出式Ｘｓｕｍ＝ｆ-1（Ｘｔ，Ｒｔ）により、暗号化サム値Ｘｔを復号化し、サム値Ｘｓｕｍ
を算出する（図の（５））。その後、前記の如く算出し
たサム値Ｘｓｕｍと、予め登録されている真のサム値Ｘ
ｒｅｆとを比較判定する（図の（６））。そして、両者
が一致すれば、ＥＣＵ１０が正規ＥＣＵであると判断
し、不一致であれば、ＥＣＵ１０が偽ＥＣＵであると判
断する。

【００２１】以下には、外部ツール２０によるＥＣＵ１
０の正偽判定に際し、ＥＣＵ１０及び外部ツール２０内
の各マイコン１１，２１により実施される処理の流れを
図３及び図４のフローチャートに従い説明する。始め
に、外部ツール２０の処理の流れを図３のフローチャー
トで説明する。

【００２２】例えば修理工場等において作業者が外部ツ
ール２０を操作することで図３の処理がスタートし、先
ずステップ１０１では、乱数発生処理を実行して乱数Ｒ
ｔを設定し、続くステップ１０２では、コマンド送信を
実施する。すなわち、乱数Ｒｔをサム値算出指令と共に
ＥＣＵ１０に送信する。また、ステップ１０３ではタイ
マセットを行う。このステップ１０１〜１０３が通信前
処理に相当する。

【００２３】その後、この外部ツール２０では、コマン
ド受信に対するＥＣＵ１０からの受信確認を行う。すな
わち、タイムアウトしていないことを条件に（ステップ
１０４がＮＯ）、ステップ１０５では、前記ステップ１
０２のコマンド送信に対する応答をＥＣＵ１０から受信
したか否かを判別する。応答が無いままタイムアウトし
た場合（ステップ１０４がＹＥＳ）、ステップ１０２に
戻り、再度同じ乱数を用いてコマンド送信を実施する。
そして、タイマセット、受信確認の各処理を再び実施す
る。

【００２４】なお、コマンド再送信の回数を予め制限し
ておき、例えばタイムアウトが３回繰り返されると、通
信異常であると判断し、その旨のコードを記憶すると共
に以降の処理を中止しても良い。また、１回でもタイム
アウトになると、その時点で通信異常と判断しても良
い。

【００２５】コマンド送信に対する応答を受信すると、
ステップ１０６に進み、以降の受信後処理を実施する。
すなわち、ステップ１０６では、ＥＣＵ１０から受信し
た暗号化サム値Ｘｔを復号化し、サム値Ｘｓｕｍの生デ
ータを抽出する。また、続くステップ１０７では、予め
登録されている真のサム値Ｘｒｅｆを取り出す。

【００２６】その後、ステップ１０８では、サム値Ｘｓ
ｕｍ（生データ）と真のサム値Ｘｒｅｆとを比較し、両
サム値が一致すると判別されれば（ステップ１０９がＹ
ＥＳ）、ＥＣＵ正常である旨を判断する。

【００２７】また、両サム値が不一致であれば（ステッ
プ１０９がＮＯ）、ステップ１１０で予め定めた規定回
数だけ通信を繰り返したか否かを判別する。ＮＯであれ
ばステップ１０１に戻る。これにより、別の乱数が再設
定され、上述した処理が繰り返し実施される。そして、
乱数の再設定及びそれに付随するサム値判定の処理が規
定回数（例えば３回）だけ繰り返されてもサム値不一致
のままであれば、ステップ１１０がＹＥＳとなり、ＥＣ
Ｕ異常である旨を判断する。

【００２８】次に、ＥＣＵ１０の処理の流れを図４のフ
ローチャートに従い説明する。先ずステップ２０１で
は、外部ツール２０よりコマンドを受信したか否かを判
別し、ＹＥＳであればステップ２０２に進み、受信デー
タから乱数Ｒｔを抽出する。

【００２９】その後、ステップ２０３では、算出式Ｘｓｕｍ＝ΣＤａｔａ（ｉ）により、サム値Ｘｓｕｍを算出する。すなわち、フラッ
シュメモリ１３内の規定されたアドレス領域についてア
ドレスｉのデータを全て加算し、その和をサム値Ｘｓｕ
ｍとする。

【００３０】その後、ステップ２０４では、前記受信し
た乱数Ｒｔでサム値Ｘｓｕｍを暗号化して暗号化サム値
Ｘｔを求め、続くステップ２０５では、暗号化サム値Ｘ
ｔを外部ツール２０に送信する。このデータ送信によ
り、外部ツール２０では、前記図３のステップ１０５で
データ受信が確認されることとなる。

【００３１】なお本実施の形態では、図３のステップ１
０１，１０２の処理が本発明の「第１のステップ」に、
図４のステップ２０３，２０４の処理が「第２のステッ
プ」に、図４のステップ２０５の処理が「第３のステッ
プ」に、図３のステップ１０６〜１０９の処理が「第４
のステップ」に、それぞれ該当する。

【００３２】以上詳述した本実施の形態によれば、以下
に示す効果が得られる。つまり、上記ＥＣＵ１０の検査
方法によれば、不正改造を行おうとする者に正しいサム
値（算出したサム値Ｘｓｕｍ）が漏れ知れる可能性は低
くなる。また、仮に正規のＥＣＵ１０が不正改造され、
フラッシュメモリ１３の正しいサム値を外部ツール２０
側に返信できるような不正なプログラムが偽ＥＣＵに組
み込まれたとしても、外部ツール２０では、暗号化デー
タを受信すると共にその暗号化データを復号化した後、
サム値の比較判定を行うので、不正改造されたＥＣＵが
正規なＥＣＵとしてなりすますことが極めて困難にな
る。その結果、ＥＣＵ１０を正しく検査し、ひいては不
正改造の防止を図ることができる。

【００３３】また、サム値不一致の場合、新たに乱数Ｒ
ｔを設定して再検査を行うので、一時的な通信異常が原
因で正しく検査されなかった場合にも、再通信により適
正な検査が実施できる。またここで、乱数Ｒｔを再設定
するためにＥＣＵ１０と外部ツール２０との間の送受信
データはその都度異なるので、通信線Ｌ１がモニタされ
ることを想定しても、正しいサム値が漏れ知れる可能性
は極めて低くなる。

【００３４】（第２の実施の形態）次に、本発明におけ
る第２の実施の形態を説明する。但し、本実施の形態で
は、上述した第１の実施の形態と同等であるものは説明
を簡略化し、第１の実施の形態との相違点を中心に説明
する。

【００３５】上記第１の実施の形態では不正改造が容認
される可能性は極めて低いものの、万が一、暗号化アル
ゴリズムが不正改造者に漏れ知れた場合、不正改造が可
能となる。その対策として、本実施の形態では、複数の
暗号化アルゴリズム（算出式）を用意し、そのうちどの
アルゴリズムを使用するかを外部ツール２０から指示す
る方法を提案する。なお本実施の形態では、制御システ
ムとして前記図１の構成をそのまま流用する。

【００３６】本実施の形態におけるＥＣＵ１０の正偽判
定（検査）の概要を、図６を用いて説明する。なお図６
では、処理順序を表すため、（１）〜（８）の連続番号
を付している。

【００３７】先ず始めに、サム値の算出指令と、乱数Ｒ
ｔと、暗号化アルゴリズムの識別コードＩＤとを含む送
信データを通信線Ｌ１を介して外部ツール２０からＥＣ
Ｕ１０に送信する（図の（１））。このとき、外部ツー
ル２０の送信データは、例えば前記図５（ａ）のフレー
ム構成に対し、データとして暗号化アルゴリズムの識別
コードＩＤを追加した構成となる。

【００３８】ＥＣＵ１０側では、フラッシュメモリ１３
内のデータのサム値Ｘｓｕｍを算出すると共に、外部ツ
ール２０からの送信データに含まれる暗号化アルゴリズ
ムの識別コードＩＤに基づき、それに相応する暗号化の
算出式を取り出す（図の（２），（３））。また、この
算出式を用い、乱数Ｒｔに応じてサム値Ｘｓｕｍを暗号
化する（図の（４））。つまり、算出式Ｘｔ＝ｆ（Ｘｓｕｍ，Ｒｔ）により、暗号化サム値Ｘｔを算出する。ここで、図示の
如く、暗号化ＩＤが０ｘ０１，０ｘ０２，・・・０ｘ０
Ｆのように与えられる場合、それに対応する算出式はｆ
（＊，＊），ｇ（＊，＊），・・・ｔ（＊，＊）とな
り、これら何れかの算出式を用いてサム値Ｘｓｕｍが暗
号化される。その後、暗号化サム値Ｘｔを通信線Ｌ１を
介して外部ツール２０に送信する（図の（５））。

【００３９】外部ツール２０では、その時の暗号化アル
ゴリズムの識別コードＩＤに相応する復号化の算出式を
取り出し、その算出式にて暗号化サム値Ｘｔを復号化す
る（図の（６），（７））。つまり、算出式Ｘｓｕｍ＝ｆ-1（Ｘｔ，Ｒｔ）により、サム値Ｘｓｕｍを算出する。

【００４０】その後、前記の如く算出したサム値Ｘｓｕ
ｍと、予め登録されている真のサム値Ｘｒｅｆとを比較
判定する（図の（８））。そして、両者が一致すれば、
ＥＣＵ１０が正規ＥＣＵであると判断し、不一致であれ
ば、ＥＣＵ１０が偽ＥＣＵであると判断する。

【００４１】以下には、外部ツール２０によるＥＣＵ１
０の正偽判定に際し、ＥＣＵ１０及び外部ツール２０内
の各マイコン１１，２１により実施される処理の流れを
図７及び図８のフローチャートに従い説明する。

【００４２】始めに、外部ツール２０の処理の流れを図
７のフローチャートで説明する。但し、図７は前記図３
の一部のみを変更したものであり、実際には前記図３そ
のものに対し、ステップ３０１，３０２の処理を追加し
たことのみが相違する。以下、前記図３との相違点を中
心に説明する。

【００４３】図７において、乱数発生処理の後、ステッ
プ３０１では、多数の暗号化アルゴリズムの中から一つ
を選択する。そして、続くステップ１０２では、その暗
号化アルゴリズムの識別コードＩＤを、乱数Ｒｔ及びサ
ム値算出指令と共にＥＣＵ１０へ送信する。

【００４４】その後、ＥＣＵ１０からの受信確認を終え
ると、ステップ３０２では、暗号化アルゴリズムの識別
コードＩＤに対応する復号化の算出式を取り出す。そし
てそれ以降、図３で前述した通り、暗号化サム値Ｘｔの
復号化、真のサム値Ｘｒｅｆとの比較判定等を行い、Ｅ
ＣＵ１０の正偽判定を実施する。

【００４５】次に、ＥＣＵ１０の処理の流れを図８のフ
ローチャートに従い説明する。この図８の処理は前記図
４に置き換えて実施される。図８では、外部ツール２０
からのコマンド受信の旨を判別すると、ステップ４０１
からステップ４０２に進み、受信データから乱数Ｒｔと
暗号化アルゴリズムの識別コードＩＤ（アルゴリズムＮ
ｏ．）とを抽出する。

【００４６】その後、ステップ４０３では、フラッシュ
メモリ１３内の規定されたアドレス領域についてアドレ
スｉのデータを全て加算し、その和によりサム値Ｘｓｕ
ｍを算出する。

【００４７】その後、ステップ４０４では、指定の暗号
化アルゴリズムを取り出し、続くステップ４０５では、
サム値Ｘｓｕｍを暗号化して暗号化サム値Ｘｔを求め
る。更にステップ４０６では、暗号化サム値Ｘｔを外部
ツール２０に送信する。このデータ送信により、外部ツ
ール２０では、前記図７のステップ１０５でデータ受信
が確認されることとなる。

【００４８】なお本実施の形態では、上記第１の実施の
形態との違いとして、図７のステップ３０１の処理が
「第１のステップ」に含まれ、同ステップ３０２の処理
が「第４のステップ」に含まれる。また、図８のステッ
プ４０２〜４０５の処理が「第２のステップ」に、同ス
テップ４０６の処理が「第３のステップ」に、それぞれ
該当する。

【００４９】以上第２の実施の形態によれば、複数の暗
号化アルゴリズムを択一的に使うことにより、不正改造
を行おうとする者に暗号化アルゴリズムが知られたとし
ても、実際に使われた暗号化アルゴリズムに対応させて
サム値を解明するのは非常に困難となる。それ故、ＥＣ
Ｕ１０の不正改造を、より一層困難なものとすることが
できる。またこの場合、各々の暗号化アルゴリズムが簡
単なものであっても、不正改造者がそのアルゴリズムを
認識し、不正改造者両を車検に通す等、不正行為を行お
うとすることが困難になる。

【００５０】（第３の実施の形態）複雑な制御が要求さ
れるＥＣＵには、高い演算負荷を分散させるために複数
のマイコン（ＣＰＵ）を備えて構成されるものがある。
例えば２個のマイコンを持つ２マイコンシステムのＥＣ
Ｕにおいては、前記のフラッシュメモリを搭載し、エン
ジンの主要制御を受け持つメイン側のマイコンと、制御
プログラムを市場で書き換え不可能なＲＯＭを搭載し、
主要制御以外の制御を受け持つサブ側のマイコンとで構
成することがある。

【００５１】図９は、本実施の形態における制御システ
ムの概要を示す構成図である。図９の構成では、前記図
１の構成との違いとして、ＥＣＵ３０は、第１マイコン
（第１マイクロコンピュータ）３１と第２マイコン（第
２マイクロコンピュータ）３２とを備える。第１マイコ
ン３１は、燃料噴射制御や点火時期制御等、エンジンの
主要な制御を受け持つマイコンであり、ＣＰＵ３１ａと
フラッシュメモリ３１ｂとを実装する。また、第２マイ
コン３２は、トランスミッション制御等を受け持つマイ
コンであり、ＣＰＵ３２ａと、プログラムを市場で書き
換え不可能なＲＯＭ３２ｂとを実装する。

【００５２】こうした２マイコンシステムのＥＣＵ３０
において、第２マイコン３２のＲＯＭ３２ｂ内には、第
１マイコン３１の正偽判定を行うために用いる暗号化ア
ルゴリズムが格納されている。

【００５３】図１０は、第１マイコン３１の処理と第２
マイコン３２の処理とを個々に示すフローチャートであ
る。先ずは、図１０（ａ）に従い、第１マイコン３１の
処理の流れを説明する。

【００５４】図１０（ａ）では、外部ツール２０からの
コマンド受信の旨を判別すると、ステップ５０１からス
テップ５０２に進み、受信データから乱数Ｒｔを抽出す
る。その後、ステップ５０３では、フラッシュメモリ３
１ｂ内の規定されたアドレス領域についてアドレスｉの
データを全て加算し、その和によりサム値Ｘｓｕｍを算
出する。その後、ステップ５０４では、前記受信した乱
数Ｒｔと、前記算出したサム値Ｘｓｕｍとを第２マイコ
ン３２に送信する。

【００５５】続くステップ５０５では、第２マイコン３
２へのデータ送信に応答して当該第２マイコン３２から
データ受信をしたか否かを判別する。この受信データに
は、第２マイコン３２で暗号化された暗号化サム値Ｘｔ
が含まれており、データ受信を確認した後、ステップ５
０６では、暗号化サム値Ｘｔを外部ツール２０に送信す
る。このデータ送信により、外部ツール２０では、前記
図３のステップ１０５でデータ受信が確認されることと
なる。

【００５６】次に、第２マイコン３２の処理の流れを図
１０（ｂ）のフローチャートに従い説明する。図１０
（ｂ）では、前記図１０（ａ）のステップ５０４におけ
るデータ送信を伴い、第１マイコン３１からのデータ受
信の旨を判別すると、ステップ６０１からステップ６０
２に進み、受信データから乱数Ｒｔとサム値Ｘｓｕｍと
を抽出する。その後、ステップ６０３では、ＲＯＭ３２
ｂ内に用意されている所定の暗号化アルゴリズムを用
い、サム値Ｘｓｕｍを暗号化して暗号化サム値Ｘｔを求
める。続くステップ６０４では、暗号化サム値Ｘｔを第
１マイコン３１に送信する。このデータ送信により、第
１マイコン３１では、前記図１０（ａ）のステップ５０
５でデータ受信が確認されることとなる。そして更に、
このデータが外部ツール２０に送信される。

【００５７】なお本実施の形態では、上記第１の実施の
形態との違いとして、図１０（ａ）のステップ５０３，
５０４及び図１０（ｂ）のステップ６０３の処理が「第
２のステップ」に、図１０（ａ）のステップ５０６の処
理が「第３のステップ」に、それぞれ該当する。

【００５８】以上第３の実施の形態によれば、第２マイ
コン３２のＲＯＭ３２ｂに暗号化アルゴリズムを記憶さ
せておくので、暗号化アルゴリズムを不正に書き換える
ことが不可能となり、不正改造防止が更に強化される。

【００５９】上記第３の実施の形態では、第２マイコン
３２のＲＯＭ３２ｂに所定の暗号化アルゴリズムを記憶
させる構成であったが、この構成を変更しても良い。例
えば、既述した第２の実施の形態のように、第２マイコ
ン３２のＲＯＭ３２ｂに複数の暗号化アルゴリズムを記
憶させておき、外部ツール２０から指定される識別コー
ドに従い、複数の暗号化アルゴリズムの中から一つを選
択する構成としても良い。

【００６０】また、同じく第３の実施の形態では、外部
ツール２０から送信される乱数Ｒｔを一旦第１マイコン
３１で受信し、その後、サム値と共に第２マイコン３２
へ転送したが、この乱数Ｒｔを外部ツール２０から第２
マイコン３２へ直接送信する構成としても良い。

【図面の簡単な説明】

【図１】発明の実施の形態における制御システムの概略
構成を示すブロック図。

【図２】ＥＣＵの正偽判定の様子を示す説明図。

【図３】外部ツールの処理の流れを示すフローチャー
ト。

【図４】ＥＣＵの処理の流れを示すフローチャート。

【図５】送信データ及び受信データのフレーム構成を示
す図。

【図６】第２の実施の形態においてＥＣＵの正偽判定の
様子を示す説明図。

【図７】第２の実施の形態において外部ツールの処理の
流れを示すフローチャート。

【図８】第２の実施の形態においてＥＣＵの処理の流れ
を示すフローチャート。

【図９】第３の実施の形態において制御システムの概略
構成を示すブロック図。

【図１０】第３の実施の形態において第１マイコン及び
第２マイコンの処理の流れを示すフローチャート。

【符号の説明】

１０…ＥＣＵ、１１…マイコン、１２…ＣＰＵ、１３…
フラッシュメモリ、２０…外部ツール、３０…ＥＣＵ、
３１…第１マイコン、３１ｂ…フラッシュメモリ、３２
…第２マイコン、３２ｂ…ＲＯＭ。

フロントページの続き (72)発明者青木千鶴愛知県刈谷市昭和町１丁目１番地株式会社デンソー内Ｆターム(参考） 5B048 AA14 CC02 DD06

Claims

【特許請求の範囲】

【請求項１】車載制御ユニット内のメモリについてデー
タのサム値を求め、該サム値により本制御ユニットを検
査する車載制御ユニットの検査方法において、乱数を発生させ、その乱数をサム値の算出指令と共に外
部ツールから制御ユニットへ送信する第１のステップ
と、前記メモリのサム値を算出すると共に、該サム値を前記
乱数に応じて暗号化する第２のステップと、前記暗号化したデータを外部ツールに送信する第３のス
テップと、外部ツールで受信したデータを復号化すると共に、その
データ中のサム値を予め用意された真のサム値と比較
し、その比較判定の結果から車載制御ユニットを検査す
る第４のステップと、からなることを特徴とする車載制
御ユニットの検査方法。
【請求項２】車載制御ユニット内のメモリは、電気的に
書き換え可能な不揮発性メモリである請求項１に記載の
車載制御ユニットの検査方法。
【請求項３】前記第４のステップにおいてサム値が不一
致となった場合、前記第１のステップに戻って新たに乱
数を設定し、それに続く第２〜第４のステップを再度実
施する請求項１又は２に記載の車載制御ユニットの検査
方法。
【請求項４】複数の暗号化アルゴリズムを車載制御ユニ
ットに予め用意しておき、前記第１のステップでは、複数の暗号化アルゴリズムの
中から一つを指定してそれを表す識別データを、乱数と
サム値の算出指令と共に外部ツールから制御ユニットへ
送信し、前記第２のステップでは、前記識別データによる指定通
りの暗号化アルゴリズムを使って暗号化を行い、その後、前記第４のステップでは、前記指定した暗号化
アルゴリズムに対応する復号化の算出式を取り出して受
信データを復号化し、サム値を抽出する請求項１又は２
に記載の車載制御ユニットの検査方法。
【請求項５】車載制御ユニットは、電気的に書き換え可
能な不揮発性メモリを実装した第１マイクロコンピュー
タと、書き換え不可能なＲＯＭを実装した第２マイクロ
コンピュータとを備え、第２マイクロコンピュータのＲ
ＯＭに、前記不揮発性メモリのサム値を暗号化するため
の暗号化アルゴリズムを記憶させておく請求項１〜４の
何れかに記載の車載制御ユニットの検査方法。
【請求項６】請求項５に記載の車載制御ユニットの検査
方法において、前記第２のステップは、前記不揮発性メモリのサム値を
第１マイクロコンピュータから第２マイクロコンピュー
タへ送信するステップと、第２マイクロコンピュータに
て前記ＲＯＭ内の暗号化アルゴリズムでサム値を暗号化
した後、その暗号化データを第１マイクロコンピュータ
に返信するステップと、を含むものである車載制御ユニ
ットの検査方法。