JP7768024B2 - 電子制御装置 - Google Patents

Description

本発明は、電子制御装置に関する。

例えば車載用の電子制御装置（以下、ＥＣＵ（Electronic Control Unit）と称する）においては、機能の向上や不具合の解消等を目的としてプログラムを書き換え可能に構成されている。この種のＥＣＵは、不正なプログラムの書き換えを未然に回避する構成として複数の認証処理を順番に実施する構成となっている。例えば特許文献１には、エンティティ認証処理と書き換え認証処理との２つの認証処理を実施する構成が開示されている。

特開２０１７－１１４９１号公報

しかしながら、特許文献１に開示されている構成では、エンティティ認証及び書き換え認証が順番に突破されると、プログラムが不正に書き換えられてしまう虞がある。

本発明は、上記した事情に鑑みてなされたものであり、その目的は、不正なプログラムの書き換えを適切に未然に回避することができる電子制御装置を提供することにある。

請求項１に記載した発明によれば、外部から更新データが転送されることでプログラムを書き換える際に複数の認証処理を順番に実施する。前記複数の認証処理をそれぞれ実施する複数の認証処理部（３，４）と、外部からの不正な認証要求を検知すると、前記複数の認証のうち少なくとも一つの認証方法を変更する認証方法変更判定部（５）と、を備える。前記複数の認証処理部は、先行する第１認証処理を実施する第１認証処理部（３）と、後続する第２認証処理を実施する第２認証処理部（４）と、を含む。前記認証方法変更判定部は、前記第１認証の認証結果が前記第１認証処理部により正常であると特定され、前記第２認証の認証結果が前記第２認証処理部により異常であると特定されると、外部からの不正な認証要求を検知し、前記第１認証の認証方法を変更する。外部からの不正な認証要求を検知すると、前記複数の認証のうち少なくとも一つの認証方法を変更することで、不正なプログラムの書き換えを適切に未然に回避することができる。

一実施形態を示す機能ブロック図 不正なリプログツールが接続された態様を示す図 フローチャート フローチャート フローチャート

以下、一実施形態について図面を参照して説明する。図１に示すように、ＥＣＵ１は、例えば車載用のＥＣＵであり、駆動系の制御を行う装置、ＡＤＡＳ（Advanced Driving Assistant System）系の制御を行う装置、マルチメディア系の制御を行う装置等である。

ＥＣＵ１は、ＣＰＵ、ＲＡＭ、ＲＯＭ、Ｉ／Ｏ等を有するマイコンを主体とする制御部２を備える。制御部２は、非遷移的実体的格納媒体に格納されているコンピュータプログラムを実行することでコンピュータプログラムに対応する処理を実施し、ＥＣＵ１の動作を制御する。ＥＣＵ１は、機能の向上や不具合の解消等を目的としてプログラムを書き換え可能に構成されている。ＥＣＵ１は、プログラムの書き換えを制御するリプログツール６と車載ネットワークを介して接続されている。車載ネットワークは、例えばＣＡＮ（Controller Area Network）（登録商標）、ＦＬＥＸＲＡＹ（登録商標）、ＣＸＰＩ（Clock Extension Peripheral Interface）（登録商標）等である。

リプログツール６は、更新データをＥＣＵ１へ転送すると共に書き換え指示をＥＣＵ１へ通知し、プログラムの書き換えをＥＣＵ１に実施させる。即ち、ＥＣＵ１は、リプログツール６から更新データが転送されると共に書き換え指示が通知されることでプログラムの書き換えを実施する。

ＥＣＵ１は、プログラムの書き換えを実施する前処理として認証処理を実施する。具体的には、ＥＣＵ１は、最初にリプログツール６からエンティティ認証要求を受信すると、エンティティ認証処理を実施する。ＥＣＵ１は、エンティティ認証処理の認証結果が正常であると、リプログツール６からの書き換え認証要求の受信を待機し、続いてリプログツール６から書き換え認証要求を受信すると、書き換え認証処理を実施する。ＥＣＵ１は、書き換え認証処理の認証結果が正常であると、リプログツール６からの更新データの転送及び書き換え指示の通知を許容し、プログラムの書き換えを実施する。

制御部２は、ＣＰＵ、ＲＯＭ、ＲＡＭ、Ｉ／Ｏ及びこれらの構成を接続するバスライン等を含むマイコンを主体として構成されている。制御部２は、予め記憶されているプログラムをＣＰＵで実行することによるソフトウェア処理、専用の電子回路によるハードウェア処理による制御を実行し、ＥＣＵ１の動作を制御する。制御部２は、機能毎に、第１認証処理部に相当するエンティティ認証処理部３と、第２認証処理部に相当する書き換え認証処理部４と、認証方法変更判定部５とを備える。

エンティティ認証処理部３は、外部からエンティティ認証要求を受信すると、エンティティ認証用の鍵情報と暗号エンジンとを用いてエンティティ認証処理を実施する。この場合、エンティティ認証用の鍵情報及び暗号エンジンはそれぞれ複数が用意されている。エンティティ認証処理部３は、複数のエンティティ認証用の鍵情報の中から何れか一つを選定すると共に複数の暗号エンジンの中から何れか一つを選定して認証方法を決定し、その決定した認証方法を用いてエンティティ認証処理を実施する。エンティティ認証処理部３は、エンティティ認証処理を実施すると、そのエンティティ認証の認証結果を認証方法変更判定部５へ通知する。

エンティティ認証処理部３は、外部からエンティティ認証要求を受信すると、その受信したエンティティ認証要求の要求パターンを予め定められている正常な要求パターンと照合し、エンティティ認証要求が正常な要求パターンであるか否かを判定する。エンティティ認証処理部３は、エンティティ認証要求が正常な要求パターンでないと判定すると、エンティティ認証結果の異常を認証方法変更判定部５及びリプログツール６へ通知する。認証方法変更判定部５は、エンティティ認証の失敗回数を所定回数と照合し、エンティティ認証の失敗回数が所定回数以上であるか否かを判定する。認証方法変更判定部５は、エンティティ認証の失敗回数が所定回数以上であると判定すると、エンティティ認証の認証結果が異常であることを記憶する。

エンティティ認証処理部３は、エンティティ認証要求が正常な要求パターンであると判定すると、その受信したエンティティ認証要求のデータフォーマットを予め定められている正常なデータフォーマットと照合し、その受信したエンティティ認証要求が正常なデータフォーマットであるか否かを判定する。エンティティ認証処理部３は、エンティティ認証要求が正常なデータフォーマットでないと判定すると、エンティティ認証結果の異常を認証方法変更判定部５及びリプログツール６へ通知する。認証方法変更判定部５は、エンティティ認証の失敗回数を所定回数と照合し、エンティティ認証の失敗回数が所定回数以上であるか否かを判定する。認証方法変更判定部５は、エンティティ認証の失敗回数が所定回数以上であると判定すると、エンティティ認証の認証結果が異常であることを記憶する。

エンティティ認証処理部３は、エンティティ認証要求が正常なデータフォーマットであると判定すると、エンティティ認証処理を実施する。エンティティ認証処理部３は、エンティティ認証に失敗したと判定すると、エンティティ認証結果の異常を認証方法変更判定部５及びリプログツール６へ通知する。認証方法変更判定部５は、エンティティ認証の失敗回数を所定回数と照合し、エンティティ認証の失敗回数が所定回数以上であるか否かを判定する。認証方法変更判定部５は、エンティティ認証の失敗回数が所定回数以上であると判定すると、エンティティ認証の認証結果が異常であることを記憶する。エンティティ認証処理部３は、エンティティ認証に成功したと判定すると、エンティティ認証の認証結果の正常をリプログツール６へ通知する。

書き換え認証処理部４は、外部から書き換え認証要求を受信すると、書き換え認証用の鍵情報と暗号エンジンとを用いて書き換え認証処理を実施する。この場合、書き換え認証用の鍵情報及び暗号エンジンはそれぞれ複数が用意されている。書き換え認証処理部４は、複数の書き換え認証用の鍵情報の中から何れか一つを選定すると共に複数の暗号エンジンの中から何れか一つを選定して認証方法を決定し、その決定した認証方法を用いて書き換え認証処理を実施する。書き換え認証処理部４は、書き換え認証処理を実施すると、その書き換え認証が成功の場合は、書き換え認証の認証結果をリプログツール６へ通知し、その書き換え認証が失敗の場合は、書き換え認証の認証結果を認証方法変更判定部５及びリプログツール６へ通知する。

書き換え認証処理部４は、外部から書き換え認証要求を受信すると、その受信した書き換え認証要求の要求パターンを予め定められている正常な要求パターンと照合し、書き換え認証要求が正常な要求パターンであるか否かを判定する。書き換え認証処理部４は、書き換え認証要求が正常な要求パターンでないと判定すると、エンティティ認証の認証結果の記憶値が異常である場合に、書き換え認証結果の異常を認証方法変更判定部５及びリプログツール６へ通知する。書き換え認証処理部４は、書き換え認証要求が正常な要求パターンであると判定すると、その受信した書き換え認証要求のデータフォーマットを予め定められている正常なデータフォーマットと照合し、その受信した書き換え認証要求が正常なデータフォーマットであるか否かを判定する。書き換え認証処理部４は、書き換え認証要求が正常なデータフォーマットでないと判定すると、エンティティ認証の認証結果の記憶値が異常である場合に、書き換え認証結果の異常を認証方法変更判定部５及びリプログツール６へ通知する。

書き換え認証処理部４は、書き換え認証要求が正常なデータフォーマットであると判定すると、書き換え認証処理を実施する。書き換え認証処理部４は、書き換え認証に失敗すると、エンティティ認証の認証結果の記憶値が異常である場合に、書き換え認証結果の異常を認証方法変更判定部５及びリプログツール６へ通知する。認証方法変更判定部５は、エンティティ認証の認証結果の記憶値が正常である場合に、書き換え認証の失敗回数を所定回数と照合し、書き換え認証の失敗回数が所定回数以上であるか否かを判定する。認証方法変更判定部５は、書き換え認証の失敗回数が所定回数以上であると判定すると、書き換え認証結果の異常を確定する。書き換え認証処理部４は、書き換え認証に成功すると、書き換え認証結果の正常をリプログツール６へ通知する。

認証方法変更判定部５は、エンティティ認証要求の履歴を記憶するエンティティ認証要求履歴記憶部５ａと、書き換え認証要求の履歴を記憶する書き換え認証要求履歴記憶部５ｂとを備える。エンティティ認証要求履歴記憶部５ａは、外部からのエンティティ認証要求の認証が所定回数以上失敗したことを記憶する。書き換え認証要求履歴記憶部５ｂは、外部からの正しい要求パターン且つ正しいデータフォーマットによる書き換え認証要求の認証が所定回数以上失敗したことを記憶する。

図２に示すように、不正なリプログツール７がＥＣＵ１に接続された場合でも最初にエンティティ認証処理を実施するが、エンティティ認証が突破されると、続いて書き換え認証処理を実施し、書き換え認証も突破されると、不正なプログラムの書き換えが実施される可能性がある。即ち、先行するエンティティ認証と後続する書き換え認証とが順番に突破されると、不正なプログラムの書き換えが実施される可能性がある。この場合、エンティティ認証処理部３は、不正なリプログツール７から不正なエンティティ認証要求を受信すると、エンティティ認証に失敗するが、不正なリプログツール７は、エンティティ認証が成功するまでパラメータを変更してエンティティ認証要求のＥＣＵ１への送信を繰り返す。

ここで、セキュリティ上の脆弱性を突き、エンティティ認証に成功すると、エンティティ認証の認証結果が正常となり、不正なリプログツール７は、不正な書き換え認証要求をＥＣＵ１へ送信する。書き換え認証処理部４は、不正なリプログツール７から不正な書き換え認証要求を受信すると、書き換え認証の認証結果が異常となる。しかしながら、エンティティ認証の認証結果が正常であるので、エンティティ認証で使用している鍵情報、暗号アルゴリズムを含む暗号エンジン情報、乱数生成アルゴリズムを含む乱数生成情報等が解読されている可能性が高い。即ち、先行するエンティティ認証の認証結果が正常である状況で後続する書き換え認証の認証結果が異常であれば、エンティティ認証で使用している鍵情報、暗号エンジン情報、乱数生成情報等が解読されている可能性が高い。

このような状況に対し、認証方法変更判定部５は、エンティティ認証の認証結果が正常である状況で書き換え認証の認証結果が異常となると、不正な認証要求を検知し、エンティティ認証の認証方法を変更する。具体的には、認証方法変更判定部５は、鍵情報の変更要求、暗号アルゴリズムの変更要求、乱数生成アルゴリズムの変更要求をエンティティ認証処理部３へ送信し、エンティティ認証で使用する鍵情報、暗号アルゴリズム、乱数生成アルゴリズムの変更をエンティティ認証処理部３に要求する。続いてエンティティ認証処理部３、エンティティ認証の認証方式を変更し、次回以降のエンティティ認証要求時には変更後の認証方式で認証を行う。

認証方法変更判定部５は、エンティティ認証の認証方法を変更することに加え、書き換え認証の認証方法を変更しても良い。具体的には、認証方法変更判定部５は、鍵情報の変更要求、暗号アルゴリズムの変更要求、乱数生成アルゴリズムの変更要求を書き換え認証処理部４へ送信し、書き換え認証で使用する鍵情報、暗号アルゴリズム、乱数生成アルゴリズムの変更を書き換え認証処理部４に要求する。続いて書き換え認証処理部４は、認証方式を変更し、次回以降の書き換え認証要求時には変更後の認証方式で認証を行う。

鍵管理サーバ８がエンティティ認証用の鍵情報及び書き換え認証用の鍵情報を管理する構成では、不正なリプログツール７が鍵管理サーバ８にアクセス不可であるので、ＥＣＵ１においては、エンティティ認証が突破された場合でもエンティティ認証用の鍵情報を変更することで次回の不正なエンティティ認証要求に対処可能となる。ＥＣＵ１においては、エンティティ認証用の暗号アルゴリズムや乱数生成アルゴリズムも変更することで次回の不正なエンティティ認証要求に強固に対処可能となる。又、ＥＣＵ１においては、書き換え認証が突破された場合でも書き換え認証用の鍵情報を変更することで次回の不正な書き換え認証要求に対処可能となる。ＥＣＵ１においては、書き換え認証用の暗号アルゴリズムや乱数生成アルゴリズムも変更することで次回の不正な書き換え認証要求に強固に対処可能となる。

尚、エンティティ認証用の鍵情報及び書き換え認証用の鍵情報を変更することが必須でなくても良い。即ち、認証方法変更判定部５は、鍵情報の変更要求、暗号アルゴリズムの変更要求、乱数生成アルゴリズムの変更要求のうち少なくとも何れか一つをエンティティ認証処理部３や書き換え認証処理部４へ送信し、鍵情報、暗号アルゴリズム、乱数生成アルゴリズムのうち少なくとも何れか一つの変更をエンティティ認証処理部３や書き換え認証処理部４に要求しても良い。又、認証方式の変更は、エンティティ認証処理部３又は書き換え認証処理部４の両方又は何れか一つであっても良い。

次に、上記した構成の作用について図３から図５を参照して説明する。
制御部２は、認証処理を開始すると、外部からのエンティティ認証要求の受信を待機する（Ｓ１）。制御部２は、外部からのエンティティ認証要求を受信したと判定すると（Ｓ１：ＹＥＳ）、その受信したエンティティ認証要求が正常な要求パターンであるか否かを判定する（Ｓ２）。制御部２は、その受信したエンティティ認証要求が正常な要求パターンでないと判定すると（Ｓ２：ＮＯ）、エンティティ認証に失敗したと特定し、エンティティ認証の失敗回数をカウントアップし（Ｓ３）、そのカウントアップした回数が所定回数以上であるか否かを判定する（Ｓ４）。

制御部２は、エンティティ認証の失敗回数が所定回数未満であると判定すると（Ｓ４：ＮＯ）、エンティティ認証の認証異常を認証要求の送信元へ送信し（Ｓ６）、ステップＳ１に戻り、外部からのエンティティ認証要求の受信を待機する。一方、制御部２は、エンティティ認証の失敗回数が所定回数以上であると判定すると（Ｓ４：ＹＥＳ）、エンティティ認証の認証結果が異常であることを記憶し（Ｓ５）、エンティティ認証の認証異常を認証要求の送信元へ送信し（Ｓ６）、ステップＳ１に戻り、外部からのエンティティ認証要求の受信を待機する。

制御部２は、その受信したエンティティ認証要求が正常な要求パターンであると判定すると（Ｓ２：ＹＥＳ）、その受信したエンティティ認証要求が正常なデータフォーマットであるか否かを判定する（Ｓ７）。制御部２は、その受信したエンティティ認証要求が正常なデータフォーマットでないと判定すると（Ｓ７：ＮＯ）、エンティティ認証に失敗したと特定し、この場合も、上記したステップＳ３以降の処理を実施する。

制御部２は、その受信したエンティティ認証要求が正常なデータフォーマットであると判定すると（Ｓ７：ＹＥＳ）、エンティティ認証処理部３においてエンティティ認証処理を実施し（Ｓ８）、エンティティ認証の成功又は失敗を判定する（Ｓ９）。制御部２は、エンティティ認証の失敗を判定すると（Ｓ９：ＮＯ）、この場合も、上記したステップＳ３以降の処理を実施する。

制御部２は、エンティティ認証の成功を判定すると（Ｓ９：ＹＥＳ）、エンティティ認証の認証正常を認証要求の送信元へ送信し（Ｓ１０）、外部からの書き換え認証要求の受信を待機する（Ｓ１１）。制御部２は、外部からの書き換え認証要求を受信したと判定すると（Ｓ１１：ＹＥＳ）、その受信した書き換え認証要求が正常な要求パターンであるか否かを判定する（Ｓ１２）。制御部２は、その受信した書き換え認証要求が正常な要求パターンでないと判定すると（Ｓ１２：ＮＯ）、書き換え認証に失敗したと特定し、エンティティ認証の認証結果の記憶値が異常を示す値であるか否かを判定する（Ｓ１３）。

制御部２は、エンティティ認証の認証結果の記憶値が異常を示す値であると判定すると（Ｓ１３：ＹＥＳ）、エンティティ認証の認証方法変更要求を発動し（Ｓ１４）、エンティティ認証処理部３におけるエンティティ認証の認証方法を変更する（Ｓ１５）。即ち、制御部２は、エンティティ認証で使用する鍵情報、暗号アルゴリズム、乱数生成アルゴリズムを変更する。制御部２は、エンティティ認証の認証結果の記憶値及びエンティティ認証の失敗回数カウンタをクリアし（Ｓ１６）、書き換え認証の認証異常を認証要求の送信元へ送信し（Ｓ１７）、ステップＳ１に戻り、外部からのエンティティ認証要求の受信を待機する。

一方、制御部２は、エンティティ認証の認証結果の記憶値が正常を示す値であると判定すると（Ｓ１３：ＮＯ）、書き換え認証の失敗回数が所定回数以上であるか否かを判定する（Ｓ１８）。制御部２は、書き換え認証の失敗回数が所定未満であると判定すると（Ｓ１８：ＮＯ）、書き換え認証の認証異常を認証要求の送信元へ送信し（Ｓ１７）、ステップＳ１に戻り、外部からのエンティティ認証要求の受信を待機する。

制御部２は、書き換え認証の失敗回数が所定回数以上であると判定すると（Ｓ１８：ＹＥＳ）、書き換え認証の認証結果が異常であることを記憶し（Ｓ１９）、書き換え認証の認証方法変更要求を発動し（Ｓ２０）、書き換え認証処理部４における書き換え認証の認証方法を変更する（Ｓ２１）。即ち、制御部２は、書き換え認証で使用する鍵情報、暗号アルゴリズム、乱数生成アルゴリズムを変更する。制御部２は、書き換え認証の認証結果の記憶値及び書き換え認証の失敗回数カウンタをクリアし（Ｓ２２）、書き換え認証の認証異常を認証要求の送信元へ送信し（Ｓ１７）、ステップＳ１に戻り、外部からのエンティティ認証要求の受信を待機する。

制御部２は、その受信した書き換え認証要求が正常な要求パターンであると判定すると（Ｓ１２：ＹＥＳ）、その受信した書き換え認証要求が正常なデータフォーマットであるか否かを判定する（Ｓ２３）。制御部２は、その受信した書き換え認証要求が正常なデータフォーマットでないと判定すると（Ｓ２３：ＮＯ）、書き換え認証に失敗したと特定し、この場合も、上記したステップＳ１３以降の処理を実施する。

制御部２は、その受信した書き換え認証要求が正常なデータフォーマットであると判定すると（Ｓ２３：ＹＥＳ）、書き換え認証処理部４において書き換え認証処理を実施し（Ｓ２４）、書き換え認証の成功又は失敗を判定する（Ｓ２５）。制御部２は、書き換え認証の失敗を判定すると（Ｓ２５：ＮＯ）、書き換え認証に失敗したと特定し、書き換え認証の失敗回数をカウントアップし（Ｓ２６）、この場合も、上記したステップＳ１３以降の処理を実施する。

一方、制御部２は、書き換え認証の成功を判定すると（Ｓ２５：ＹＥＳ）、エンティティ認証の認証結果の記憶値及びエンティティ認証の失敗回数カウンタをクリアし（Ｓ２７）、書き換え認証の認証結果の記憶値及び書き換え認証の失敗回数カウンタをクリアし（Ｓ２８）、書き換え認証の認証正常を認証要求の送信元へ送信し（Ｓ２９）、認証処理を終了する。

以上に説明したように実施形態によれば、次に示す作用効果を得ることができる。
ＥＣＵ１において、エンティティ認証と書き換え認証とを順番に実施する場合に、外部からの不正な認証要求を検知し、エンティティ認証の失敗回数が所定回数以上であり、且つ書き換え認証にて外部からの不正な認証要求を検知すると、エンティティ認証の認証方法を変更するようにした。エンティティ認証の認証方法を変更することで、不正なプログラムの書き換えを適切に未然に回避することができる。

外部からの不正な認証要求を検知すると、エンティティ認証の認証方法を変更することに加え、書き換え認証の失敗回数が所定回数以上であると、書き換え認証の認証方法を変更するようにした。不正なプログラムの書き換えをより強固に未然に回避することができる。

認証要求が正常な要求パターンでないと判定し、認証の失敗回数が所定回数以上であると判定すると、認証結果が異常であると特定し、外部からの不正な認証要求を検知するようにした。認証要求の要求パターンを正常な要求パターンと照合することで、正常な要求パターンでない認証要求を不正な認証要求として特定することができ、外部からの不正な認証要求を検知することができる。

認証要求が正常なデータフォーマットでないと判定し、認証の失敗回数が所定回数以上であると判定すると、認証結果が異常であると特定し、外部からの不正な認証要求を検知するようにした。認証要求のデータフォーマットを正常なデータフォーマットと照合することで、正常なデータフォーマットでない認証要求を不正な認証要求として特定することができ、外部からの不正な認証要求を検知することができる。

認証処理を実施したことによる認証の失敗回数が所定回数以上であると判定すると、認証結果が異常であると特定し、外部からの不正な認証要求を検知するようにした。認証処理を実施したことによる認証の失敗回数を所定回数と照合することで、失敗回数が所定回数以上の書き換え認証要求を不正な認証要求として特定することができ、外部からの不正な認証要求を検知することができる。

上記した実施形態では、リプログツール６がＥＣＵ１に接続されることで、リプログツール６から更新データがＥＣＵ１へ転送されると共に書き換え指示がＥＣＵ１へ通知される構成を説明したが、ＯＴＡセンターから配信された更新データが通信ネットワークを介してＥＣＵ１に転送される構成に適用することもできる。

本開示は、実施例に準拠して記述されたが、当該実施例や構造に限定されるものではないと理解される。本開示は、様々な変形例や均等範囲内の変形をも包含する。加えて、様々な組み合わせや形態、更には、それらに一要素のみ、それ以上、或いはそれ以下を含む他の組み合わせや形態をも、本開示の範疇や思想範囲に入るものである。

本開示に記載の制御部及びその手法は、コンピュータプログラムにより具体化された一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリを構成することにより提供された専用コンピュータにより実現されても良い。或いは、本開示に記載の制御部及びその手法は、一つ以上の専用ハードウェア論理回路によりプロセッサを構成することにより提供された専用コンピュータにより実現されても良い。若しくは、本開示に記載の制御部及びその手法は、一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリと一つ以上のハードウェア論理回路により構成されたプロセッサとの組み合わせにより構成された一つ以上の専用コンピュータにより実現されても良い。又、コンピュータプログラムは、コンピュータにより実行されるインストラクションとして、コンピュータ読み取り可能な非遷移有形記録媒体に記憶されていても良い。

図面中、１は電子制御装置、２は制御部、３はエンティティ認証処理部（第１認証処理部）、４は書き換え認証処理部（第２認証処理部）、５は認証方法変更判定部である。

Claims (6)

1. 外部から更新データが転送されることでプログラムを書き換える際に複数の認証処理を順番に実施する電子制御装置であって、
   前記複数の認証処理をそれぞれ実施する複数の認証処理部（３，４）と、
   外部からの不正な認証要求を検知すると、前記複数の認証のうち少なくとも一つの認証方法を変更する認証方法変更判定部（５）と、を備え、
   前記複数の認証処理部は、先行する第１認証処理を実施する第１認証処理部（３）と、後続する第２認証処理を実施する第２認証処理部（４）と、を含み、
   前記認証方法変更判定部は、前記第１認証の認証結果が前記第１認証処理部により正常であると特定され、前記第２認証の認証結果が前記第２認証処理部により異常であると特定されると、外部からの不正な認証要求を検知し、前記第１認証の認証方法を変更する電子制御装置。
2. 前記認証方法変更判定部は、前記第１認証の認証結果が前記第１認証処理部により正常であると特定され、前記第２認証の認証結果が前記第２認証処理部により異常であると特定されると、外部からの不正な認証要求を検知し、前記第１認証の認証方法を変更することに加え、前記第２認証の認証方法を変更する請求項１に記載した電子制御装置。
3. 前記認証処理部は、外部からの認証要求が正常な要求パターンでないと判定し、認証の失敗回数が所定回数以上であると判定すると、前記認証の認証結果が異常であると特定する請求項１又は２に記載した電子制御装置。
4. 前記認証処理部は、外部からの認証要求が正常なデータフォーマットでないと判定し、認証の失敗回数が所定回数以上であると判定すると、前記認証の認証結果が異常であると特定する請求項１又は２に記載した電子制御装置。
5. 前記認証処理部は、前記認証処理を実施したことによる前記認証の失敗回数が所定回数以上であると判定すると、前記認証の認証結果が異常であると特定する請求項１又は２に記載した電子制御装置。
6. 前記第１認証処理部は、エンティティ認証処理を実施するエンティティ認証処理部であり、
   前記第２認証処理部は、書き換え認証処理を実施する書き換え認証処理部である請求項１に記載した電子制御装置。