JP2017097851A - Relaying apparatus and method and program for relaying - Google Patents
Relaying apparatus and method and program for relaying Download PDFInfo
- Publication number
- JP2017097851A JP2017097851A JP2016183123A JP2016183123A JP2017097851A JP 2017097851 A JP2017097851 A JP 2017097851A JP 2016183123 A JP2016183123 A JP 2016183123A JP 2016183123 A JP2016183123 A JP 2016183123A JP 2017097851 A JP2017097851 A JP 2017097851A
- Authority
- JP
- Japan
- Prior art keywords
- data
- unit
- electronic control
- current
- new
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Landscapes
- Information Transfer Between Computers (AREA)
- Stored Programmes (AREA)
Abstract
Description
本発明の実施形態は、中継装置、中継方法およびプログラムに関する。 Embodiments described herein relate generally to a relay device, a relay method, and a program.
車両は、例えばエンジン等を制御するための電子制御装置（ＥＣＵ）を備える。電子制御装置は、ファームウェアを実行してエンジン等を制御する。また、近年、ネットワークに接続可能な車両も提案されている。このような車両に備えられた電子制御装置は、ネットワークを介してデータをダウンロードし、ファームウェアを更新することができる。このような電子制御装置は、ファームウェアの脆弱性が発見された場合、車両を工場等に戻すことなく、ファームウェアを更新することができる。 The vehicle includes an electronic control unit (ECU) for controlling, for example, an engine. The electronic control unit executes firmware and controls the engine and the like. In recent years, vehicles that can be connected to a network have also been proposed. An electronic control device provided in such a vehicle can download data and update firmware via a network. Such electronic control device can update the firmware without returning the vehicle to the factory or the like when the vulnerability of the firmware is found.
ところで、電子制御装置は、ファームウェアの更新が失敗した場合、現行のファームウェアをダウンロードしてメモリに書き込まなければならなかった。このため、電子制御装置は、ファームウェアの更新の失敗時において、再度、サーバ等にアクセスをしなければならなく、更新を開始してから再度実行可能な状態となるまでの期間が長くなってしまっていた。 By the way, when the firmware update fails, the electronic control device has to download the current firmware and write it in the memory. For this reason, the electronic control unit must access the server again when the firmware update fails, and the period from the start of the update to the state where it can be executed again becomes longer. It was.
また、このような問題を解決するため、電子制御装置は、データを一時的に記憶するバッファを２個備える場合がある。このような構成の電子制御装置は、ファームウェアの更新において、一方のバッファに現行のファームウェアを保持させておき、他方のバッファを用いて新しいファームウェアをダウンロードする。そして、電子制御装置は、ファームウェアの更新が失敗した場合には、一方のバッファに記憶させていた現行のファームウェアをメモリに書き戻す。しかしながら、このような構成の電子制御装置は、バッファを２個備えなくてはならないので、コストが高くなってしまっていた。また、車両が複数の電子制御装置を備える場合、それぞれの電子制御装置がバッファを２個備えなければならないので、車両の全体のコストが高くなってしまっていた。 In order to solve such a problem, the electronic control apparatus may include two buffers that temporarily store data. In updating the firmware, the electronic control device having such a configuration holds the current firmware in one buffer and downloads the new firmware using the other buffer. When the firmware update fails, the electronic control device writes the current firmware stored in the one buffer back to the memory. However, the electronic control device having such a configuration has to be provided with two buffers, which increases the cost. Further, when the vehicle includes a plurality of electronic control devices, each of the electronic control devices must include two buffers, which increases the overall cost of the vehicle.
本発明が解決しようとする課題は、電子制御装置のコストを小さくするとともに、電子制御装置に記憶されているデータの更新時間を短くすることにある。 The problem to be solved by the present invention is to reduce the cost of the electronic control device and shorten the update time of data stored in the electronic control device.
実施形態の中継装置は、電子制御装置に記憶されている現データを新データに更新させるための装置である。前記中継装置は、要求送信部と、応答受信部と、データ送信部とを備える。前記要求送信部は、前記電子制御装置を識別する装置識別子と、前記現データを識別するデータ識別子と、前記現データのバージョンを特定可能なバージョン特定情報とを含む取得要求を、提供装置に送信する。前記応答受信部は、前記取得要求に応じて、前記提供装置から前記新データを受信する。前記データ送信部は、前記提供装置から受信した前記新データを前記電子制御装置に送信して前記電子制御装置に記憶されている前記現データを前記新データに更新させ、更新処理が失敗した場合、前記現データを前記電子制御装置に送信して前記電子制御装置に前記現データを復元させる。 The relay device according to the embodiment is a device for updating current data stored in the electronic control device to new data. The relay device includes a request transmission unit, a response reception unit, and a data transmission unit. The request transmitting unit transmits an acquisition request including a device identifier for identifying the electronic control device, a data identifier for identifying the current data, and version specifying information capable of specifying a version of the current data to a providing device. To do. The response receiving unit receives the new data from the providing device in response to the acquisition request. The data transmitting unit transmits the new data received from the providing device to the electronic control device, causes the current data stored in the electronic control device to be updated to the new data, and an update process fails. Then, the current data is transmitted to the electronic control unit to cause the electronic control unit to restore the current data.
以下、図面を参照しながら実施形態に係るネットワークシステム１０について詳細に説明する。ネットワークシステム１０は、電子制御装置（ＥＣＵ）のコストを小さくするとともに、電子制御装置に記憶されているデータの更新時間を短くすることを目的とする。
Hereinafter, the
図１は、実施形態に係るネットワークシステム１０を示す図である。ネットワークシステム１０は、提供装置２０と、制御対象システム２２とを備える。
FIG. 1 is a diagram illustrating a
提供装置２０は、サーバ等の情報処理装置である。提供装置２０は、インターネット等の外部ネットワークを介して制御対象システム２２と接続される。
The providing
制御対象システム２２は、少なくとも１つの電子制御装置２４と、中継装置２６とを有する。本実施形態において、制御対象システム２２は、車両である。制御対象システム２２は、車両に限らず、例えば、ロボットシステム、飛行機、または、ホームネットワークシステムであってもよい。
The
それぞれの電子制御装置２４は、対象装置を制御する。対象装置は、制御対象システム２２内に設けられる装置である。本実施形態において、対象装置は、例えば、エンジン等の車両の運動系の装置、燃料供給装置等のエネルギー系の装置、窓またはドア等のボディー系の装置、または、オーディオ装置等のエンターテイメント系の装置である。
Each
電子制御装置２４は、ハードウェアとして、ＣＰＵ（Central Processing Unit）等の処理ユニット、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、不揮発性記憶装置等の記憶ユニット、対象装置と接続するためのインターフェイスユニット、並びに、中継装置２６と通信するための通信ユニット等を有する。
The
電子制御装置２４の記憶ユニットは、ファームウェアを記憶する。ファームウェアは、ＣＰＵ等の処理ユニットにより実行されるプログラム、または、ＣＰＵ等の処理ユニットにより読み出されるデータである。電子制御装置２４は、ファームウェアとハードウェアとが協働して対象装置を制御する。電子制御装置２４は、１つのファームウェアを記憶していてもよいし、複数のファームウェアを記憶していてもよい。
The storage unit of the
また、電子制御装置２４は、ファームウェアを更新する。電子制御装置２４は、現在記憶しているファームウェアの実体データよりも新しいバージョンの実体データが、ファームウェアの開発者（開発者、開発グループまたは提供者等）により提供された場合、現在記憶しているファームウェアの実体データを、新しいバージョンの実体データに更新する。例えば、電子制御装置２４は、現在記憶しているファームウェアの実体データを削除して新しいバージョンの実体データを新たに記憶したり、現在記憶しているファームウェアの実体データの記憶領域に新しいバージョンの実体データを上書きしたりすることにより、更新をする。電子制御装置２４は、新しいファームウェアの実体データと更新指示とを外部から受け取った場合に、更新処理を実行する。
Further, the
ここで、本実施形態においては、記憶しているファームウェアの実体データを、“現ＦＷデータ”と呼ぶ。また、記憶しているファームウェアの実体データよりも新しいバージョンの実体データを、“新ＦＷデータ”と呼ぶ。 In this embodiment, the stored firmware entity data is referred to as “current FW data”. Also, entity data of a newer version than the stored firmware entity data is referred to as “new FW data”.
中継装置２６は、それぞれの電子制御装置２４に対して記憶している現ＦＷデータを新ＦＷデータに更新させるための装置である。中継装置２６は、コンピュータ等と同様のハードウェア構成を有する情報処理装置である。中継装置２６は、外部ネットワークを介して提供装置２０と接続する。本実施形態においては制御対象システム２２が車両であるので、中継装置２６は、無線通信により外部ネットワークに接続する。
The
中継装置２６は、内部ネットワークを介してそれぞれの電子制御装置２４と接続する。外部ネットワークと内部ネットワークとは、中継装置２６を介して接続されているが、直接には接続されていない。
The
図２は、中継装置２６の機能構成を示す図である。中継装置２６は、取得部３０と、更新部３２と、管理データ記憶部３４と、共有鍵記憶部３６と、一時記憶部３８と、状態記憶部４０とを備える。
FIG. 2 is a diagram illustrating a functional configuration of the
取得部３０は、提供装置２０から現ＦＷデータおよび新ＦＷデータ等を受信する。更新部３２は、提供装置２０から受信した新ＦＷデータを電子制御装置２４に送信して、電子制御装置２４に現ＦＷデータを新ＦＷデータに更新させる。また、更新部３２は、現ＦＷデータを新ＦＷデータに更新する更新処理が失敗した場合、提供装置２０から受信した現ＦＷデータを電子制御装置２４に送信して、電子制御装置２４に現ＦＷデータを復元させる。
The
管理データ記憶部３４は、それぞれの電子制御装置２４に記憶されている現ＦＷデータに関する管理データを記憶する。共有鍵記憶部３６は、現ＦＷデータおよび新ＦＷデータが正当であるかを検証するための共有鍵データを含む鍵情報を記憶する。共有鍵データは、ファームウェアの開発者との間で共有され、第三者には秘匿される。一時記憶部３８は、取得部３０が受信した現ＦＷデータおよび新ＦＷデータ等を含む取得情報を記憶する。状態記憶部４０は、電子制御装置２４の状態を示す状態情報を記憶する。
The management
図３は、管理データ記憶部３４に記憶される管理データの内容を示す図である。管理データ記憶部３４は、制御対象システム２２が備えるそれぞれの電子制御装置２４に記憶されたそれぞれのファームウェアについて、図３に示す管理データを記憶する。
FIG. 3 is a diagram showing the contents of the management data stored in the management
管理データは、ＥＣＵＩＤ、ＦＷＩＤ、現ＦＷのＭＡＣ（Message Authentication Code）値、現ＦＷのバージョン番号、ＥＣＵのドメイン、現ＦＷの開発者ＩＤ、更新タイミング情報、および、ＦＷ取得状況情報を含む。 The management data includes an ECU ID, a FWID, a MAC (Message Authentication Code) value of the current FW, a version number of the current FW, a domain of the ECU, a developer ID of the current FW, update timing information, and FW acquisition status information.
ＥＣＵＩＤは、そのファームウェアを記憶している電子制御装置２４の識別子である。ＦＷＩＤは、そのファームウェアの識別子である。現ＦＷのＭＡＣ値は、電子制御装置２４に書き込まれている現ＦＷデータのＭＡＣ値である。
The ECU ID is an identifier of the
ここで、ＭＡＣ値とは、データが改ざんされていないことを検証するためのデータである。ＭＡＣ値は、対象データと鍵データとを用いて算出および検証がされる。ＭＡＣ値の生成および検証は、同一の鍵データが用いられる。例えば、送信者と受信者とが同一の鍵データを保持しているとする。この鍵データは、第三者に対して秘匿される。この場合、送信者は、対象データと自身が保持している鍵データとによりＭＡＣ値を算出する。そして、送信者は、対象データとＭＡＣ値とを受信者に送信する。受信者は、受信した送信データと、自身が保持している鍵データとによりＭＡＣ値を算出する。そして、受信者は、算出したＭＡＣ値と送信者から受信したＭＡＣ値とを比較する。受信者は、一致した場合、受信した対象データが送信者により生成されたものである（すなわち、正当である）と判断することができる。 Here, the MAC value is data for verifying that the data has not been tampered with. The MAC value is calculated and verified using target data and key data. The same key data is used for generating and verifying the MAC value. For example, it is assumed that the sender and the receiver hold the same key data. This key data is kept secret from a third party. In this case, the sender calculates the MAC value from the target data and the key data held by the sender. Then, the sender transmits the target data and the MAC value to the receiver. The receiver calculates the MAC value from the received transmission data and the key data held by the receiver. Then, the receiver compares the calculated MAC value with the MAC value received from the sender. In the case of a match, the receiver can determine that the received target data has been generated by the sender (that is, is valid).
現ＦＷのバージョン番号は、電子制御装置２４に書き込まれている現ＦＷデータのバージョンを表す。バージョン番号は、ファームウェアの実体データのバージョンが新しくなる毎に大きくなる数値または文字であってよい。
The version number of the current FW represents the version of the current FW data written in the
ＥＣＵのドメインは、対象装置が有する機能を表す。例えば、ＥＣＵのドメインは、対象装置が、運動系の装置、エネルギー系の装置、ボディー系の装置またはエンターテイメント系の装置の何れであるかを表す。 The ECU domain represents a function of the target device. For example, the ECU domain indicates whether the target device is an exercise device, an energy device, a body device, or an entertainment device.
現ＦＷの開発者ＩＤは、現ＦＷデータの開発者を識別する情報である。共有鍵データは、開発者ＩＤ毎に割り当てられる。 The current FW developer ID is information for identifying the developer of the current FW data. The shared key data is assigned for each developer ID.
更新タイミング情報は、そのファームウェアを更新可能なタイミングを示す。例えば、更新タイミング情報は、車両の運転中に更新可能であるか否か、車両がブレーキによる停止中に更新可能であるか否か、車両がアイドリング中に更新可能であるか否か、および、車両のエンジンが停止中に更新可能であるか否か等を示す。 The update timing information indicates the timing at which the firmware can be updated. For example, the update timing information can be updated during driving of the vehicle, whether the vehicle can be updated while braking, whether the vehicle can be updated while idling, and Indicates whether or not the vehicle engine can be updated while the vehicle is stopped.
ＦＷ取得状況情報は、中継装置２６による新ＦＷデータの取得状況を示す。例えば、ＦＷ取得状況情報は、何もしていない状況、提供装置２０に問い合わせ中の状況、データを受信中の状況、または、検証中の状況の何れかを示す。
The FW acquisition status information indicates the acquisition status of new FW data by the
図４は、共有鍵記憶部３６に記憶される鍵情報の内容を示す図である。共有鍵記憶部３６は、ファームウェアの開発者毎に、図４に示す鍵情報を記憶する。
FIG. 4 is a diagram showing the contents of the key information stored in the shared
鍵情報は、開発者ＩＤと、共有鍵データとを含む。開発者ＩＤは、ファームウェアの開発者を識別する情報である。共有鍵データは、ＭＡＣ値を算出するために用いられるデータである。 The key information includes a developer ID and shared key data. The developer ID is information for identifying a firmware developer. The shared key data is data used for calculating the MAC value.
なお、開発者ＩＤは、ファームウェアのバージョン毎に異なっていてもよい。例えば、現ＦＷデータの開発者ＩＤと、新ＦＷデータの開発者ＩＤとが異なってもよいし、同一であってもよい。現ＦＷデータの開発者ＩＤと新ＦＷデータの開発者ＩＤとが異なる場合、それぞれに対応する共有鍵データは異なる。 The developer ID may be different for each firmware version. For example, the developer ID of the current FW data and the developer ID of the new FW data may be different or the same. When the developer ID of the current FW data is different from the developer ID of the new FW data, the corresponding shared key data is different.
図５は、一時記憶部３８に記憶される取得情報の内容を示す図である。一時記憶部３８は、提供装置２０から受信した現ＦＷデータおよび新ＦＷデータが正当であると判断される毎に、図５に示す取得情報を記憶する。
FIG. 5 is a diagram illustrating the contents of the acquired information stored in the
取得情報は、ＥＣＵＩＤ、ＦＷＩＤ、現ＦＷデータ、新ＦＷデータ、新ＦＷのＭＡＣ値、新ＦＷのバージョン番号、新ＦＷの開発者ＩＤ、取得エラー回数および更新エラー回数を含む。 The acquisition information includes ECUID, FWID, current FW data, new FW data, new FW MAC value, new FW version number, new FW developer ID, acquisition error count, and update error count.
ＥＣＵＩＤは、更新対象の電子制御装置２４の識別子である。ＦＷＩＤは、更新対象のファームウェアの識別子である。
The ECU ID is an identifier of the
現ＦＷデータおよび新ＦＷデータは、提供装置２０から受信したファームウェアの実体データである。なお、現ＦＷデータは、電子制御装置２４に現在書き込まれている現ＦＷデータと同一であるべきデータである。
The current FW data and the new FW data are firmware actual data received from the providing
新ＦＷのＭＡＣ値は、提供装置２０から受信した新ＦＷデータのＭＡＣ値である。新ＦＷのＭＡＣ値は、例えば、新ＦＷデータの開発者により生成される。新ＦＷのバージョン番号は、新ＦＷデータのバージョンを表す。新ＦＷの開発者ＩＤは、新ＦＷデータの開発者を識別する情報である。
The MAC value of the new FW is the MAC value of the new FW data received from the providing
取得エラー回数は、提供装置２０から受信した現ＦＷデータまたは新ＦＷデータが正当でなかったと判定された回数を表す。更新エラー回数は、電子制御装置２４に書き込んだ新ＦＷデータが正当でなかったと判定された回数を表す。
The number of acquisition errors represents the number of times it is determined that the current FW data or new FW data received from the providing
図６は、状態記憶部４０に記憶される状態情報の内容を示す図である。状態記憶部４０は、電子制御装置２４毎に、図６に示す状態情報を記憶する。
FIG. 6 is a diagram illustrating the contents of the state information stored in the
状態情報は、ＥＣＵＩＤ、ＥＣＵのドメインおよびＥＣＵ状態情報を含む。ＥＣＵＩＤは、その電子制御装置２４の識別子である。ＥＣＵのドメインは、その電子制御装置２４が制御する対象装置が有する機能を表す。
The state information includes an ECU ID, an ECU domain, and ECU state information. The ECU ID is an identifier of the
ＥＣＵ状態情報は、その電子制御装置２４の現在の状態を示す。例えば、ＥＣＵ状態情報は、通常動作中の状態、更新待ちの状態、更新対象のデータの受信中の状態、書き込み中の状態、検証中の状態、または、データを有効化している状態の何れかを示す。
The ECU state information indicates the current state of the
図７は、提供装置２０および中継装置２６の機能構成を示す図である。提供装置２０は、提供情報記憶部５０と、要求受信部５４と、特定部５６と、応答送信部５８とを有する。中継装置２６の取得部３０は、要求送信部５２と、応答受信部６０と、第１検証値生成部６２と、第１検証部６４と、状況更新部６６とを有する。
FIG. 7 is a diagram illustrating functional configurations of the providing
提供情報記憶部５０は、中継装置２６に提供すべき情報を記憶する。提供情報記憶部５０は、ファームウェア毎に、ＥＣＵＩＤ、ＦＷＩＤ、それぞれのバージョンの実体データ、それぞれのバージョンの実体データのＭＡＣ値、それぞれのバージョンのバージョン番号およびそれぞれのバージョンの開発者ＩＤを記憶する。開発者ＩＤは、バージョン毎に共通であってもよい。
The provided
要求送信部５２は、制御対象システム２２が備えるそれぞれの電子制御装置２４に記憶されたそれぞれのファームウェアについて、取得要求を提供装置２０に送信する。要求送信部５２は、例えば、ファームウェア毎に予め定められたタイミングで（例えば定期的に）、取得要求を送信する。
The
要求送信部５２は、電子制御装置２４を識別するＥＣＵＩＤ（装置識別子）と、現ＦＷデータを識別するＦＷＩＤ（データ識別子）と、現ＦＷデータのバージョンを特定可能なバージョン特定情報とを含む取得要求を、提供装置２０に送信する。要求送信部５２は、管理データ記憶部３４から、そのファームウェアについての管理データを読み出して、取得要求を生成する。
The
バージョン特定情報は、現ＦＷデータのＭＡＣ値（電子制御装置２４に記憶されている現ＦＷデータを検証するための検証値）である。バージョン特定情報は、ＭＡＣ値に代えて、現ＦＷデータのバージョン番号であってもよい。 The version specifying information is a MAC value of the current FW data (a verification value for verifying the current FW data stored in the electronic control unit 24). The version specifying information may be the version number of the current FW data instead of the MAC value.
要求受信部５４は、取得要求を中継装置２６から受信する。特定部５６は、提供情報記憶部５０から、取得要求に含まれるＥＣＵＩＤおよびＦＷＩＤに対応するファームウェアに関する情報を読み出す。特定部５６は、読み出した情報に基づき、バージョン特定情報により特定されるバージョンよりも新しいバージョンの実体データが、開発者から提供されているかを判断する。すなわち、特定部５６は、取得要求により特定されるファームウェアについて、電子制御装置２４が記憶している現ＦＷデータのバージョンよりも新しいバージョンの実体データ（新ＦＷデータ）が、存在するか否かを判断する。
The
応答送信部５８は、受信した取得要求に応じた応答情報を、中継装置２６に送信する。応答送信部５８は、新ＦＷデータが存在しない場合、ＥＣＵＩＤ、ＦＷＩＤおよび更新フラグを含む応答情報を送信する。応答送信部５８は、新ＦＷデータが存在する場合、ＥＣＵＩＤ、ＦＷＩＤ、更新フラグ、現ＦＷデータ、新ＦＷデータ、新ＦＷのＭＡＣ値、新ＦＷのバージョン番号および新ＦＷの開発者ＩＤを含む応答情報を送信する。
The
応答情報に含まれるＥＣＵＩＤおよびＦＷＩＤは、取得要求に含まれるＥＣＵＩＤおよびＦＷＩＤと同一である。更新フラグは、バージョン特定情報により特定されるバージョンよりも新しいバージョンのＦＷデータ（新ＦＷデータ）が存在するか否かを示すフラグである。本実施形態においては、更新フラグは、新ＦＷデータが存在しない場合には０、新ＦＷデータが存在する場合には０以外の値となる。なお、開発者ＩＤがバージョン毎に共通である場合、応答送信部５８は、開発者ＩＤを送信しなくてもよい。
The ECU ID and FWID included in the response information are the same as the ECU ID and FWID included in the acquisition request. The update flag is a flag indicating whether or not there is a newer version of FW data (new FW data) than the version specified by the version specifying information. In the present embodiment, the update flag has a value other than 0 when new FW data does not exist and a value other than 0 when new FW data exists. When the developer ID is common for each version, the
応答受信部６０は、取得要求に応じた応答情報を、提供装置２０から受信する。新ＦＷデータが存在しない場合、応答受信部６０は、ＥＣＵＩＤ、ＦＷＩＤおよび更新フラグを含む応答情報を受信する。新ＦＷデータが存在する場合、応答受信部６０は、ＥＣＵＩＤ、ＦＷＩＤ、更新フラグ、現ＦＷデータ、新ＦＷデータ、新ＦＷのＭＡＣ値、新ＦＷのバージョン番号および新ＦＷの開発者ＩＤを含む応答情報を受信する。
The
第１検証値生成部６２は、提供装置２０から受信した現ＦＷデータについて、ＭＡＣ値（第２検証値）を算出する。具体的には、第１検証値生成部６２は、現ＦＷの開発者ＩＤに対応する共有鍵データを共有鍵記憶部３６から読み出す。第１検証値生成部６２は、読み出した共有鍵データと、提供装置２０から受信した現ＦＷデータとによりＭＡＣ値を算出する。
The first verification
さらに、第１検証値生成部６２は、提供装置２０から受信した新ＦＷデータについて、ＭＡＣ値（第４検証値）を算出する。具体的には、第１検証値生成部６２は、新ＦＷの開発者ＩＤに対応する共有鍵データを共有鍵記憶部３６から読み出す。第１検証値生成部６２は、読み出した共有鍵データと、提供装置２０から受信した新ＦＷデータとによりＭＡＣ値を算出する。
Further, the first verification
第１検証部６４は、提供装置２０から受信した現ＦＷデータが正当であるか否かを判断する。具体的には、第１検証部６４は、電子制御装置２４に記憶されている現ＦＷデータを検証するための第１検証値と、提供装置２０から受信した現ＦＷデータを検証するための第２検証値とが一致する場合に、提供装置２０から受信した現ＦＷデータが正当であると判断する。
The
ここで、第１検証値は、管理データ記憶部３４に記憶されている現ＦＷのＭＡＣ値である。第２検証値は、第１検証値生成部６２により算出された現ＦＷデータのＭＡＣ値である。すなわち、第１検証部６４は、提供装置２０から受信した現ＦＷデータが、電子制御装置２４に記憶されている現ＦＷデータと同一であるか否かを検証する。
Here, the first verification value is the MAC value of the current FW stored in the management
さらに、第１検証部６４は、提供装置２０から受信した新ＦＷデータが正当であるか否かを判断する。具体的には、第１検証部６４は、提供装置２０から受信した第３検証値と、共有鍵データと提供装置２０から受信した新ＦＷデータとにより算出された第４検証値とが一致する場合に、提供装置２０から受信した新ＦＷデータが正当であると判断する。
Further, the
ここで、第３検証値は、取得要求に応じて、提供装置２０から受信した新ＦＷデータのＭＡＣ値（新ＦＷのＭＡＣ値）である。第４検証値は、第１検証値生成部６２により算出された新ＦＷデータのＭＡＣ値である。すなわち、第１検証部６４は、提供装置２０から受信した新ＦＷデータの開発者が、中継装置２６と同一の共有鍵データを保持しているか否かを検証する。
Here, the third verification value is the MAC value of the new FW data (MAC value of the new FW) received from the providing
第１検証部６４は、提供装置２０から受信した現ＦＷデータまたは新ＦＷデータの何れかが正当でない場合、要求送信部５２に対して、再度、取得要求を送信させる。第１検証部６４は、一定回数、同一の取得要求を送信しても現ＦＷデータおよび新ＦＷデータの何れかが正当ではない場合、取得要求の送信を中止させる。
If either the current FW data or the new FW data received from the providing
第１検証部６４は、提供装置２０から受信した現ＦＷデータおよび新ＦＷデータが正当であることを条件として、応答受信部６０が受信した情報を一時記憶部３８に記憶させる。具体的には、第１検証部６４は、提供装置２０から受信した、ＥＣＵＩＤ、ＦＷＩＤ、現ＦＷデータ、新ＦＷデータ、新ＦＷのＭＡＣ値、新ＦＷのバージョン番号および新ＦＷの開発者ＩＤを、一時記憶部３８に記憶させる。なお、バージョン毎に開発者ＩＤが共通である場合、第１検証部６４は、一時記憶部３８に新ＦＷの開発者ＩＤを記憶させなくてもよい。また、第１検証部６４は、現ＦＷデータおよび新ＦＷデータの何れかが正当ではないと判断された回数（エラー回数）も、一時記憶部３８に記憶させてもよい。
The
状況更新部６６は、それぞれのファームウェアについて、ＦＷ取得状況情報を管理データ記憶部３４に書き込む。
The
以上の構成により、中継装置２６は、提供装置２０から現ＦＷデータおよび新ＦＷデータを受信することができる。さらに、中継装置２６は、受信した現ＦＷデータおよび新ＦＷデータが正当であるか否かを判断することができる。そして、中継装置２６は、受信した現ＦＷデータおよび新ＦＷデータが正当であることを条件として、一時記憶部３８に現ＦＷデータおよび新ＦＷデータを記憶させることができる。
With the above configuration, the
図８は、中継装置２６による取得処理フローを示す図である。取得部３０は、図８に示す取得処理を実行する。
FIG. 8 is a diagram illustrating an acquisition processing flow by the
まず、ステップＳ１１において、取得部３０は、何れかのファームウェアについて、予め定められたタイミングにおいて取得要求を提供装置２０に送信する。この場合において、取得部３０は、ＥＣＵＩＤと、ＦＷＩＤと、バージョン特定情報（現ＦＷのＭＡＣ値または現ＦＷのバージョン番号）とを含む取得要求を、提供装置２０に送信する。
First, in step S <b> 11, the
提供装置２０は、取得要求に応じて、対応するファームウェアについての応答情報を中継装置２６に送信する。具体的には、提供装置２０は、対応する新ＦＷデータが存在しない場合、ＥＣＵＩＤ、ＦＷＩＤ、および、値が０とされた更新フラグを含む応答情報を送信する。提供装置２０は、新ＦＷデータが存在する場合、ＥＣＵＩＤ、ＦＷＩＤ、値が０以外とされた更新フラグ、現ＦＷデータ、新ＦＷデータ、新ＦＷのＭＡＣ値、新ＦＷのバージョン番号および新ＦＷの開発者ＩＤを含む応答情報を送信する。
The providing
続いて、ステップＳ１２において、取得部３０は、応答情報を受信する。続いて、ステップＳ１３において、取得部３０は、応答情報に含まれる更新フラグが、０以外の値であるか否かを判断する。更新フラグが０である場合（Ｓ１３のＮｏ）、取得部３０は、本フローを終了する。更新フラグが０以外の値である場合（Ｓ１３のＹｅｓ）、処理をステップＳ１４に進める。
Subsequently, in step S12, the
ステップＳ１４において、取得部３０は、受信した現ＦＷデータが正当であるか否かを判断する。ステップＳ１４の処理については、図９のフローにおいてさらに詳細に説明する。取得部３０は、正当である場合（Ｓ１４のＹｅｓ）、処理をステップＳ１５に進め、正当でない場合（Ｓ１４のＮｏ）、処理をステップＳ１７に進める。
In step S14, the
ステップＳ１５において、取得部３０は、受信した新ＦＷデータが正当であるか否かを判断する。ステップＳ１５の処理については、図１０のフローにおいてさらに詳細に説明する。取得部３０は、正当である場合（Ｓ１５のＹｅｓ）、処理をステップＳ１６に進め、正当でない場合（Ｓ１５のＮｏ）、処理をステップＳ１７に進める。
In step S15, the
ステップＳ１６において、取得部３０は、提供装置２０から受信したＥＣＵＩＤ、ＦＷＩＤ、現ＦＷデータ、新ＦＷデータ、新ＦＷのＭＡＣ値、新ＦＷのバージョン番号および新ＦＷの開発者ＩＤを、一時記憶部３８に書き込む。ステップＳ１６を終えると、取得部３０は、本フローを終了する。この場合、取得部３０は、正当な現ＦＷデータまたは新ＦＷデータを受信できている。
In step S16, the
ステップＳ１７において、取得部３０は、同一の取得要求を送信しても現ＦＷデータおよび新ＦＷデータの何れかが正当ではなかった回数（エラー回数）が、一定回数以上であるか否かを判断する。エラー回数が一定回数未満である場合（Ｓ１７のＮｏ）、取得部３０は、処理をステップＳ１１に戻す。これにより、取得部３０は、通信エラー等により正当なデータが受信できなかった場合であっても、次の機会において正当なデータを受信させることができる。
In step S <b> 17, the
エラー回数が一定回数以上である場合（Ｓ１７のＹｅｓ）、取得部３０は、本フローを終了する。
When the number of errors is equal to or greater than the predetermined number (Yes in S17), the
図９は、提供装置２０から受信した現ＦＷデータの正当性を判断するフローを示す図である。取得部３０は、ステップＳ１４において、図９に示す処理を実行する。
FIG. 9 is a diagram illustrating a flow for determining the validity of the current FW data received from the providing
まず、取得部３０は、管理データ記憶部３４に記憶されている現ＦＷのＭＡＣ値（第１検証値）を読み出す（Ｓ２１）。続いて、取得部３０は、現ＦＷの開発者ＩＤを管理データ記憶部３４から読み出す（Ｓ２２）。続いて、取得部３０は、現ＦＷの開発者ＩＤに対応する共有鍵データを共有鍵記憶部３６から読み出す（Ｓ２３）。続いて、取得部３０は、提供装置２０から受信した現ＦＷデータを取得する（Ｓ２４）。続いて、取得部３０は、読み出した共有鍵データと、提供装置２０から受信した現ＦＷデータとによりＭＡＣ値（第２検証値）を算出する（Ｓ２５）。
First, the
続いて、取得部３０は、第１検証値と第２検証値とが一致するか否かを判断する（Ｓ２６）。取得部３０は、第１検証値と第２検証値とが一致する場合（Ｓ２６のＹｅｓ）、提供装置２０から受信した現ＦＷデータが正当である（Ｓ２７）として、処理を終了する。取得部３０は、第１検証値と第２検証値とが一致しない場合（Ｓ２６のＮｏ）、提供装置２０から受信した現ＦＷデータが正当ではない（Ｓ２８）として、処理を終了する。
Subsequently, the acquiring
図１０は、提供装置２０から受信した新ＦＷデータの正当性を判断するフローを示す図である。取得部３０は、ステップＳ１５において、図１０に示す処理を実行する。
FIG. 10 is a diagram illustrating a flow for determining the validity of the new FW data received from the providing
まず、取得部３０は、提供装置２０から受信した、新ＦＷのＭＡＣ値（第３検証値）を取得する（Ｓ３１）。続いて、取得部３０は、提供装置２０から受信した新ＦＷの開発者ＩＤを取得する（Ｓ３２）。続いて、取得部３０は、新ＦＷの開発者ＩＤに対応する共有鍵データを共有鍵記憶部３６から読み出す（Ｓ３３）。続いて、取得部３０は、提供装置２０から受信した新ＦＷデータを取得する（Ｓ３４）。続いて、取得部３０は、読み出した共有鍵データと、提供装置２０から受信した新ＦＷデータとによりＭＡＣ値（第４検証値）を算出する（Ｓ３５）。
First, the
続いて、取得部３０は、第３検証値と第４検証値とが一致するか否かを判断する（Ｓ３６）。取得部３０は、第３検証値と第４検証値とが一致する場合（Ｓ３６のＹｅｓ）、提供装置２０から受信した新ＦＷデータが正当である（Ｓ３７）として、処理を終了する。取得部３０は、第３検証値と第４検証値とが一致しない場合（Ｓ３６のＮｏ）、提供装置２０から受信した新ＦＷデータが正当ではない（Ｓ３８）として、処理を終了する。
Subsequently, the
図１１は、中継装置２６および電子制御装置２４の機能構成を示す図である。電子制御装置２４は、データ記憶部７０と、制御部７２と、状態送信部７４と、開始受信部８２と、データ受信部８６と、書込部８８と、第１鍵記憶部９０と、第２検証値生成部９２と、検証値送信部９４と、終了受信部１０４とを有する。中継装置２６の更新部３２は、状態受信部７６と、開始検知部７８と、開始送信部８０と、データ送信部８４と、検証値受信部９６と、第２検証部９８と、確定部１００と、通知部１０２とを有する。
FIG. 11 is a diagram illustrating functional configurations of the
データ記憶部７０は、ファームウェアの実体データ（現ＦＷデータ）を記憶する。制御部７２は、データ記憶部７０に記憶された現ＦＷデータに基づき対象装置を制御する。
The
状態送信部７４は、電子制御装置２４の状態を検知する。例えば、状態送信部７４は、通常動作中の状態、更新待ちの状態、更新対象のデータの受信中の状態、書き込み中の状態、検証中の状態、または、データを有効化している状態の何れかを検知する。状態送信部７４は、検知した状態を示すＥＣＵ状態情報を中継装置２６に送信する。
The
状態受信部７６は、電子制御装置２４からＥＣＵ状態情報を受信する。状態受信部７６は、受信したＥＣＵ状態情報を状態記憶部４０に記憶させる。
The
開始検知部７８は、提供装置２０から正当な新ＦＷデータおよび現ＦＷデータの検証が完了し、未だ新ＦＷデータを電子制御装置２４に書き込んでいないファームウェアについて、更新可能か否かを判断する。例えば、開始検知部７８は、制御対象システム２２の状態が管理データ記憶部３４に記憶された更新タイミング情報と一致、且つ、ＥＣＵ状態情報が通常動作中を示している場合、更新可能と判断する。開始検知部７８は、更新可能である場合、開始送信部８０およびデータ送信部８４に開始指示を与える。
The
開始送信部８０は、開始指示を受け取ると、更新対象の電子制御装置２４に更新開始を示す情報を送信する。これにより、更新対象の電子制御装置２４は、データの受信の準備等をすることができる。また、開始送信部８０は、他の電子制御装置２４に、更新対象の電子制御装置２４がファームウェアの更新を開始する旨を示す情報を送信する。これにより、他の電子制御装置２４は、更新期間中に動作の不具合が生じないように、動作の制限をしたり、ユーザに警告したりすることができる。
When the
開始受信部８２は、中継装置２６から更新開始を示す情報を受信する。開始受信部８２は、更新開始を示す情報を受信した場合、制御部７２による動作を制限させる。これにより、開始受信部８２は、更新期間中に、対象装置に動作の不具合が生じないように制御することができる。
The
データ送信部８４は、開始検知部７８から開始指示を受け取ると、提供装置２０から受信した新ＦＷデータを電子制御装置２４に送信して、電子制御装置２４に記憶されている現ＦＷデータを新ＦＷデータに更新させる。具体的には、データ送信部８４は、一時記憶部３８に記憶された新ＦＷデータを電子制御装置２４に送信するとともに、更新指示を送信する。
When the
なお、一時記憶部３８には、正当であると判断された新ＦＷデータが記憶される。従って、データ送信部８４は、正当であると判断された新ＦＷデータを電子制御装置２４へ送信することができる。また、データ送信部８４は、開始検知部７８から開始指示を受けた場合に新ＦＷデータを送信するので、電子制御装置２４による制御の対象装置が予め定められた状態となった場合に、新ＦＷデータを送信することができる。
The
データ受信部８６は、中継装置２６から、新ＦＷデータおよび更新指示を受信する。書込部８８は、更新指示を受信した場合、データ記憶部７０に記憶されている現ＦＷデータを、中継装置２６から受信した新ＦＷデータに更新する。例えば、書込部８８は、データ記憶部７０における現ＦＷデータが記憶されている領域に新ＦＷデータを上書きしたり、データ記憶部７０に記憶されている現ＦＷデータを削除してデータ記憶部７０の予め定められた領域に新ＦＷデータを書き込んだりする。
The
第１鍵記憶部９０は、データ記憶部７０に書き込まれたデータを検証するために用いる鍵データを記憶する。本実施形態においては、第１鍵記憶部９０は、現ＦＷの開発者ＩＤに対応する共有鍵データおよび新ＦＷの開発者ＩＤに対応する共有鍵データを記憶する。現ＦＷの開発者ＩＤと新ＦＷの開発者ＩＤとが同一であれば、第１鍵記憶部９０は、１つの共有鍵データを記憶する。
The first
なお、第１鍵記憶部９０は、中継装置２６と提供装置２０とが共有する共有鍵データとは異なる鍵データを記憶していてもよい。この場合、第１鍵記憶部９０は、この鍵データを中継装置２６と共有しており、第三者に対して秘匿している。更新部３２は、この鍵データを記憶する記憶部およびこの鍵データからＭＡＣ値を生成するための検証値生成部を有する。また、この鍵データは、定期的に更新されてもよいし、中継装置２６と電子制御装置２４とが秘匿化通信をする毎に新たに生成されてもよい。
The first
第２検証値生成部９２は、更新処理においてデータ記憶部７０に書き込まれた新ＦＷデータを検証するためのＭＡＣ値（第５検証値）を算出する。具体的には、第２検証値生成部９２は、新ＦＷの開発者ＩＤに対応する共有鍵データを第１鍵記憶部９０から読み出す。そして、第２検証値生成部９２は、読み出した共有鍵データと、更新処理においてデータ記憶部７０に書き込まれた新ＦＷデータとによりＭＡＣ値を算出する。
The second verification
検証値送信部９４は、更新処理においてデータ記憶部７０に書き込まれた新ＦＷデータを検証するためのＭＡＣ値を中継装置２６に送信する。検証値受信部９６は、電子制御装置２４から、更新処理においてデータ記憶部７０に書き込まれた新ＦＷデータを検証するためのＭＡＣ値を受信する。
The verification
第２検証部９８は、更新処理において電子制御装置２４に書き込まれた新ＦＷデータが正当であるか否かを検証する。具体的には、第２検証部９８は、更新処理において電子制御装置２４に書き込まれた新ＦＷデータを検証するための第５検証値と、電子制御装置２４へと送信した新ＦＷデータを検証するための第６検証値とが一致しない場合に、更新処理により電子制御装置２４に書き込まれた新ＦＷデータが正当ではないと判断する。
The
ここで、第５検証値は、第２検証値生成部９２により算出された、データ記憶部７０に書き込まれた新ＦＷデータに対するＭＡＣ値である。また、第６検証値は、提供装置２０から受信した新ＦＷデータのＭＡＣ値である。すなわち、第２検証部９８は、提供装置２０から受信した新ＦＷデータが、改竄されずに電子制御装置２４に書き込まれたか否かを検証する。
Here, the fifth verification value is a MAC value calculated by the second verification
第２検証部９８は、更新処理において電子制御装置２４に書き込まれた新ＦＷデータが正当であると判断した場合、確定部１００および通知部１０２に通知する。
When the
確定部１００は、更新処理において電子制御装置２４に書き込まれた新ＦＷデータが正当である旨の通知を受けた場合、一時記憶部３８に記憶されている情報を読み出して、管理データ記憶部３４に記憶させる。具体的には、確定部１００は、新ＦＷのＭＡＣ値、新ＦＷのバージョン番号および新ＦＷの開発者ＩＤを一時記憶部３８から読み出し、同一のファームウェアについての管理データに含まれる、現ＦＷのＭＡＣ値、現ＦＷのバージョン番号および現ＦＷの開発者ＩＤとして、管理データ記憶部３４に書き込む。これにより、中継装置２６は、管理データ記憶部３４に記憶される管理データを更新することができる。なお、確定部１００は、管理データ記憶部３４に必要な情報を記憶させた後、一時記憶部３８に記憶されている情報を削除してもよい。
When receiving the notification that the new FW data written in the
通知部１０２は、第２検証部９８から新ＦＷデータが正当である旨の通知を受けた場合、他の電子制御装置２４および更新対象の電子制御装置２４に、ファームウェアの更新を完了したことを示す情報を送信する。これにより、他の電子制御装置２４は、動作の制限を解除したり、ユーザに対する警告を解除したりすることができる。
When the
終了受信部１０４は、中継装置２６から、ファームウェアの更新を完了したことを示す情報を受信する。終了受信部１０４は、更新を完了したことを示す情報を受信した場合、制御部７２による動作の制限を解除させる。これにより、制御部７２は、新ＦＷデータに基づき対象装置を制御することができる。
The
一方、第２検証部９８は、更新処理において電子制御装置２４に書き込まれた新ＦＷデータが正当ではないと判断した場合、更新処理が失敗したことを、データ送信部８４に通知する。
On the other hand, when the
データ送信部８４は、更新処理が失敗した場合、提供装置２０から受信した現ＦＷデータを電子制御装置２４に送信して、電子制御装置２４に現ＦＷデータを復元させる。具体的には、データ送信部８４は、一時記憶部３８に記憶された現ＦＷデータを電子制御装置２４に送信するとともに、復元指示を送信する。なお、一時記憶部３８には、正当であると判断された現ＦＷデータが記憶される。従って、データ送信部８４は、正当であると判断された現ＦＷデータを電子制御装置２４へ送信することができる。
When the update process fails, the
データ受信部８６は、中継装置２６から、現ＦＷデータおよび復元指示を受信する。書込部８８は、復元指示を受信した場合、データ記憶部７０に記憶されていた現ＦＷデータを復元する。例えば、書込部８８は、データ記憶部７０における現ＦＷデータが元々記憶されていた領域に、受信した現ＦＷデータを上書きする。また、書込部８８は、更新処理において書き込まれた新ＦＷデータを削除してから、現ＦＷデータを書き込んでもよい。
The
第２検証値生成部９２は、復元処理においてデータ記憶部７０に書き込まれた現ＦＷデータを検証するためのＭＡＣ値（第７検証値）を算出する。具体的には、第２検証値生成部９２は、第１鍵記憶部９０に記憶された現ＦＷの開発者ＩＤに対応する共有鍵データを第１鍵記憶部９０から読み出す。そして、第２検証値生成部９２は、読み出した共有鍵データと、復元処理においてデータ記憶部７０に書き込まれた現ＦＷデータとによりＭＡＣ値を算出する。
The second verification
検証値送信部９４は、復元処理においてデータ記憶部７０に書き込まれた現ＦＷデータを検証するためのＭＡＣ値を中継装置２６に送信する。検証値受信部９６は、電子制御装置２４から、復元処理においてデータ記憶部７０に書き込まれた現ＦＷデータを検証するためのＭＡＣ値を受信する。
The verification
第２検証部９８は、復元処理において電子制御装置２４に書き込まれた現ＦＷデータが正当であるか否かを検証する。具体的には、第２検証部９８は、復元処理において電子制御装置２４に書き込まれた現ＦＷデータを検証するための第７検証値と、電子制御装置２４へと送信した現ＦＷデータを検証するための第８検証値とが一致しない場合に、復元処理により電子制御装置２４に書き込まれた現ＦＷデータが正当ではないと判断する。
The
ここで、第７検証値は、第２検証値生成部９２により算出された、データ記憶部７０に書き込まれた現ＦＷデータに対するＭＡＣ値である。また、第８検証値は、管理データ記憶部３４に記憶されている現ＦＷデータのＭＡＣ値である。すなわち、第２検証部９８は、管理データ記憶部３４に元々記憶されていた現ＦＷデータと同一のデータが、電子制御装置２４に書き込まれたか否かを検証する。
Here, the seventh verification value is a MAC value for the current FW data written in the
第２検証部９８は、復元処理において電子制御装置２４に書き込まれた現ＦＷデータが正当であると判断した場合、通知部１０２に通知する。通知部１０２は、第２検証部９８から現ＦＷデータが正当である旨の通知を受けた場合、他の電子制御装置２４および更新対象の電子制御装置２４に、処理が完了したことを示す情報を送信する。これにより、他の電子制御装置２４は、動作の制限を解除したり、ユーザに対する警告を解除したりすることができる。
The
終了受信部１０４は、中継装置２６から処理が完了したことを示す情報を受信する。終了受信部１０４は、処理が完了したことを示す情報を受信した場合、制御部７２による動作の制限を解除させる。これにより、制御部７２は、現ＦＷデータに基づき対象装置を制御することができる。
The
また、第２検証部９８は、復元処理において電子制御装置２４に書き込まれた現ＦＷデータが正当でないと判断した場合、復元処理が失敗したことをデータ送信部８４に通知する。データ送信部８４は、復元処理が失敗した場合、再度、提供装置２０から受信した現ＦＷデータを電子制御装置２４に送信して、電子制御装置２４に現ＦＷデータを復元させる。これにより、第２検証部９８は、電子制御装置２４に繰り返して復元処理を実行させることができる。
If the
ただし、第２検証部９８は、復元処理において電子制御装置２４に書き込んだ現ＦＷデータが正当でなかった回数（エラー回数）が一定回数以上となった場合、データ送信部８４による現ＦＷデータの再送信を終了させる。また、第２検証部９８は、現ＦＷデータが正当ではないと判断された回数（エラー回数）を、一時記憶部３８に記憶させてもよい。
However, if the number of times that the current FW data written to the
そして、第２検証部９８は、電子制御装置２４に正当なデータが書き込まれていないことを通知部１０２に通知する。通知部１０２は、第２検証部９８から、正当なデータが書き込まれていないことの通知を受けると、他の電子制御装置２４および更新対象の電子制御装置２４に、正当なデータが書き込まれていないことを示す情報を送信する。これにより、他の電子制御装置２４は、更新対象の電子制御装置２４に関連する動作を制限したり、ユーザに対する警告をしたりすることができる。
Then, the
また、通知部１０２は、正当なデータが書き込まれていないことを示す通知を受け取ると、更新対象の電子制御装置２４に、正当なデータが書き込まれていないことを示す情報を送信する。終了受信部１０４は、正当なデータが書き込まれていないことを示す情報を受信した場合、制御部７２による動作を制限する。これにより、制御部７２は、正当でないデータに基づく対象装置の制御を禁止することができる。
When the
以上の構成により、中継装置２６は、電子制御装置２４に記憶された現ＦＷデータを、提供装置２０から受信した新ＦＷデータに更新することができる。また、中継装置２６は、更新処理において電子制御装置２４に書き込まれた新ＦＷデータが正当ではない場合には、提供装置２０から受信した現ＦＷデータにより、電子制御装置２４に記憶された現ＦＷデータを復元することができる。
With the above configuration, the
図１２は、中継装置２６による更新処理フローを示す図である。更新部３２は、図１２に示す更新処理を実行する。
FIG. 12 is a diagram showing an update processing flow by the
まず、ステップＳ４１において、更新部３２は、更新対象のファームウェアについての更新タイミング情報を管理データ記憶部３４から読み出す。続いて、ステップＳ４２において、更新部３２は、更新対象の電子制御装置２４についてのＥＣＵ状態情報を状態記憶部４０から読み出す。
First, in step S <b> 41, the
続いて、ステップＳ４３において、更新部３２は、更新処理を開始するか否かを判断する。具体的には、更新部３２は、制御対象システム２２の状態が更新タイミング情報と一致し、且つ、ＥＣＵ状態情報が通常動作中を示している場合、更新可能と判断する。更新部３２は、更新可能ではない場合（Ｓ４３のＮｏ）、処理をステップＳ４４に進めて一定時間待機した後に、再度、ステップＳ４２から処理を繰り返す。更新部３２は、更新可能である場合（Ｓ４３のＹｅｓ）、処理をステップＳ４５に進める。
Subsequently, in step S43, the
ステップＳ４５において、更新部３２は、更新対象の電子制御装置２４に更新開始を示す情報を送信する。続いて、ステップＳ４６において、更新部３２は、他の電子制御装置２４に、更新対象の電子制御装置２４におけるファームウェアの更新の開始を示す情報を送信する。
In step S <b> 45, the
続いて、ステップＳ４７において、更新部３２は、提供装置２０から受信した新ＦＷデータを電子制御装置２４に送信して、電子制御装置２４に記憶されている現ＦＷデータを新ＦＷデータに更新させる。具体的には、更新部３２は、一時記憶部３８に記憶されている正当であると判断された新ＦＷデータを、更新指示とともに電子制御装置２４に送信する。
Subsequently, in step S47, the updating
ここで、更新対象の電子制御装置２４は、中継装置２６から、新ＦＷデータおよび更新指示を受信した場合、記憶している現ＦＷデータを、中継装置２６から受信した新ＦＷデータに更新する。続いて、電子制御装置２４は、更新処理においてデータ記憶部７０に書き込まれた新ＦＷデータを検証するためのＭＡＣ値（第５検証値）を算出する。
Here, when receiving the new FW data and the update instruction from the
続いて、ステップＳ４８において、更新部３２は、更新対象の電子制御装置２４から、書き込んだ新ＦＷデータを検証するためのＭＡＣ値（第５検証値）を受信する。
Subsequently, in step S48, the updating
続いて、ステップＳ４９において、更新部３２は、更新処理において電子制御装置２４に書き込まれた新ＦＷデータが正当であるか否かを検証する。ステップＳ４９の処理については、図１３のフローにおいてさらに詳細に説明する。更新部３２は、正当である場合（Ｓ４９のＹｅｓ）、処理をステップＳ５０に進め、正当でない場合（Ｓ４９のＮｏ）、処理をステップＳ５２に進める。
Subsequently, in step S49, the
ステップＳ５０において、更新部３２は、一時記憶部３８に記憶されている情報を読み出して、管理データ記憶部３４に転送する。具体的には、更新部３２は、一時記憶部３８から新ＦＷのＭＡＣ値、新ＦＷのバージョン番号および新ＦＷの開発者ＩＤを読み出して、現ＦＷのＭＡＣ値、現ＦＷのバージョン番号および現ＦＷの開発者ＩＤとして管理データ記憶部３４に記憶させる。
In step S <b> 50, the
続いて、ステップＳ５１において、更新部３２は、更新対象の電子制御装置２４および他の電子制御装置２４に、更新対象の電子制御装置２４におけるファームウェアの更新の完了を示す終了通知を送信する。そして、更新部３２は、本ファームウェアについて更新処理を終了する。
Subsequently, in step S <b> 51, the
一方、ステップＳ５２において、更新部３２は、提供装置２０から受信した現ＦＷデータを電子制御装置２４に送信して、電子制御装置２４に現ＦＷデータを復元させる。具体的には、更新部３２は、一時記憶部３８に記憶されている正当であると判断された現ＦＷデータを、復元指示とともに電子制御装置２４に送信する。
On the other hand, in step S52, the updating
ここで、更新対象の電子制御装置２４は、中継装置２６から、現ＦＷデータおよび復元指示を受信した場合、中継装置２６から受信した現ＦＷデータを記憶する。具体的には、電子制御装置２４は、更新処理において書き込まれた新ＦＷデータを削除して、データ記憶部７０における現ＦＷデータが元々記憶されていた領域に、受信した現ＦＷデータを書き込む。そして、電子制御装置２４は、復元処理においてデータ記憶部７０に書き込まれた現ＦＷデータを検証するためのＭＡＣ値（第７検証値）を算出する。
Here, when receiving the current FW data and the restoration instruction from the
続いて、ステップＳ５３において、更新部３２は、更新対象の電子制御装置２４から、書き込んだ現ＦＷデータを検証するためのＭＡＣ値（第７検証値）を受信する。
Subsequently, in step S53, the updating
続いて、ステップＳ５４において、更新部３２は、復元処理において電子制御装置２４に書き込まれた現ＦＷデータが正当であるか否かを検証する。ステップＳ５４の処理については、図１４のフローにおいてさらに詳細に説明する。更新部３２は、正当である場合（Ｓ５４のＹｅｓ）、処理をステップＳ５１に進め、終了通知を送信して、本ファームウェアについて更新処理を終了する。更新部３２は、正当でない場合（Ｓ５４のＮｏ）、処理をステップＳ５５に進める。
Subsequently, in step S54, the updating
ステップＳ５５において、更新部３２は、復元処理において電子制御装置２４に書き込まれた現ＦＷデータが正当でなかった回数（エラー回数）が、一定回数以上であるか否かを判断する。エラー回数が一定回数未満である場合（Ｓ５５のＮｏ）、更新部３２は、処理をステップＳ５２に戻して、現ＦＷデータの送信から処理を繰り返す。エラー回数が一定回数以上である場合（Ｓ５５のＹｅｓ）、処理をステップＳ５６に進める。
In step S55, the updating
ステップＳ５６において、更新部３２は、更新対象の電子制御装置２４および他の電子制御装置２４に、更新対象の電子制御装置２４に正当なデータが書き込まれていないことを示す失敗通知を送信する。そして、更新部３２は、本ファームウェアについて更新処理を終了する。
In step S <b> 56, the
図１３は、更新処理において電子制御装置２４に書き込まれた新ＦＷデータの正当性を判断するフローを示す図である。更新部３２は、ステップＳ４９において、図１３に示す処理を実行する。
FIG. 13 is a diagram showing a flow for determining the validity of the new FW data written in the
まず、更新部３２は、更新処理において電子制御装置２４に書き込まれた新ＦＷデータを検証するための第５検証値を取得する（Ｓ６１）。第５検証値は、電子制御装置２４により算出された、電子制御装置２４に書き込まれた新ＦＷデータに対するＭＡＣ値である。続いて、更新部３２は、一時記憶部３８から新ＦＷのＭＡＣ値（第６検証値）を読み出す（Ｓ６２）。
First, the
続いて、更新部３２は、第５検証値と第６検証値とが一致するか否かを判断する（Ｓ６３）。更新部３２は、第５検証値と第６検証値とが一致する場合（Ｓ６３のＹｅｓ）、電子制御装置２４に書き込まれた新ＦＷデータが正当である（Ｓ６４）として、処理を終了する。更新部３２は、第５検証値と第６検証値とが一致しない場合（Ｓ６３のＮｏ）、電子制御装置２４に書き込まれた新ＦＷデータが正当ではない（Ｓ６５）として、処理を終了する。
Subsequently, the updating
図１４は、復元処理において電子制御装置２４に書き込まれた現ＦＷデータの正当性を判断するフローを示す図である。更新部３２は、ステップＳ５４において、図１４に示す処理を実行する。
FIG. 14 is a diagram showing a flow for determining the validity of the current FW data written in the
まず、更新部３２は、復元処理において電子制御装置２４に書き込まれた現ＦＷデータを検証するための第７検証値を取得する（Ｓ７１）。第７検証値は、電子制御装置２４により算出された、電子制御装置２４に書き込まれた現ＦＷデータに対するＭＡＣ値である。続いて、更新部３２は、管理データ記憶部３４から現ＦＷのＭＡＣ値（第８検証値）を読み出す（Ｓ７２）。
First, the
続いて、更新部３２は、第７検証値と第８検証値とが一致するか否かを判断する（Ｓ７３）。更新部３２は、第７検証値と第８検証値とが一致する場合（Ｓ７３のＹｅｓ）、電子制御装置２４に書き込まれた現ＦＷデータが正当である（Ｓ７４）として、処理を終了する。更新部３２は、第７検証値と第８検証値とが一致しない場合（Ｓ７３のＮｏ）、電子制御装置２４に書き込まれた現ＦＷデータが正当ではない（Ｓ７５）として、処理を終了する。
Subsequently, the updating
以上のように、本実施形態に係るネットワークシステム１０は、電子制御装置２４に、データを更新するための別個のバッファを備えなくてもよい。これにより、本実施形態に係るネットワークシステム１０によれば、電子制御装置２４のコストを小さくすることができる。
As described above, the
本実施形態に係るネットワークシステム１０は、中継装置２６が予め現ＦＷデータおよび新ＦＷデータの両者を提供装置２０から受信する。そして、電子制御装置２４に対する現ＦＷデータから新ＦＷデータへの更新が失敗した場合、中継装置２６が、予め受信している現ＦＷデータを電子制御装置２４に送信して、電子制御装置２４に現ＦＷデータを復元させる。これにより、本実施形態に係るネットワークシステム１０によれば、更新処理が失敗した場合に提供装置２０にアクセスしなくてよいので、全体の更新時間を短くすることができる。
In the
（第１変形例）
図１５は、第１変形例に係る提供装置２０および中継装置２６の機能構成を示す図である。図１６は、最新バージョン情報を示す図である。
(First modification)
FIG. 15 is a diagram illustrating a functional configuration of the providing
なお、第１変形例について説明をするにあたり、図１から図１４を参照して説明したブロックと略同一の機能および構成を有するブロックについては、同一の符号を付けて相違点を除き説明を省略する。第２変形例以降においても同様である。 In the description of the first modification, blocks having substantially the same functions and configurations as the blocks described with reference to FIGS. 1 to 14 are denoted by the same reference numerals and description thereof is omitted except for differences. To do. The same applies to the second and subsequent modifications.
第１変形例に係る提供装置２０は、バージョン送信部１２２をさらに有する。第１変形例に係る中継装置２６の取得部３０は、バージョン受信部１２４とバージョン判定部１２６とをさらに有する。
The providing
バージョン送信部１２２は、それぞれのファームウェアについて、提供装置２０から送信可能な新ＦＷデータのバージョンを表す最新バージョン情報を中継装置２６に送信する。最新バージョン情報は、図１６に示すように、ＥＣＵＩＤと、ＦＷＩＤおよびＭＡＣ値を含む。ＭＡＣ値は、最新のＦＷデータのＭＡＣ値である。バージョン送信部１２２は、複数のファームウェアについての最新バージョン情報を含むリストを送信してよい。バージョン送信部１２２は、最新バージョン情報を、例えば一定期間毎に送信する。
The version transmission unit 122 transmits the latest version information indicating the version of new FW data that can be transmitted from the providing
バージョン受信部１２４は、提供装置２０から送信可能な新ＦＷデータのバージョンを表す最新バージョン情報を受信する。バージョン判定部１２６は、受信した最新バージョン情報に基づき、電子制御装置２４に記憶されている現ＦＷデータのバージョンより、提供装置２０から送信可能な新ＦＷデータのバージョンが新しいかを判断する。
The
要求送信部５２は、電子制御装置２４に記憶されている現ＦＷデータのバージョンより、提供装置２０から送信可能な新ＦＷデータのバージョンが新しい場合、バージョン判定部１２６から通知を受ける。そして、要求送信部５２は、電子制御装置２４に記憶されている現ＦＷデータのバージョンより、提供装置２０から送信可能な新ＦＷデータのバージョンが新しいことを条件として、そのファームウェアについての取得要求を提供装置２０に送信する。
The
図１７は、第１変形例に係る中継装置２６による取得処理フローを示す図である。第１変形例において、取得部３０は、図１７に示す取得処理を実行する。
FIG. 17 is a diagram illustrating an acquisition processing flow by the
まず、ステップＳ８１において、取得部３０は、提供装置２０から最新バージョン情報を受信する。続いて、ステップＳ８２において、取得部３０は、ＥＣＵＩＤおよびＦＷＩＤが最新バージョン情報と一致する管理データが管理データ記憶部３４に記憶されているかを判断する。一致する管理データが無い場合（Ｓ８２のＮｏ）、取得部３０は、本フローを終了する。一致する管理データが有る場合（Ｓ８２のＹｅｓ）、取得部３０は、処理をステップＳ８３に進める。
First, in step S <b> 81, the
ステップＳ８３において、取得部３０は、最新バージョン情報に含まれるＭＡＣ値と、ＥＣＵＩＤおよびＦＷＩＤが一致する管理データに含まれる現ＦＷのＭＡＣ値とを比較する。ＭＡＣ値が一致した場合（Ｓ８３のＹｅｓ）、取得部３０は、電子制御装置２４に記憶されている現ＦＷデータのバージョンと、提供装置２０から送信可能な最新のバージョンとが同一であるとして、本フローを終了する。一致しなかった場合（Ｓ８３のＮｏ）、取得部３０は、電子制御装置２４に記憶されている現ＦＷデータのバージョンより、提供装置２０から送信可能な新ＦＷデータのバージョンが新しいと判断し、処理をステップＳ８４に進める。
In step S83, the
ステップＳ８４において、取得部３０は、最新バージョン情報に含まれるＥＣＵＩＤおよびＦＷＩＤにより特定されるファームウェアについて、取得要求を提供装置２０に送信する。提供装置２０は、中継装置２６から取得要求を受信すると、図８の場合と同様に応答情報を中継装置２６に送信する。
In step S84, the
続いて、ステップＳ８５において、取得部３０は、提供装置２０から応答情報を受信する。そして、以後、取得部３０は、図８のステップＳ１４からステップＳ１７までの処理と同様の処理を実行する。ただし、ステップＳ１７において、エラー回数が一定回数未満の場合（Ｓ１７のＮｏ）、取得部３０は、処理をステップＳ８４に戻す。
Subsequently, in step S <b> 85, the
このような第１変形例に係る中継装置２６は、電子制御装置２４に記憶されている現ＦＷデータのバージョンより、提供装置２０から送信可能な新ＦＷデータのバージョンが新しい場合に、取得要求を送信することができる。従って、中継装置２６によれば、効率良く取得要求を送信することができる。
The
（第２変形例）
図１８は、第２変形例に係る中継装置２６および電子制御装置２４の機能構成を示す図である。第２変形例に係る電子制御装置２４は、記憶しているデータが正当であるか否かの検証を実行することができる。従って、第２変形例においては、電子制御装置２４に書き込まれた新ＦＷデータおよび現ＦＷデータの検証を、電子制御装置２４が実行する。
(Second modification)
FIG. 18 is a diagram illustrating a functional configuration of the
第２変形例に係る電子制御装置２４は、図１１に示した構成と比較して、第３検証部１４２および結果送信部１４４をさらに有し、検証値送信部９４を有さない構成である。また、第２変形例に係る中継装置２６の更新部３２は、図１１に示した構成と比較して、結果受信部１４６をさらに有し、検証値受信部９６および第２検証部９８を有さない構成である。
The
第２変形例において、データ送信部８４は、開始検知部７８から開始指示を受け取ると、提供装置２０から受信した新ＦＷデータ、および、提供装置２０から受信した新ＦＷデータを検証するための第６検証値を、更新指示とともに電子制御装置２４に送信する。第６検証値は、提供装置２０から受信した新ＦＷデータのＭＡＣ値である。これにより、データ送信部８４は、電子制御装置２４に現ＦＷデータを新ＦＷデータに更新させることができるとともに、電子制御装置２４に書き込まれた新ＦＷデータの正当性を検証させることができる。
In the second modification, when the
第３検証部１４２は、更新処理において電子制御装置２４に書き込まれた新ＦＷデータが正当であるか否かを検証する。具体的には、第３検証部１４２は、更新処理において電子制御装置２４に書き込まれた新ＦＷデータを検証するための第５検証値と、中継装置２６から受信した新ＦＷデータを検証するための第６検証値とが一致しない場合に、更新処理により電子制御装置２４に書き込まれた新ＦＷデータが正当ではないと判断する。
The
ここで、第５検証値は、第２検証値生成部９２により算出された、データ記憶部７０に書き込まれた新ＦＷデータに対するＭＡＣ値である。また、第６検証値は、中継装置２６から受信した新ＦＷデータのＭＡＣ値である。
Here, the fifth verification value is a MAC value calculated by the second verification
結果送信部１４４は、更新処理において電子制御装置２４に書き込まれた新ＦＷデータが正当であるか否かの結果を中継装置２６に送信する。結果受信部１４６は、更新処理において電子制御装置２４に書き込まれた新ＦＷデータが正当であるか否かの結果を電子制御装置２４から受信する。
The
結果受信部１４６は、更新処理において電子制御装置２４に書き込まれた新ＦＷデータが正当であったことを示す結果を受信した場合、その結果を、確定部１００および通知部１０２に通知する。確定部１００は、結果受信部１４６から、書き込まれた新ＦＷデータが正当である旨の通知を受けた場合、一時記憶部３８に記憶されている情報を読み出して、管理データ記憶部３４に記憶させる。通知部１０２は、結果受信部１４６から、書き込まれた新ＦＷデータが正当である旨の通知を受けた場合、他の電子制御装置２４および更新対象の電子制御装置２４に、更新対象の電子制御装置２４におけるファームウェアの更新が完了したことを示す情報を送信する。
When the
一方、結果受信部１４６は、更新処理において電子制御装置２４に書き込まれた新ＦＷデータが正当でなかったことを示す結果を受信した場合、更新処理が失敗したことを、データ送信部８４に通知する。
On the other hand, when the
データ送信部８４は、更新処理が失敗した場合、提供装置２０から受信した現ＦＷデータ、および、現ＦＷデータを検証するための第８検証値を、復元指示とともに電子制御装置２４に送信する。第８検証値は、管理データ記憶部３４に記憶されている現ＦＷデータのＭＡＣ値である。これにより、データ送信部８４は、電子制御装置２４に現ＦＷデータを復元させることができるとともに、電子制御装置２４に書き込まれた現ＦＷデータの正当性を検証させることができる。
When the update process fails, the
第３検証部１４２は、復元処理において電子制御装置２４に書き込まれた現ＦＷデータが正当であるか否かを検証する。具体的には、第３検証部１４２は、復元処理において電子制御装置２４に書き込まれた現ＦＷデータを検証するための第７検証値と、中継装置２６から受信した現ＦＷデータを検証するための第８検証値とが一致しない場合に、復元処理により電子制御装置２４に書き込まれた現ＦＷデータが正当ではないと判断する。
The
ここで、第７検証値は、第２検証値生成部９２により算出された、データ記憶部７０に書き込まれた現ＦＷデータにおけるＭＡＣ値である。また、第８検証値は、中継装置２６から受信した現ＦＷデータのＭＡＣ値である。
Here, the seventh verification value is the MAC value in the current FW data written in the
結果送信部１４４は、復元処理において電子制御装置２４に書き込まれた現ＦＷデータが正当であるか否かの結果を中継装置２６に送信する。結果受信部１４６は、復元処理において電子制御装置２４に書き込まれた現ＦＷデータが正当であるか否かの結果を電子制御装置２４から受信する。
The
結果受信部１４６は、復元処理において電子制御装置２４に書き込まれた現ＦＷデータが正当であったことを示す結果を受信した場合、その結果を、通知部１０２に通知する。通知部１０２は、結果受信部１４６から、書き込まれた現ＦＷデータが正当である旨の通知を受けた場合、他の電子制御装置２４および復元対象の電子制御装置２４に、更新対象の電子制御装置２４における処理が完了したことを示す情報を送信する。
When the
また、結果受信部１４６は、復元処理において電子制御装置２４に書き込まれた現ＦＷデータが正当でなかったことを示す結果を受信した場合、復元処理が失敗したことをデータ送信部８４に通知する。
In addition, when the
データ送信部８４は、復元処理が失敗した場合、現ＦＷデータおよび第８検証値を復元指示とともに電子制御装置２４に送信する処理を繰り返す。これにより、データ送信部８４は、電子制御装置２４に対して繰り返して復元処理を実行させることができる。
When the restoration process fails, the
ただし、結果受信部１４６は、復元処理において電子制御装置２４に書き込んだ現ＦＷデータが正当でなかったことを示す結果を受信した回数（エラー回数）が一定回数以上となった場合、データ送信部８４による現ＦＷデータの送信を終了させる。そして、結果受信部１４６は、電子制御装置２４に正当なデータが書き込まれていないことを通知部１０２に通知する。通知部１０２は、結果受信部１４６から、正当なデータが書き込まれていないことを示す通知を受けると、他の電子制御装置２４および更新対象の電子制御装置２４に、更新対象の電子制御装置２４に正当なデータが書き込まれていないことを示す情報を送信する。
However, the
図１９は、第２変形例に係る中継装置２６による更新処理フローを示す図である。第２変形例において、更新部３２は、図１９に示す更新処理を実行する。
FIG. 19 is a diagram illustrating an update processing flow by the
まず、更新部３２は、図１２のステップＳ４１からステップＳ４６までと同様の処理を実行する。ステップＳ４６を終了すると、更新部３２は、処理をステップＳ９１に進める。
First, the updating
ステップＳ９１において、更新部３２は、提供装置２０から受信した新ＦＷデータ、および、提供装置２０から受信した新ＦＷデータのＭＡＣ値（第６検証値）を、更新指示とともに電子制御装置２４に送信する。続いて、ステップＳ９２において、更新部３２は、電子制御装置２４から、書き込んだ新ＦＷデータが正当であるか否かの結果を受信する。
In step S91, the updating
続いて、ステップＳ９３において、更新部３２は、更新処理において電子制御装置２４に書き込まれた新ＦＷデータが正当であるか否かを判断する。更新部３２は、正当である場合（Ｓ９３のＹｅｓ）、処理をステップＳ５０に進め、正当でない場合（Ｓ９３のＮｏ）、処理をステップＳ９４に進める。
Subsequently, in step S93, the
ステップＳ５０およびステップＳ５１において、更新部３２は、図１２の場合と同様に処理を実行する。ステップＳ５１を終了すると、更新部３２は、本ファームウェアについて更新処理を終了する。
In step S50 and step S51, the
ステップＳ９４において、更新部３２は、提供装置２０から受信した現ＦＷデータおよび現ＦＷデータのＭＡＣ値（第８検証値）を、復元指示とともに電子制御装置２４に送信する。続いて、ステップＳ９５において、更新部３２は、電子制御装置２４から、復元処理において書き込んだ現ＦＷデータが正当であるか否かの検証結果を受信する。
In step S94, the updating
続いて、ステップＳ９６において、更新部３２は、復元処理において電子制御装置２４に書き込まれた現ＦＷデータが正当であるか否かを判断する。更新部３２は、正当である場合（Ｓ９６のＹｅｓ）、処理をステップＳ５１に進め、正当でない場合（Ｓ９６のＮｏ）、処理をステップＳ９７に進める。
Subsequently, in step S96, the updating
ステップＳ９７において、更新部３２は、復元処理のエラー回数が、一定回数以上であるか否かを判断する。エラー回数が一定回数未満である場合（Ｓ９７のＮｏ）、更新部３２は、処理をステップＳ９４に戻して、現ＦＷデータの送信から処理を繰り返す。エラー回数が一定回数以上である場合（Ｓ９７のＹｅｓ）、処理をステップＳ５６に進める。
In step S97, the
ステップＳ５６において、更新部３２は、図１２の場合と同様に処理を実行する。そして、ステップＳ５６を終了すると、更新部３２は、本ファームウェアについて更新処理を終了する。
In step S56, the
このような第２変形例に係る中継装置２６は、電子制御装置２４に書き込まれたデータの正当性を、電子制御装置２４において検証をさせることができる。
The
（第３変形例）
図２０は、第３変形例に係る中継装置２６および電子制御装置２４の機能構成を示す図である。図２１は、第３変形例に係る状態記憶部４０に記憶される情報の内容を示す図である。
(Third Modification)
FIG. 20 is a diagram illustrating a functional configuration of the
第３変形例に係る中継装置２６は、電子制御装置２４に書き込まれたデータの正当性を、電子制御装置２４で検証するか、中継装置２６で検証するかを切り替えることができる。第３変形例において、電子制御装置２４は、図１１に示す構成、または、図１８に示す構成である。電子制御装置２４が図１１に示す構成の場合、電子制御装置２４に書き込まれたデータの正当性を中継装置２６が検証する。電子制御装置２４が図１８に示す構成の場合、電子制御装置２４に書き込まれたデータの正当性を電子制御装置２４が検証する。
The
第３変形例に係る中継装置２６の更新部３２は、図１１に示した構成に加えて、結果受信部１４６と、切替部１５２とをさらに有する。結果受信部１４６は、図１８に示した構成と同様の機能を有する。
The updating
第３変形例において、状態記憶部４０は、図２１に示すように、検証主体情報をさらに記憶する。検証主体情報は、電子制御装置２４に書き込まれたデータが正当であるか否かの検証を、中継装置２６で実行するか電子制御装置２４で実行するかを示す。
In the third modification, the
切替部１５２は、更新対象の電子制御装置２４についての検証主体情報を状態記憶部４０から読み出す。切替部１５２は、読み出した検証主体情報に基づき、検証を中継装置２６で実行させるか電子制御装置２４で実行させるかを切り替える。
The switching unit 152 reads verification subject information about the
切替部１５２は、検証を中継装置２６で実行させる場合、検証値受信部９６および第２検証部９８の機能を有効化し、結果受信部１４６の機能を停止させる。切替部１５２は、検証を電子制御装置２４で実行させる場合、検証値受信部９６および第２検証部９８の機能を停止させ、結果受信部１４６の機能を有効化させる。
When the verification is performed by the
図２２は、第３変形例に係る中継装置２６による更新処理フローを示す図である。第３変形例において、更新部３２は、図２２に示す更新処理を実行する。
FIG. 22 is a diagram illustrating an update processing flow by the
まず、更新部３２は、図１２のステップＳ４１からステップＳ４６までと同様の処理を実行する。ステップＳ４６を終了すると、更新部３２は、処理をステップＳ１１１に進める。
First, the updating
ステップＳ１１１において、更新部３２は、更新対象の電子制御装置２４についての検証主体情報を状態記憶部４０から読み出す。続いて、ステップＳ１１２において、更新部３２は、読み出した検証主体情報に基づき、検証を中継装置２６で実行させるか、電子制御装置２４で実行させるかを判断する。
In step S <b> 111, the
更新部３２は、検証を中継装置２６で実行させる場合（Ｓ１１２のＹｅｓ）、処理をステップＳ１１３の第１更新フローに進める。更新部３２は、検証を電子制御装置２４で実行させる場合（Ｓ１１２のＮｏ）、処理をステップＳ１１４の第２更新フローに進める。
When the
ステップＳ１１３の第１更新フローは、図１２に示すステップＳ４７以降の処理フローと同様である。また、ステップＳ１１４の第２更新フローは、図１９に示すステップＳ９１以降の処理フローと同様である。 The first update flow in step S113 is the same as the process flow after step S47 shown in FIG. Further, the second update flow in step S114 is the same as the process flow after step S91 shown in FIG.
以上の処理を実行することにより、更新部３２は、電子制御装置２４に書き込まれたデータの検証を中継装置２６または電子制御装置２４に実行させることができる。
By executing the above processing, the updating
図２３は、第２更新処理フローの他の一例を示す図である。電子制御装置２４は、記憶しているデータを更新する場合、外部から受信したデータを一時的に記憶するためのバッファを有する場合がある。このような構成の電子制御装置２４は、中継装置２６から受信した新ＦＷデータをバッファに一時的に格納し、バッファに格納した状態において新ＦＷデータの正当性を検証することができる。
FIG. 23 is a diagram illustrating another example of the second update processing flow. When updating the stored data, the
そして、電子制御装置２４は、バッファに格納した新ＦＷデータが正当であると判断した場合、新ＦＷデータをバッファからデータ記憶部７０に転送する。これにより、電子制御装置２４は、記憶している現ＦＷデータを新ＦＷデータに更新することができる。
If the
一方、電子制御装置２４は、バッファに格納した新ＦＷデータが正当ではないと判断した場合、バッファに記憶している新ＦＷデータをデータ記憶部７０には転送せずに、削除する。この場合、電子制御装置２４は、データ記憶部７０には現ＦＷデータが残っており、再度、現ＦＷデータを書き込む必要がない。
On the other hand, when it is determined that the new FW data stored in the buffer is not valid, the
そこで、電子制御装置２４がこのようなバッファを有する構成の場合、更新部３２は、ステップＳ１１４の第２更新フローにおいて、図２３に示す処理を実行してもよい。
Therefore, when the
まず、ステップＳ１２１において、更新部３２は、提供装置２０から受信した新ＦＷデータ、および、提供装置２０から受信した新ＦＷデータのＭＡＣ値（第６検証値）を、更新指示とともに電子制御装置２４に送信する。続いて、ステップＳ１２２において、更新部３２は、電子制御装置２４から、新ＦＷデータが正当であるか否かの検証結果を受信する。
First, in step S121, the
続いて、ステップＳ１２３において、更新部３２は、電子制御装置２４に送信した新ＦＷデータが正当であったか否かを判断する。更新部３２は、正当である場合（Ｓ１２３のＹｅｓ）、処理をステップＳ１２４に進め、正当でない場合（Ｓ１２３のＮｏ）、処理をステップＳ１２５に進める。
Subsequently, in step S123, the
ステップＳ１２４において、更新部３２は、一時記憶部３８に記憶されている情報を読み出して、管理データ記憶部３４に転送する。具体的には、更新部３２は、一時記憶部３８から新ＦＷのＭＡＣ値、新ＦＷのバージョン番号および新ＦＷの開発者ＩＤを読み出して、現ＦＷのＭＡＣ値、現ＦＷのバージョン番号および現ＦＷの開発者ＩＤとして管理データ記憶部３４に記憶させる。更新部３２は、ステップＳ１２４を終えると、処理をステップＳ１２５に進める。
In step S <b> 124, the
ステップＳ１２５において、更新部３２は、更新対象の電子制御装置２４および他の電子制御装置２４に、更新対象の電子制御装置２４がファームウェアの更新を完了した旨を示す終了通知を送信する。この場合、送信した新ＦＷデータが正当であれば、電子制御装置２４は新ＦＷデータに基づき動作する。また、送信した新ＦＷデータが正当でなければ、電子制御装置２４は現ＦＷデータに基づき動作をする。そして、更新部３２は、本ファームウェアについて更新処理を終了する。
In step S <b> 125, the
（第４変形例）
図２４は、第４変形例に係る中継装置２６の機能構成を示す図である。第４変形例は、図１から図１４を参照して説明したネットワークシステム１０を変形した構成であるが、第１変形例、第２変形例および第３変形例に適用されてもよい。
(Fourth modification)
FIG. 24 is a diagram illustrating a functional configuration of the
中継装置２６は、現ＦＷデータ記憶部２０１（現データ記憶部）をさらに備える。現ＦＷデータ記憶部２０１は、制御対象システム２２に備えられるそれぞれの電子制御装置２４に記憶されている現ＦＷデータを記憶する。
The
取得部３０は、提供装置２０から新ＦＷデータを受信する。取得部３０は、提供装置２０から新ＦＷデータを受信した場合、受信した新ＦＷデータが正当であるか否かを判断する。更新部３２は、提供装置２０から受信した正当である新ＦＷデータを電子制御装置２４に送信して、電子制御装置２４に現ＦＷデータを新ＦＷデータに更新させる。更新部３２は、現ＦＷデータを新ＦＷデータに更新する更新処理が成功した場合、電子制御装置２４に送信した新ＦＷデータを現ＦＷデータ記憶部２０１に転送して、現ＦＷデータとして記憶させる。
The
また、取得部３０は、提供装置２０から新ＦＷデータを受信した場合、現ＦＷデータ記憶部２０１に記憶されている現ＦＷデータが正当であるか否かも判断する。更新部３２は、更新処理が失敗した場合、現ＦＷデータ記憶部２０１に記憶されている正当である現ＦＷデータを電子制御装置２４に送信して、電子制御装置２４に現ＦＷデータを復元させる。
In addition, when receiving the new FW data from the providing
また、取得部３０は、現ＦＷデータ記憶部２０１に記憶されている現ＦＷデータが正当でないと判断された場合、提供装置２０から現ＦＷデータを受信する。取得部３０は、提供装置２０から現ＦＷデータを受信した場合、受信した現ＦＷデータが正当であるか否かを判断する。更新部３２は、現ＦＷデータ記憶部２０１に記憶されている現ＦＷデータが正当でなかった場合であって且つ更新処理が失敗した場合、受信した正当な現ＦＷデータを電子制御装置２４に送信して、電子制御装置２４に現ＦＷデータを復元させる。そして、更新部３２は、復元処理が成功した場合、電子制御装置２４に送信した現ＦＷデータを現ＦＷデータ記憶部２０１に転送して、記憶させる。
In addition, when it is determined that the current FW data stored in the current FW
図２５は、現ＦＷデータ記憶部２０１に記憶される現ファームウェア情報の内容を示す図である。現ＦＷデータ記憶部２０１は、それぞれの電子制御装置２４に記憶されたそれぞれのファームウェア毎に、図２５に示す現ファームウェア情報を記憶する。
FIG. 25 is a diagram showing the contents of the current firmware information stored in the current FW
現ファームウェア情報は、ＥＣＵＩＤ、ＦＷＩＤおよび現ＦＷデータを含む。ＥＣＵＩＤは、その電子制御装置２４の識別子である。ＦＷＩＤは、そのファームウェアの識別子である。
The current firmware information includes ECUID, FWID, and current FW data. The ECU ID is an identifier of the
現ＦＷデータは、そのファームウェアの実体データである。つまり、現ＦＷデータは、電子制御装置２４に現在書き込まれているべきファームウェアの実体データである。
The current FW data is the actual data of the firmware. That is, the current FW data is firmware entity data that should be currently written in the
図２６は、第４変形例に係る提供装置２０および中継装置２６の機能構成を示す図である。
FIG. 26 is a diagram illustrating a functional configuration of the providing
要求送信部５２は、要求識別子と、ＥＣＵＩＤと、ＦＷＩＤと、バージョン特定情報とを含む取得要求を、提供装置２０に送信する。要求識別子は、新ＦＷデータの送信を要求する取得要求か、現ＦＷデータの送信を要求する取得要求かを識別する情報である。
The
要求送信部５２は、ファームウェア毎に、予め定められた更新タイミングで（例えば定期的に）、新ＦＷデータの送信を要求する取得要求を提供装置２０に送信する。また、要求送信部５２は、ファームウェアの更新において、現ＦＷデータ記憶部２０１に記憶されている現ＦＷデータが正当でないと判断された場合、そのファームウェアの現ＦＷデータの送信を要求する取得要求を提供装置２０に送信する。
The
特定部５６は、新ＦＷデータの取得要求を受信した場合、そのファームウェアについて、電子制御装置２４が記憶している現ＦＷデータのバージョンよりも新しいバージョンの実体データ（新ＦＷデータ）が、存在するか否かを判断する。
When the
応答送信部５８は、新ＦＷデータの取得要求を受信した場合であって且つ新ＦＷデータが存在しない場合、ＥＣＵＩＤ、ＦＷＩＤおよび更新フラグを含む応答情報を送信する。応答送信部５８は、新ＦＷデータの取得要求を受信した場合であって且つ新ＦＷデータが存在する場合、ＥＣＵＩＤ、ＦＷＩＤ、更新フラグ、新ＦＷデータ、新ＦＷのＭＡＣ値（第３検証値）、新ＦＷのバージョン番号および新ＦＷの開発者ＩＤを含む応答情報を送信する。更新フラグは、新ＦＷデータが存在しない場合には０、新ＦＷデータが存在する場合には０以外の値となる。
The
また、応答送信部５８は、現ＦＷデータの取得要求を受信した場合、ＥＣＵＩＤ、ＦＷＩＤ、更新フラグ、現ＦＷデータ、現ＦＷのＭＡＣ値（第９検証値）、現ＦＷのバージョン番号および現ＦＷの開発者ＩＤを含む応答情報を送信する。更新フラグは、０以外の値となる。
When the
応答受信部６０は、新ＦＷデータの取得要求を送信した場合であって且つ新ＦＷデータが存在しない場合、ＥＣＵＩＤ、ＦＷＩＤおよび更新フラグを含む応答情報を受信する。応答受信部６０は、新ＦＷデータの取得要求を送信した場合であって且つ新ＦＷデータが存在する場合、ＥＣＵＩＤ、ＦＷＩＤ、更新フラグ、新ＦＷデータ、新ＦＷのＭＡＣ値（第３検証値）、新ＦＷのバージョン番号および新ＦＷの開発者ＩＤを含む応答情報を受信する。また、応答受信部６０は、現ＦＷデータの取得要求を送信した場合、ＥＣＵＩＤ、ＦＷＩＤ、更新フラグ、現ＦＷデータ、現ＦＷのＭＡＣ値（第９検証値）、現ＦＷのバージョン番号および現ＦＷの開発者ＩＤを含む応答情報を受信する。
The
第１検証値生成部６２は、新ＦＷデータの取得要求を送信した場合、提供装置２０から受信した新ＦＷデータについて、ＭＡＣ値（第４検証値）を算出する。また、新ＦＷデータの取得要求を送信した場合、第１検証値生成部６２は、現ＦＷデータ記憶部２０１に記憶された現ＦＷデータについて、ＭＡＣ値（第１０検証値）を算出する。具体的には、第１検証値生成部６２は、現ＦＷの開発者ＩＤに対応する共有鍵データを共有鍵記憶部３６から読み出す。第１検証値生成部６２は、読み出した共有鍵データと、現ＦＷデータ記憶部２０１に記憶された現ＦＷデータとによりＭＡＣ値を算出する。
When the first verification
また、第１検証値生成部６２は、現ＦＷデータの取得要求を送信した場合、提供装置２０から受信した現ＦＷデータについて、ＭＡＣ値（第１１検証値）を算出する。具体的には、第１検証値生成部６２は、現ＦＷの開発者ＩＤに対応する共有鍵データを共有鍵記憶部３６から読み出す。第１検証値生成部６２は、読み出した共有鍵データと、提供装置２０から受信した現ＦＷデータとによりＭＡＣ値を算出する。
Further, when the first verification
第１検証部６４は、提供装置２０から受信した新ＦＷデータが正当であるか否かを判断する。具体的には、第１検証部６４は、提供装置２０から受信した第３検証値と、共有鍵データと提供装置２０から受信した新ＦＷデータとにより算出された第４検証値とが一致する場合に、提供装置２０から受信した新ＦＷデータが正当であると判断する。これにより、第１検証部６４は、提供装置２０から受信した新ＦＷデータの開発者が、中継装置２６と同一の共有鍵データを保持しているか否かを検証することができる。
The
なお、第１検証部６４は、提供装置２０から受信した新ＦＷデータが正当でない場合、要求送信部５２に対して、再度、新ＦＷデータの取得要求を送信させてもよい。第１検証部６４は、一定回数、同一の取得要求を送信しても新ＦＷデータが正当ではない場合、取得要求の送信を中止させる。
In addition, when the new FW data received from the providing
また、新ＦＷデータの取得要求を送信した場合、第１検証部６４は、現ＦＷデータ記憶部２０１に記憶された現ＦＷデータが正当であるか否かを判断する。具体的には、第１検証部６４は、電子制御装置２４に記憶されている現ＦＷデータを検証するための第１検証値と、現ＦＷデータ記憶部２０１に記憶された現ＦＷデータを検証するための第１０検証値とが一致する場合に、現ＦＷデータ記憶部２０１に記憶された現ＦＷデータが正当であると判断する。
Further, when the acquisition request for new FW data is transmitted, the
ここで、第１検証値は、管理データ記憶部３４に記憶されている現ＦＷのＭＡＣ値である。第１０検証値は、第１検証値生成部６２により算出された、現ＦＷデータ記憶部２０１に記憶された現ＦＷデータについてのＭＡＣ値である。すなわち、第１検証部６４は、現ＦＷデータ記憶部２０１に記憶された現ＦＷデータが、電子制御装置２４に記憶されている現ＦＷデータと同一であるか否かを検証する。
Here, the first verification value is the MAC value of the current FW stored in the management
第１検証部６４は、現ＦＷデータ記憶部２０１に記憶された現ＦＷデータが正当でない場合、要求送信部５２に対して、現ＦＷデータの取得要求を送信させる。
If the current FW data stored in the current FW
現ＦＷデータの取得要求を送信した場合、第１検証部６４は、提供装置２０から受信した現ＦＷデータが正当であるか否かを判断する。具体的には、第１検証部６４は、提供装置２０から受信した第９検証値と、共有鍵データと提供装置２０から受信した現ＦＷデータとにより算出された第１１検証値とが一致する場合に、提供装置２０から受信した現ＦＷデータが正当であると判断する。
When the current FW data acquisition request is transmitted, the
ここで、第９検証値は、現ＦＷデータの取得要求に応じて、提供装置２０から受信した現ＦＷデータのＭＡＣ値（現ＦＷのＭＡＣ値）である。第１１検証値は、第１検証値生成部６２により算出された現ＦＷデータのＭＡＣ値である。すなわち、第１検証部６４は、提供装置２０から受信した現ＦＷデータの開発者が、中継装置２６と同一の共有鍵データを保持しているか否かを検証する。
Here, the ninth verification value is the MAC value (the MAC value of the current FW) of the current FW data received from the providing
なお、第１検証部６４は、提供装置２０から受信した現ＦＷデータが正当でない場合、要求送信部５２に対して、再度、現ＦＷデータの取得要求を送信させてもよい。第１検証部６４は、一定回数、同一の取得要求を送信しても現ＦＷデータが正当ではない場合、取得要求の送信を中止させる。
In addition, when the current FW data received from the providing
第１検証部６４は、提供装置２０から受信した新ＦＷデータ、および、現ＦＷデータ記憶部２０１に記憶された現ＦＷデータ（または提供装置２０から受信した現ＦＷデータ）が正当であることを条件として、応答受信部６０が受信した情報等を一時記憶部３８に記憶させる。具体的には、第１検証部６４は、提供装置２０から受信した、ＥＣＵＩＤ、ＦＷＩＤ、新ＦＷデータ、新ＦＷのＭＡＣ値、新ＦＷのバージョン番号、新ＦＷの開発者ＩＤを、一時記憶部３８に記憶させる。さらに、第１検証部６４は、現ＦＷデータ記憶部２０１に記憶された現ＦＷデータ（または提供装置２０から受信した現ＦＷデータ）を、一時記憶部３８に記憶させる。
The
以上の構成により、中継装置２６は、提供装置２０から新ＦＷデータを受信することができる。さらに、中継装置２６は、現ＦＷデータ記憶部２０１に記憶された現ＦＷデータが正当であるか否かを判断することができる。また、中継装置２６は、現ＦＷデータ記憶部２０１に記憶された現ＦＷデータが正当でない場合には、提供装置２０から現ＦＷデータを受信することができる。中継装置２６は、受信した現ＦＷデータが正当であるか否かを判断することができる。そして、中継装置２６は、新ＦＷデータおよび現ＦＷデータが正当であることを条件として、一時記憶部３８に新ＦＷデータおよび現ＦＷデータを記憶させることができる。
With the above configuration, the
なお、要求送信部５２は、ファームウェアの更新タイミングに関わらず（例えば定期的に）、現ＦＷデータの送信を要求する取得要求を提供装置２０に送信してもよい。これにより、取得部３０は、予め正当な現ＦＷデータを取得して現ＦＷデータ記憶部２０１に記憶させておくことができる。なお、この場合、応答情報に含まれる更新フラグは、０となる。
Note that the
また、この場合、第１検証部６４は、提供装置２０から受信した応答情報に含まれる現ＦＷのＭＡＣ値と、管理データ記憶部３４に記憶されている現ＦＷのＭＡＣ値とが一致するか否かを判断してもよい。一致しない場合、現ＦＷのＭＡＣ値を生成するために用いた共有鍵データが更新された可能性がある。従って、一致しない場合、第１検証部６４は、ＭＡＣ値が一致しない旨をユーザ等に通知する。これにより、第１検証部６４は、共有鍵データの更新を促すことができる。
In this case, the
図２７は、第４変形例に係る中継装置２６による取得処理フローを示す図である。本変形例に係る取得部３０は、図２７に示す取得処理を実行する。
FIG. 27 is a diagram illustrating an acquisition processing flow by the
まず、ステップＳ２０１において、取得部３０は、何れかのファームウェアについて、予め定められたタイミングにおいて、新ＦＷデータの取得要求を提供装置２０に送信する。
First, in step S <b> 201, the
提供装置２０は、新ＦＷデータの取得要求に応じて、対応するファームウェアについての応答情報を中継装置２６に送信する。具体的には、提供装置２０は、対応する新ＦＷデータが存在しない場合、ＥＣＵＩＤ、ＦＷＩＤ、および、値が０とされた更新フラグを含む応答情報を送信する。提供装置２０は、新ＦＷデータが存在する場合、ＥＣＵＩＤ、ＦＷＩＤ、値が０以外とされた更新フラグ、新ＦＷデータ、新ＦＷのＭＡＣ値、新ＦＷのバージョン番号および新ＦＷの開発者ＩＤを含む応答情報を送信する。
The providing
続いて、ステップＳ２０２において、取得部３０は、応答情報を受信する。続いて、ステップＳ２０３において、取得部３０は、応答情報に含まれる更新フラグが、０以外の値であるか否かを判断する。更新フラグが０である場合（Ｓ２０３のＮｏ）、取得部３０は、本フローを終了する。更新フラグが０以外の値である場合（Ｓ２０３のＹｅｓ）、処理をステップＳ２０４に進める。
Subsequently, in step S202, the
ステップＳ２０４において、取得部３０は、受信した新ＦＷデータが正当であるか否かを判断する。取得部３０は、正当である場合（Ｓ２０４のＹｅｓ）、処理をステップＳ２０６に進め、正当でない場合（Ｓ２０４のＮｏ）、処理をステップＳ２０５に進める。
In step S204, the
ステップＳ２０５において、取得部３０は、新ＦＷデータが正当ではなかった回数（エラー回数）が、一定回数以上であるか否かを判断する。エラー回数が一定回数未満である場合（Ｓ２０５のＮｏ）、取得部３０は、処理をステップＳ２０１に戻す。エラー回数が一定回数以上である場合（Ｓ２０５のＹｅｓ）、取得部３０は、本フローを終了する。
In step S205, the
ステップＳ２０６において、取得部３０は、現ＦＷデータ記憶部２０１に記憶された現ＦＷデータが正当であるか否かを判断する。取得部３０は、正当である場合（Ｓ２０６のＹｅｓ）、処理をステップＳ２１１に進め、正当でない場合（Ｓ２０６のＮｏ）、処理をステップＳ２０７に進める。
In step S206, the
ステップＳ２０７において、取得部３０は、同一のファームウェアについて、現ＦＷデータの取得要求を提供装置２０に送信する。提供装置２０は、現ＦＷデータの取得要求に応じて、対応するファームウェアについての応答情報を中継装置２６に送信する。具体的には、提供装置２０は、ＥＣＵＩＤ、ＦＷＩＤ、値が０以外とされた更新フラグ、現ＦＷデータ、現ＦＷのＭＡＣ値、現ＦＷのバージョン番号および現ＦＷの開発者ＩＤを含む応答情報を送信する。
In step S207, the
続いて、ステップＳ２０８において、取得部３０は、応答情報を受信する。ステップＳ２０９において、取得部３０は、受信した現ＦＷデータが正当であるか否かを判断する。取得部３０は、正当である場合（Ｓ２０９のＹｅｓ）、処理をステップＳ２１１に進め、正当でない場合（Ｓ２０９のＮｏ）、処理をステップＳ２１０に進める。
Subsequently, in step S208, the
ステップＳ２１０において、取得部３０は、現ＦＷデータが正当ではなかった回数（エラー回数）が、一定回数以上であるか否かを判断する。エラー回数が一定回数未満である場合（Ｓ２１０のＮｏ）、取得部３０は、処理をステップＳ２０７に戻す。エラー回数が一定回数以上である場合（Ｓ２１０のＹｅｓ）、取得部３０は、本フローを終了する。
In step S210, the
ステップＳ２１１において、取得部３０は、提供装置２０から受信したＥＣＵＩＤ、ＦＷＩＤ、新ＦＷデータ、新ＦＷのＭＡＣ値、新ＦＷのバージョン番号および新ＦＷの開発者ＩＤを、一時記憶部３８に書き込む。さらに、取得部３０は、現ＦＷデータ記憶部２０１に記憶された現ＦＷデータ、または、提供装置２０から受信した現ＦＷデータを、一時記憶部３８に書き込む。
In step S211, the
ステップＳ２１１を終えると、取得部３０は、本フローを終了する。この場合、取得部３０は、正当な現ＦＷデータまたは新ＦＷデータを受信できている。
When step S211 is completed, the
図２８は、第４変形例に係る中継装置２６および電子制御装置２４の機能構成を示す図である。
FIG. 28 is a diagram illustrating a functional configuration of the
確定部１００は、更新処理において電子制御装置２４に書き込まれた新ＦＷデータが正当である旨の通知を受けた場合、一時記憶部３８に記憶されている新ＦＷデータを読み出す。そして、確定部１００は、読み出した新ＦＷデータを現ＦＷデータ記憶部２０１に転送して、現ＦＷデータ記憶部２０１に書き込む。すなわち、確定部１００は、更新処理が成功した場合、電子制御装置２４に送信した新ＦＷデータを、現ＦＷデータとして現ＦＷデータ記憶部２０１に書き込む。
When the
また、第２検証部９８は、更新処理において電子制御装置２４に書き込まれた新ＦＷデータが正当ではないと判断した場合、更新処理が失敗したことを、データ送信部８４に通知する。データ送信部８４は、更新処理が失敗した場合、一時記憶部３８に記憶されている現ＦＷデータを電子制御装置２４に送信して、電子制御装置２４に現ＦＷデータを復元させる。すなわち、データ送信部８４は、現ＦＷデータ記憶部２０１に記憶されている正当である現ＦＷデータを電子制御装置２４に送信して、電子制御装置２４に現ＦＷデータを復元させる。また、現ＦＷデータ記憶部２０１に記憶されている現ＦＷデータが正当でなかった場合、データ送信部８４は、提供装置２０から受信した正当である現ＦＷデータを電子制御装置２４に送信して、電子制御装置２４に現ＦＷデータを復元させる。
If the
また、確定部１００は、復元処理において電子制御装置２４に書き込まれた現ＦＷデータが正当である旨の通知を受けた場合、一時記憶部３８に記憶されている現ＦＷデータを読み出す。そして、確定部１００は、読み出した現ＦＷデータを現ＦＷデータ記憶部２０１に転送して、現ＦＷデータ記憶部２０１に書き込む。すなわち、確定部１００は、復元処理が成功した場合、電子制御装置２４に送信した現ＦＷデータを現ＦＷデータ記憶部２０１に書き込む。
Further, when receiving the notification that the current FW data written in the
このような本変形例に係る中継装置２６は、電子制御装置２４に記憶された現ＦＷデータを、新ＦＷデータに更新することができる。また、中継装置２６は、更新処理において電子制御装置２４に書き込まれた新ＦＷデータが正当ではない場合には、現ＦＷデータ記憶部２０１に記憶されている正当な現ＦＷデータにより、電子制御装置２４に記憶された現ＦＷデータを復元することができる。さらに、現ＦＷデータ記憶部２０１に記憶されている現ＦＷデータが正当でなかった場合にも、中継装置２６は、提供装置２０から受信した正当な現ＦＷデータにより、電子制御装置２４に記憶された現ＦＷデータを復元することができる。
The
図２９は、第４変形例に係る中継装置２６による更新処理フローを示す図である。本変形例に係る更新部３２は、図２９に示す更新処理を実行する。
FIG. 29 is a diagram illustrating an update process flow by the
本変形例に係る更新部３２は、図１２に示したフローと比較して、Ｓ２２１およびＳ２２２の処理をさらに実行する点において異なる。
The
更新部３２は、ステップＳ５０の後、処理をＳ２２１に進める。Ｓ２２１において、更新部３２は、一時記憶部３８に記憶されている新ＦＷデータを読み出して、読み出した新ＦＷデータを、現ＦＷデータとして現ＦＷデータ記憶部２０１に書き込む。更新部３２は、Ｓ２２１を終えると、処理をＳ５１に進める。
The
また、更新部３２は、Ｓ５４で復元処理において電子制御装置２４に書き込まれた現ＦＷデータが正当であると判断した場合（Ｓ５４のＹｅｓ）、処理をステップＳ２２２に進める。Ｓ２２２において、更新部３２は、一時記憶部３８に記憶されている現ＦＷデータを読み出して、読み出した現ＦＷデータを、現ＦＷデータ記憶部２０１に書き込む。更新部３２は、Ｓ２２２を終えると、処理をＳ５１に進める。
If the
以上のように、第４変形例に係る中継装置２６は、電子制御装置２４に書き込まれた現ＦＷデータを現ＦＷデータ記憶部２０１に記憶しておき、新ＦＷデータへの更新処理が失敗した場合、現ＦＷデータ記憶部２０１に記憶された現ＦＷデータを用いて復元処理をすることができる。これにより、第４変形例に係る中継装置２６によれば、提供装置２０との通信量を減らすことができる。また、第４変形例に係るネットワークシステム１０は、中継装置２６が現ＦＷデータを記憶するので、それぞれの電子制御装置２４がファームェアをバックアップするためのメモリを備えなくてよい。従って、第４変形例に係るネットワークシステム１０によれば、コストを小さくすることができる。
As described above, the
なお、更新部３２は、書き込まれた新ＦＷデータが正当でない場合、現ＦＷデータを電子制御装置２４に書き込む復元処理を実行する。しかし、更新部３２は、復元処理を一定回数以上失敗する可能性もある。現ＦＷデータ記憶部２０１は、復元処理が失敗した状況を解析するためのファームウェア、電子制御装置２４を最低限の機能で動作させるためのファームウェア、または、これらの両者の機能を有するファームウェアを記憶してもよい。そして、更新部３２は、復元処理を一定回数以上失敗した場合、このようなファームウェアを電子制御装置２４に送信して、電子制御装置２４に記憶させてもよい。
Note that when the new FW data written is not valid, the
また、電子制御装置２４は、ファームウェアを更新するためのプログラムを、例えばブートローダ等を記憶したＲＯＭ領域に、ファームウェアとは別個に記憶してもよい。そして、電子制御装置２４は、このプログラムを実行することにより、更新処理および復元処理を実行してもよい。これにより、電子制御装置２４は、更新処理中の電源遮断等により再起動された場合、または、上書きしたファームウェアが異常であった場合等に、ファームウェアを更新するためのプログラムに不具合が生じる可能性を少なくすることができる。
Further, the
また、中継装置２６は、提供装置２０等にファームウェアの更新結果等を通知する場合、電子制御装置２４と提供装置２０とが共有する鍵により算出したＭＡＣ値を付加してもよい。これにより、提供装置２０は、それぞれの電子制御装置２４の更新結果を安全に取得することができる。
When the
（第５変形例）
図３０は、第５変形例に係る提供装置２０および中継装置２６の機能構成を示す図である。なお、第５変形例は、第４変形例をさらに変形した構成であるが、図１から図１４を参照して説明したネットワークシステム１０、第１変形例、第２変形例および第３変形例に適用されてもよい。
(5th modification)
FIG. 30 is a diagram illustrating a functional configuration of the providing
中継装置２６は、新ＦＷデータ生成部２１１（新データ生成部）をさらに備える。
The
提供情報記憶部５０は、ファームウェアのそれぞれのバージョンについて、差分データをさらに記憶する。差分データは、当該バージョンの実体データから、直前のバージョンの実体データを除いたデータである。
The provided
応答送信部５８は、新ＦＷデータの取得要求を受信した場合であって且つ新ＦＷデータが存在する場合、新ＦＷデータに代えて、新ＦＷの差分データを含む応答情報を送信する。すなわち、応答受信部６０は、新ＦＷデータの取得要求を送信した場合であって且つ新ＦＷデータが存在する場合、ＥＣＵＩＤ、ＦＷＩＤ、更新フラグ、新ＦＷの差分データ、新ＦＷのＭＡＣ値、新ＦＷのバージョン番号および新ＦＷの開発者ＩＤを含む応答情報を受信する。
The
新ＦＷデータ生成部２１１は、新ＦＷデータの取得要求を送信した場合であって且つ新ＦＷデータが存在する場合、新ＦＷデータを生成する。具体的には、新ＦＷデータ生成部２１１は、応答情報に含まれる差分データと、現ＦＷデータ記憶部２０１に記憶されている現ＦＷデータとに基づき、新ＦＷデータを生成する。
The new FW
第１検証値生成部６２は、新ＦＷデータの取得要求を送信した場合、新ＦＷデータ生成部２１１により生成された新ＦＷデータについて、ＭＡＣ値（第４検証値）を算出する。
When the first verification
第１検証部６４は、提供装置２０から受信した差分データに基づき生成された新ＦＷデータが正当であるか否かを判断する。具体的には、第１検証部６４は、提供装置２０から受信した第３検証値と、共有鍵データと新ＦＷデータ生成部２１１が生成した新ＦＷデータとにより算出された第４検証値とが一致する場合に、提供装置２０から受信した差分データに基づき生成された新ＦＷデータが正当であると判断する。
The
第１検証部６４は、提供装置２０から受信した差分データに基づき生成した新ＦＷデータ、および、現ＦＷデータ記憶部２０１に記憶された現ＦＷデータが正当であることを条件として、応答受信部６０が受信した情報等を一時記憶部３８に記憶させる。
The
以上のように、本変形例に係る中継装置２６は、新ＦＷデータに代えて、差分データを提供装置２０から受信する。これにより、中継装置２６は、提供装置２０から受信するデータ量を少なくすることができる。
As described above, the
（第６変形例）
図３１は、第６変形例に係る中継装置２６の機能構成を示す図である。なお、第６変形例は、第４変形例をさらに変形した構成であるが、図１から図１４を参照して説明したネットワークシステム１０、第１変形例、第２変形例、第３変形例および第５変形例に適用されてもよい。
(Sixth Modification)
FIG. 31 is a diagram illustrating a functional configuration of the
第６変形例に係る中継装置２６は、制御対象システム２２が有する複数の電子制御装置２４のファームウェアを協調して更新する。中継装置２６は、システム情報記憶部２２１をさらに備える。システム情報記憶部２２１は、システム情報を記憶する。
The
取得部３０は、提供装置２０から、制御対象システム２２が有する複数の電子制御装置２４のうちの、更新対象の少なくとも１つの電子制御装置２４についての新ＦＷデータ等を受信する。更新部３２は、提供装置２０から受信したそれぞれの新ＦＷデータを対応する電子制御装置２４に送信して、対応する電子制御装置２４に現ＦＷデータを新ＦＷデータに更新させる。
The
また、更新部３２は、何れかの１つの電子制御装置２４において更新処理が失敗した場合、更新対象であった全ての電子制御装置２４に現ＦＷデータを送信して、それぞれの電子制御装置２４に現ＦＷデータを復元させる。
Further, when the update process fails in any one of the
図３２は、システム情報記憶部２２１に記憶されるシステム情報の内容を示す図である。システム情報記憶部２２１は、図３２に示すシステム情報を記憶する。
FIG. 32 is a diagram showing the contents of the system information stored in the system
システム情報は、システム識別子およびシステムバージョン情報を含む。システム識別子は、制御対象システム２２が有する複数の電子制御装置２４の組を識別する情報である。制御対象システム２２が車両であれば、車両の種別を識別する情報であってよい。例えば、提供装置２０は、システム識別子に基づき、制御対象システム２２が有する複数の電子制御装置２４を特定することができる。
The system information includes a system identifier and system version information. The system identifier is information for identifying a set of a plurality of
システムバージョン情報は、システムリストのバージョンを表す。システムバージョン情報は、システムリストが新しくなる毎に大きくなる数値または文字であってよい。 The system version information represents the version of the system list. The system version information may be a numerical value or a character that increases each time the system list is updated.
システムリストは、制御対象システム２２が有する複数の電子制御装置２４のそれぞれに記憶されている現ＦＷデータのバージョンの組を表す。例えば、システムリストは、ＥＣＵＩＤとＦＷＩＤとＦＷデータのバージョン番号との組を含むリストであってよい。
The system list represents a set of versions of the current FW data stored in each of the plurality of
図３３は、第６変形例に係る提供装置２０および中継装置２６の機能構成を示す図である。提供情報記憶部５０は、システムリストをバージョン毎に記憶する。
FIG. 33 is a diagram illustrating a functional configuration of the providing
例えば、制御対象システム２２が有する複数の電子制御装置２４のうち、ある１つの電子制御装置２４のファームウェアのバージョンが更新されても、他の電子制御装置２４もファームウェアが更新されていなければ、安定して動作しない場合がある。システムリストは、このような不安定な動作をしないように保証されたファームウェアのバージョンの組を表す。また、システムリストは、適宜、バージョンが更新される。システムリストは、それぞれのバージョン毎にバージョン番号が割り当てられている。
For example, even if the firmware version of one
要求送信部５２は、予め定められた更新タイミングで（例えば定期的に）、新ＦＷデータの取得要求に代えて、一括取得要求を、提供装置２０に送信する。一括取得要求は、システム情報記憶部２２１に記憶されたシステム識別子とシステムバージョン情報とを含む。
The
特定部５６は、提供情報記憶部５０から一括取得要求を受信した場合、一括取得要求に含まれるシステムバージョン情報により特定されるバージョンよりも新しいバージョンのシステムリストが提供されているかを判断する。新しいバージョンのシステムリストが提供されている場合、特定部５６は、バージョンを更新すべき更新対象の少なくとも１つのファームウェアを特定する。具体的には、特定部５６は、新しいバージョンのシステムリストにおいて、現在のバージョンのシステムリストから、バージョンが更新されているファームウェアを特定する。
When receiving the batch acquisition request from the provision
応答送信部５８は、新しいバージョンのシステムリストが存在しない場合、システム識別子および更新フラグを含む応答情報を送信する。応答送信部５８は、新しいバージョンのシステムリストが存在する場合、更新フラグ、並びに、特定された更新対象のファームウェアのそれぞれについての新ＦＷデータ等を含む応答情報を送信する。なお、更新フラグは、新しいバージョンのシステムリストが存在しない場合には０、新しいバージョンのシステムリストが存在する場合には０以外の値となる。
When there is no new version of the system list, the
応答受信部６０は、新しいバージョンのシステムリストが存在しない場合、システム識別子および更新フラグを含む応答情報を受信する。応答受信部６０は、新しいバージョンのシステムリストが存在する場合、更新フラグ、並びに、特定された更新対象のファームウェアのそれぞれについての新ＦＷデータ等を含む応答情報を受信する。
When there is no new version of the system list, the
第１検証値生成部６２は、更新対象のファームウェアのそれぞれについて、新ＦＷデータのＭＡＣ値（第４検証値）を算出する。また、第１検証値生成部６２は、更新対象のファームウェアのそれぞれについて、現ＦＷデータ記憶部２０１に記憶された現ＦＷデータのＭＡＣ値（第１０検証値）を算出する。
The first verification
第１検証部６４は、更新対象のファームウェアのそれぞれについて、提供装置２０から受信した新ＦＷデータが正当であるか否かを判断する。また、第１検証部６４は、更新対象のファームウェアのそれぞれについて、現ＦＷデータ記憶部２０１に記憶された現ＦＷデータが正当であるか否かを判断する。
The
第１検証部６４は、更新対象のファームウェアのそれぞれについて、提供装置２０から受信した新ＦＷデータ、および、現ＦＷデータ記憶部２０１に記憶された現ＦＷデータが正当であることを条件として、応答受信部６０が受信した情報等を一時記憶部３８に記憶させる。具体的には、第１検証部６４は、更新対象のファームウェアのそれぞれについて、提供装置２０から受信した、ＥＣＵＩＤ、ＦＷＩＤ、新ＦＷデータ、新ＦＷのＭＡＣ値、新ＦＷのバージョン番号、新ＦＷの開発者ＩＤを、一時記憶部３８に記憶させる。さらに、第１検証部６４は、更新対象のファームウェアのそれぞれについて、現ＦＷデータ記憶部２０１に記憶された現ＦＷデータを、一時記憶部３８に記憶させる。
The
以上の構成により、中継装置２６は、更新対象のファームウェアのそれぞれについて、一括して、提供装置２０から新ＦＷデータを受信することができる。さらに、中継装置２６は、更新対象のファームウェアのそれぞれについて、受信した新ＦＷデータ、および、現ＦＷデータ記憶部２０１に記憶された現ＦＷデータが正当であるか否かを、一括して判断することができる。
With the above configuration, the
なお、第１検証部６４は、提供装置２０から受信した何れかの新ＦＷデータが正当でない場合、要求送信部５２に対して、その新ＦＷデータの取得要求を送信させてもよい。そして、第１検証部６４は、一定回数、同一の取得要求を送信しても新ＦＷデータが正当ではない場合、更新対象の全てのファームウェアについて、取得処理を終了する。
The
また、第１検証部６４は、現ＦＷデータ記憶部２０１に記憶された現ＦＷデータが正当でない場合、要求送信部５２に対して、現ＦＷデータの取得要求を送信させてもよい。そして、第１検証部６４は、一定回数、同一の取得要求を送信しても現ＦＷデータが正当ではない場合、更新対象の全てのファームウェアについて、取得処理を終了する。
In addition, when the current FW data stored in the current FW
図３４は、第６変形例に係る中継装置２６による取得処理フローを示す図である。本変形例に係る取得部３０は、図３４に示す取得処理を実行する。
FIG. 34 is a diagram illustrating an acquisition processing flow by the
まず、ステップＳ２３１において、取得部３０は、予め定められたタイミングにおいて、一括取得要求を提供装置２０に送信する。
First, in step S231, the
提供装置２０は、一括取得要求に応じて、対応する応答情報を中継装置２６に送信する。提供装置２０は、新しいバージョンのシステムリストが提供されていない場合には、値が０とされた更新フラグを含む応答情報を送信する。また、提供装置２０は、新しいバージョンのシステムリストが提供されている場合には、値が０以外とされた更新フラグ、および、更新対象のファームウェアのそれぞれについての新ＦＷデータ等を含む応答情報を送信する。
The providing
続いて、ステップＳ２３２において、取得部３０は、応答情報を受信する。続いて、ステップＳ２３３において、取得部３０は、応答情報に含まれる更新フラグが、０以外の値であるか否かを判断する。更新フラグが０である場合（Ｓ２３３のＮｏ）、取得部３０は、本フローを終了する。更新フラグが０以外の値である場合（Ｓ２３３のＹｅｓ）、処理をステップＳ２３４に進める。
Subsequently, in step S232, the
Ｓ２３４において、取得部３０は、更新対象のファームウェアのうちの１つを検証対象のファームウェアとして特定する。続いて、ステップＳ２３５において、取得部３０は、検証対象のファームウェアについて、新ＦＷデータが正当であるか否かを判断する。取得部３０は、正当である場合（Ｓ２３５のＹｅｓ）、処理をステップＳ２３６に進め、正当でない場合（Ｓ２３５のＮｏ）、本フローを終了する。
In S234, the
ステップＳ２３６において、取得部３０は、検証対象のファームウェアについて、現ＦＷデータ記憶部２０１に記憶された現ＦＷデータが正当であるか否かを判断する。取得部３０は、正当である場合（Ｓ２３６のＹｅｓ）、処理をステップＳ２３７に進め、正当でない場合（Ｓ２３６のＮｏ）、本フローを終了する。
In step S236, the
ステップＳ２３７において、取得部３０は、検証対象のファームウェアについて、提供装置２０から受信した新ＦＷデータ等を一時記憶部３８に書き込む。さらに、取得部３０は、検証対象のファームウェアについて、現ＦＷデータ記憶部２０１に記憶された現ＦＷデータを一時記憶部３８に書き込む。
In step S237, the
続いて、ステップＳ２３８において、取得部３０は、更新対象の全てのファームウェアを検証したか否かを判断する。まだ全てを検証していない場合には（Ｓ２３８のＮｏ）、取得部３０は、処理をＳ２３４に戻し、他のファームウェアを検証対象として特定して処理を続ける。全てを検証した場合には（Ｓ２３８のＹｅｓ）、取得部３０は、本フローを終了する。
Subsequently, in step S238, the
図３５は、第６変形例に係る中継装置２６および電子制御装置２４の機能構成を示す図である。
FIG. 35 is a diagram illustrating a functional configuration of the
開始検知部７８は、更新対象のファームウェアを記憶するそれぞれの電子制御装置２４が、更新可能か否かを判断する。開始検知部７８は、更新対象のファームウェアを記憶するそれぞれの電子制御装置２４が全て更新可能である場合、開始送信部８０およびデータ送信部８４に開始指示を与える。
The
開始送信部８０は、開始指示を受け取ると、更新対象のファームウェアを記憶するそれぞれの電子制御装置２４に更新開始を示す情報を送信する。
When the
データ送信部８４は、開始検知部７８から開始指示を受け取ると、更新対象のファームウェアを記憶するそれぞれの電子制御装置２４に、提供装置２０から受信した対応する新ＦＷデータを電子制御装置２４に送信して、電子制御装置２４に記憶されている現ＦＷデータを新ＦＷデータに更新させる。
When the
検証値受信部９６は、更新対象のファームウェアを記憶するそれぞれの電子制御装置２４から、更新処理においてデータ記憶部７０に書き込まれた新ＦＷデータを検証するためのＭＡＣ値を受信する。
The verification
第２検証部９８は、更新対象のファームウェアのそれぞれについて、更新処理において電子制御装置２４に書き込まれた新ＦＷデータが正当であるか否かを検証する。第２検証部９８は、更新対象のファームウェアのそれぞれについて、更新処理において電子制御装置２４に書き込まれた新ＦＷデータが正当であると判断した場合、確定部１００および通知部１０２に通知する。
The
確定部１００は、更新対象のファームウェアのそれぞれについて、更新処理において電子制御装置２４に書き込まれた新ＦＷデータが正当である旨の通知を受けた場合、一時記憶部３８に記憶されている情報を読み出して、管理データ記憶部３４に記憶させる。
When the
通知部１０２は、更新対象のファームウェアの全てについて、第２検証部９８から新ＦＷデータが正当である旨の通知を受けた場合、他の電子制御装置２４および更新対象の電子制御装置２４に、ファームウェアの更新を完了したことを示す情報を送信する。
When the
一方、第２検証部９８は、何れか１つの電子制御装置２４に書き込まれた新ＦＷデータが正当ではないと判断した場合、更新処理が失敗したことを、データ送信部８４に通知する。
On the other hand, when the
データ送信部８４は、更新処理が失敗した場合、更新対象のファームウェアのそれぞれについて、対応する現ＦＷデータを電子制御装置２４に送信して、電子制御装置２４に現ＦＷデータを復元させる。具体的には、データ送信部８４は、更新対象のファームウェアのそれぞれについて、一時記憶部３８に記憶された現ＦＷデータを電子制御装置２４に送信するとともに、復元指示を送信する。なお、データ送信部８４は、まだ新ＦＷデータへ送信しておらず更新を開始していない電子制御装置２４については、復元処理をさせなくてもよい。
When the update process fails, the
検証値受信部９６は、復元対象のファームウェアのそれぞれについて、電子制御装置２４から、復元処理においてデータ記憶部７０に書き込まれた現ＦＷデータを検証するためのＭＡＣ値を受信する。
The verification
第２検証部９８は、復元対象のファームウェアのそれぞれについて、復元処理において電子制御装置２４に書き込まれた現ＦＷデータが正当であるか否かを検証する。第２検証部９８は、復元対象のファームウェアのそれぞれについて、復元処理において電子制御装置２４に書き込まれた現ＦＷデータが正当であると判断した場合、通知部１０２に通知する。通知部１０２は、復元対象のファームウェアの全てについて、第２検証部９８から現ＦＷデータが正当である旨の通知を受けた場合、他の電子制御装置２４および更新対象の電子制御装置２４に、処理が完了したことを示す情報を送信する。
The
また、第２検証部９８は、復元対象のファームウェアの何れかについて、復元処理において電子制御装置２４に書き込まれた現ＦＷデータが正当でないと判断した場合、電子制御装置２４に正当なデータが書き込まれていないことを通知部１０２に通知する。通知部１０２は、第２検証部９８から、正当なデータが書き込まれていないことの通知を受けると、他の電子制御装置２４および更新対象の電子制御装置２４に、正当なデータが書き込まれていないことを示す情報を送信する。
If the
確定部１００は、更新対象のファームウェアのそれぞれについて、更新処理において電子制御装置２４に書き込まれた新ＦＷデータが正当である旨の通知を受けた場合、一時記憶部３８に記憶されている新ＦＷデータを現ＦＷデータ記憶部２０１に転送して、現ＦＷデータ記憶部２０１に書き込む。また、確定部１００は、復元処理において電子制御装置２４に書き込まれた現ＦＷデータが正当である旨の通知を受けた場合、一時記憶部３８に記憶されている現ＦＷデータを現ＦＷデータ記憶部２０１に転送して、現ＦＷデータ記憶部２０１に書き込む。
When the
図３６は、第６変形例に係る中継装置２６による更新処理フローを示す図である。更新部３２は、図３６に示す更新処理を実行する。
FIG. 36 is a diagram illustrating an update processing flow by the
まず、ステップＳ２４１において、更新部３２は、更新対象のファームウェアのそれぞれについて、更新タイミング情報を管理データ記憶部３４から読み出す。続いて、ステップＳ２４２において、更新部３２は、更新対象のファームウェアを記憶するそれぞれの電子制御装置２４についてのＥＣＵ状態情報を状態記憶部４０から読み出す。
First, in step S <b> 241, the
続いて、ステップＳ２４３において、更新部３２は、読み出したＥＣＵ状態情報等に基づき、更新対象のファームウェアを記憶する全ての電子制御装置２４が更新可能か否かを判断する。更新部３２は、更新可能ではない場合（Ｓ２４３のＮｏ）、処理をステップＳ２４４に進めて一定時間待機した後に、再度、ステップＳ２４２から処理を繰り返す。更新部３２は、更新可能である場合（Ｓ２４３のＹｅｓ）、処理をステップＳ２４５に進める。
Subsequently, in step S243, the updating
ステップＳ２４５において、更新部３２は、更新対象のファームウェアを記憶するそれぞれの電子制御装置２４に更新開始を示す情報を送信する。続いて、ステップＳ２４６において、更新部３２は、他の電子制御装置２４に、更新対象の電子制御装置２４におけるファームウェアの更新の開始を示す情報を送信する。
In step S245, the
続いて、ステップＳ２４７において、更新部３２は、更新対象の少なくとも１つのファームウェアのうちの１つのファームウェアを、書き込み対象のファームウェアとして特定する。
Subsequently, in step S247, the
続いて、ステップＳ２４８において、更新部３２は、書き込み対象のファームウェアについて、提供装置２０から受信した新ＦＷデータを電子制御装置２４に送信して、電子制御装置２４に記憶されている現ＦＷデータを新ＦＷデータに更新させる。
Subsequently, in step S248, the
続いて、ステップＳ２４９において、更新部３２は、更新対象の電子制御装置２４から、書き込んだ新ＦＷデータを検証するためのＭＡＣ値を受信する。
Subsequently, in step S249, the updating
続いて、ステップＳ２５０において、更新部３２は、書き込み対象のファームウェアについて、更新処理において電子制御装置２４に書き込まれた新ＦＷデータが正当であるか否かを検証する。正当でない場合（Ｓ２５０のＮｏ）、更新部３２は、処理をＳ２５１に進めてロールバック処理を実行する。なお、Ｓ２５１のロールバック処理については、図３７でさらに説明する。
Subsequently, in step S250, the
正当である場合（Ｓ２５０のＹｅｓ）、更新部３２は、処理をＳ２５２に進める。ステップＳ２５２において、更新部３２は、一時記憶部３８に記憶されている、書き込み対象のファームウェアについての新ＦＷのＭＡＣ値、新ＦＷのバージョン番号および新ＦＷの開発者ＩＤを読み出して、現ＦＷのＭＡＣ値、現ＦＷのバージョン番号および現ＦＷの開発者ＩＤとして管理データ記憶部３４に記憶させる。
If it is valid (Yes in S250), the updating
続いて、Ｓ２５３において、更新部３２は、一時記憶部３８に記憶されている、書き込み対象のファームウェアについての新ＦＷデータを読み出して、読み出した新ＦＷデータを現ＦＷデータとして、現ＦＷデータ記憶部２０１に書き込む。更新部３２は、Ｓ２５３を終えると、処理をＳ２５４に進める。
Subsequently, in S253, the
続いて、ステップＳ２５４において、更新部３２は、更新対象の全てのファームウェアについて、新ＦＷデータを書き込んだか否かを判断する。全てをまだ書き込んでいない場合には（Ｓ２５４のＮｏ）、更新部３２は、処理をＳ２４７に戻し、他のファームウェアを書き込み対象として特定して処理を続ける。全てを書き込んだ場合には（Ｓ２５４のＹｅｓ）、更新部３２は、本フローを終了する。
Subsequently, in step S254, the
図３７は、第６変形例に係る中継装置２６によるロールバック処理フローを示す図である。更新部３２は、図３６で示したＳ２５１において、図３７に示すロールバック処理を実行する。
FIG. 37 is a diagram showing a rollback processing flow by the
まず、ステップＳ２６１において、更新部３２は、更新対象のファームウェアのうちの１つのファームウェアを、復元対象のファームウェアとして特定する。なお、更新部３２は、新ＦＷデータへ送信しておらず更新を開始していないファームウェアについては、復元対象から除いてよい。
First, in step S <b> 261, the
続いて、ステップＳ２６２において、更新部３２は、復元対象のファームウェアについて、一時記憶部３８に記憶された現ＦＷデータを電子制御装置２４に送信して、電子制御装置２４に現ＦＷデータを復元させる。
Subsequently, in step S262, the
続いて、ステップＳ２６３において、更新部３２は、復元対象の電子制御装置２４から、書き込んだ現ＦＷデータを検証するためのＭＡＣ値を受信する。
Subsequently, in step S263, the updating
続いて、ステップＳ２６４において、更新部３２は、復元処理において電子制御装置２４に書き込まれた現ＦＷデータが正当であるか否かを検証する。更新部３２は、正当でない場合（Ｓ２６４のＮｏ）、処理をステップＳ２６５に進め、正当である場合（Ｓ２６４のＹｅｓ）、処理をステップＳ２６６に進める。
Subsequently, in step S264, the updating
ステップＳ２６５において、更新部３２は、復元対象の電子制御装置２４および他の電子制御装置２４に、復元対象の電子制御装置２４に正当なデータが書き込まれていないことを示す失敗通知を送信する。ステップＳ２６５を終えると、更新部３２は、処理をＳ２６８に進める。
In step S <b> 265, the updating
ステップＳ２６６において、更新部３２は、一時記憶部３８に記憶されている、書き込み対象のファームウェアについての現ＦＷのＭＡＣ値、現ＦＷのバージョン番号および現ＦＷの開発者ＩＤを読み出して管理データ記憶部３４に記憶させる。
In step S266, the
続いて、ステップＳ２６７において、更新部３２は、一時記憶部３８に記憶されている、書き込み対象のファームウェアについての現ＦＷデータを読み出して、読み出した現ＦＷデータを、現ＦＷデータ記憶部２０１に書き込む。更新部３２は、ステップＳ２６７を終えると、処理をＳ２６８に進める。
Subsequently, in step S267, the
続いて、ステップＳ２６８において、更新部３２は、更新対象の全てのファームウェアについて、現ＦＷデータを書き込んだか否かを判断する。まだ全てを書き込んでいない場合には（Ｓ２６８のＮｏ）、更新部３２は、処理をＳ２６１に戻し、他のファームウェアを復元対象として特定して処理を続ける。全てを書き込んだ場合には（Ｓ２６８のＹｅｓ）、更新部３２は、本フローを終了する。
Subsequently, in step S268, the
このような本変形例に係る中継装置２６は、複数の電子制御装置２４のファームウェアを協調して更新することができる。これにより、中継装置２６は、複数の電子制御装置２４のファームウェアを、安定して動作をするバージョンの組み合わせとなるように更新することができる。なお、第６変形例に係る構成は、図１から図１４を参照して説明したネットワークシステム１０に適用されてもよい。
Such a
（第７変形例）
図３８は、第７変形例に係るネットワークシステム１０を示す図である。なお、第７変形例は、第４変形例をさらに変形した構成であるが、第５変形例および第６変形例に適用されてもよい。
(Seventh Modification)
FIG. 38 is a diagram illustrating a
制御対象システム２２は、中継装置２６の外部に、記憶装置２５１をさらに備える。記憶装置２５１は、内部ネットワークを介して中継装置２６と接続されていてもよいし、内部ネットワークとは異なるネットワークで中継装置２６と接続されていてもよい。中継装置２６は、情報を記憶装置２５１に書き込むことができる。また、中継装置２６は、記憶装置２５１に記憶されている情報を読み出すことができる。
The
図３９は、第７変形例に係る中継装置２６および記憶装置２５１の機能構成を示す図である。中継装置２６は、第１通信部２６１をさらに有する。記憶装置２５１は、第２通信部２６２と、現ＦＷデータ記憶部２０１とを有する。
FIG. 39 is a diagram illustrating a functional configuration of the
第１通信部２６１および第２通信部２６２は、互いに情報を送受信する。現ＦＷデータ記憶部２０１は、第１通信部２６１および第２通信部２６２を介して、中継装置２６の取得部３０および更新部３２からアクセスがされる。取得部３０および更新部３２は、外部の記憶装置２５１に対して、現ＦＷデータの書き込みおよび読み出しをする。
The
また、更新部３２の確定部１００は、書き込まれた新ＦＷデータまたは現ＦＷデータが正当である旨の通知（更新結果通知）を電子制御装置２４から受け取る。確定部１００は、電子制御装置２４から送信された更新結果通知と新ＦＷデータ（または現ＦＷデータ）との組を外部の記憶装置２５１に送信して、記憶させてもよい。これにより、制御対象システム２２は、外部の記憶装置２５１に記憶されている現ＦＷデータが、電子制御装置２４に書き込まれていることを保証することができる。
Further, the
このような制御対象システム２２は、例えば中継装置２６のプログラムが故障した場合であっても、現ＦＷデータ記憶部２０１に記憶されている現ＦＷデータが不正に書き換えられたり故障したりすることを回避することができる。また、中継装置２６および記憶装置２５１は、共有鍵を用いて現ＦＷデータのＭＡＣ値を算出して、送受信する現ＦＷデータを検証してもよい。これにより、制御対象システム２２は記憶装置２５１に記憶される現ＦＷデータの不正な書き換えを防止することができる。
Such a
また、制御対象システム２２は、電子制御装置２４毎に、記憶装置２５１を備えてもよい。また、制御対象システム２２は、電子制御装置２４毎に、中継装置２６および記憶装置２５１に共有鍵を保持させてもよい。これにより、制御対象システム２２は、現ＦＷデータの不正な書き換えをより強力に防止することができる。
Further, the
さらに、中継装置２６は、更新結果通知に、電子制御装置２４に書き込まれた新ＦＷデータ（または現ＦＷデータ）のハッシュ値を付与した情報のＭＡＣ値を生成してもよい。そして、中継装置２６は、生成したＭＡＣ値と、更新結果通知と、新ＦＷデータ（または現ＦＷデータ）とを記憶装置２５１に送信する。この場合、記憶装置２５１の第２通信部２６２は、受信した新ＦＷデータ（または現ＦＷデータ）のハッシュ値を生成し、更新結果通知にハッシュ値を付与した情報のＭＡＣ値を生成して、比較する。これにより、第２通信部２６２は、受信した新ＦＷデータ（または現ＦＷデータ）が確かに電子制御装置２４に記憶されているものであることを、中継装置２６にマルウェアが進入しているような状況下であっても保証できる。
Further, the
なお、中継装置２６および記憶装置２５１は、記憶装置２５１が生成した乱数を用いたチャレンジレスポンス方式を利用して、更新結果通知をやり取りしてもよい。これにより、中継装置２６および記憶装置２５１は、過去に有効であった更新結果通知を利用した攻撃を防ぎ、セキュリティを向上させることができる。中継装置２６および記憶装置２５１は、チャレンジレスポンス方式ではなく、公開鍵を用いた方式で過去に有効であった更新結果通知を利用した攻撃を防いでもよい。
Note that the
図４０は、実施形態に係る情報処理装置３００のハードウェア構成の一例を示す図である。上述した中継装置２６は、例えば図４０に示すような情報処理装置３００により実現することができる。
FIG. 40 is a diagram illustrating an example of a hardware configuration of the
情報処理装置３００は、通常のコンピュータと同様の構成をしている。すなわち、情報処理装置３００は、ＣＰＵ３０２と、ＲＯＭ３０４と、ＲＡＭ３０６と、記憶装置３０８と、外部通信装置３１０と、内部通信装置３１２とを有する。ＣＰＵ３０２、ＲＯＭ３０４、ＲＡＭ３０６、記憶装置３０８、外部通信装置３１０および内部通信装置３１２は、バスにより接続されている。ＣＰＵ３０２、ＲＯＭ３０４、ＲＡＭ３０６は１つのチップで構成され、それと、記憶装置３０８、外部通信装置３１０および内部通信装置３１２がバスにより接続されてもよい。
The
ＣＰＵ３０２は、記憶装置３０８に記憶されたプログラムをＲＡＭ３０６に展開して実行し、各部を制御して入出力を行ったり、データの加工を行ったりする。ＲＯＭ３０４には、ＯＳの起動用プログラムを記憶装置３０８からＲＡＭ３０６に読み出すスタートプログラムが記憶されている。ＲＡＭ３０６は、ＣＰＵ３０２の作業領域としてデータを記憶する。
The CPU 302 expands and executes the program stored in the
記憶装置３０８は、例えば、ハードディスクドライブまたはフラッシュメモリ等である。記憶装置３０８は、オペレーティングシステム、アプリケーションプログラムおよびデータを記憶している。これらのプログラムは、インストール可能な形式または実行可能な形式のファイルで、コンピュータで読み取り可能な記録メディアに記録して配布される。また、プログラムは、サーバからダウンロードすることにより配布されてもよい。
The
外部通信装置３１０は、外部ネットワークに接続するためのインターフェイス装置である。内部通信装置３１２は、内部ネットワークに接続するためのインターフェイス装置である。
The
本実施形態の情報処理装置３００で実行されるプログラムは、インストール可能な形式または実行可能な形式のファイルでＣＤ−ＲＯＭ、フレキシブルディスク（ＦＤ）、ＣＤ−Ｒ、ＤＶＤ等のコンピュータで読み取り可能な記録媒体に記録されて提供される。
The program executed by the
また、本実施形態の情報処理装置３００で実行されるプログラムを、インターネット等のネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するように構成してもよい。また、本実施形態の情報処理装置３００で実行されるプログラムをインターネット等のネットワーク経由で提供または配布するように構成してもよい。また、本実施形態のプログラムを、ＲＯＭ３０４等に予め組み込んで提供するように構成してもよい。
The program executed by the
情報処理装置３００を中継装置２６として機能させるためのプログラムは、取得モジュール（要求送信モジュール、応答受信モジュール、第１検証値生成モジュール、第１検証モジュールおよび状況更新モジュール等を含む）と、更新モジュール（状態受信モジュール、開始検知モジュール、開始送信モジュール、データ送信モジュール、検証値受信モジュール、第２検証モジュール、確定モジュールおよび通知モジュール等）とを有する。情報処理装置３００は、実際のハードウェアとしてはプロセッサ（ＣＰＵ３０２）が記憶媒体（記憶装置３０８等）からプログラムを読み出して実行することにより上記各部が主記憶装置（ＲＡＭ３０６）上にロードされ、取得部３０（要求送信部５２、応答受信部６０、第１検証値生成部６２、第１検証部６４および状況更新部６６等を含む）と、更新部３２（状態受信部７６、開始検知部７８、開始送信部８０、データ送信部８４、検証値受信部９６、第２検証部９８、確定部１００および通知部１０２等）とが、主記憶装置上に生成されるようになっている。
A program for causing the
本発明のいくつかの実施形態および変形例を説明したが、これらの実施形態および変形例は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。 Although several embodiments and modifications of the present invention have been described, these embodiments and modifications are presented by way of example and are not intended to limit the scope of the invention. These novel embodiments can be implemented in various other forms, and various omissions, replacements, and changes can be made without departing from the scope of the invention. These embodiments and modifications thereof are included in the scope and gist of the invention, and are included in the invention described in the claims and the equivalents thereof.
１０ ネットワークシステム
２０ 提供装置
２２ 制御対象システム
２４ 電子制御装置
２６ 中継装置
３０ 取得部
３２ 更新部
３４ 管理データ記憶部
３６ 共有鍵記憶部
３８ 一時記憶部
４０ 状態記憶部
５０ 提供情報記憶部
５２ 要求送信部
５４ 要求受信部
５６ 特定部
５８ 応答送信部
６０ 応答受信部
６２ 第１検証値生成部
６４ 第１検証部
６６ 状況更新部
７０ データ記憶部
７２ 制御部
７４ 状態送信部
７６ 状態受信部
７８ 開始検知部
８０ 開始送信部
８２ 開始受信部
８４ データ送信部
８６ データ受信部
８８ 書込部
９０ 第１鍵記憶部
９２ 第２検証値生成部
９４ 検証値送信部
９６ 検証値受信部
９８ 第２検証部
１００ 確定部
１０２ 通知部
１０４ 終了受信部
１２２ バージョン送信部
１２４ バージョン受信部
１２６ バージョン判定部
１４２ 第３検証部
１４４ 結果送信部
１４６ 結果受信部
１５２ 切替部
２０１ 現ＦＷデータ記憶部
２１１ 新ＦＷデータ生成部
２２１ システム情報記憶部
２５１ 記憶装置
２６１ 第１通信部
２６２ 第２通信部
DESCRIPTION OF
Claims (20)
前記電子制御装置を識別する装置識別子と、前記現データを識別するデータ識別子と、前記現データのバージョンを特定可能なバージョン特定情報とを含む取得要求を、提供装置に送信する要求送信部と、
前記取得要求に応じて、前記提供装置から前記新データを受信する応答受信部と、
前記提供装置から受信した前記新データを前記電子制御装置に送信して前記電子制御装置に記憶されている前記現データを前記新データに更新させ、更新処理が失敗した場合、前記現データを前記電子制御装置に送信して前記電子制御装置に前記現データを復元させるデータ送信部と、
を備える中継装置。 A relay device for updating current data stored in an electronic control device to new data,
A request transmitting unit that transmits an acquisition request including a device identifier for identifying the electronic control device, a data identifier for identifying the current data, and version specifying information capable of specifying a version of the current data to a providing device;
In response to the acquisition request, a response receiving unit that receives the new data from the providing device;
When the new data received from the providing device is transmitted to the electronic control device and the current data stored in the electronic control device is updated to the new data. A data transmission unit for transmitting to the electronic control unit and causing the electronic control unit to restore the current data;
A relay device comprising:
前記データ送信部は、前記更新処理が失敗した場合、前記提供装置から受信した前記現データを前記電子制御装置に送信して前記電子制御装置に前記現データを復元させる
請求項１に記載の中継装置。 The response receiving unit receives the new data and the current data from the providing device in response to the acquisition request,
The relay according to claim 1, wherein, when the update process fails, the data transmission unit transmits the current data received from the providing device to the electronic control device and causes the electronic control device to restore the current data. apparatus.
前記データ送信部は、正当であると判断された前記現データおよび前記新データを前記電子制御装置へ送信する
請求項２に記載の中継装置。 A first verification unit for determining whether the current data and the new data received from the providing device are valid;
The relay device according to claim 2, wherein the data transmission unit transmits the current data and the new data determined to be valid to the electronic control device.
請求項３に記載の中継装置。 The first verification unit includes a first verification value for verifying the current data stored in the electronic control device and a second verification value for verifying the current data received from the providing device. The relay device according to claim 3, wherein, when they match, it is determined that the current data received from the providing device is valid.
前記第１検証部は、前記第３検証値と、共有鍵データと前記提供装置から受信した前記新データとにより算出された第４検証値とが一致する場合に、前記提供装置から受信した前記新データが正当であると判断する
請求項３または４に記載の中継装置。 The response receiving unit further receives a third verification value for verifying the new data from the providing device,
The first verification unit receives the third verification value received from the providing apparatus when the fourth verification value calculated by the shared key data and the new data received from the providing apparatus matches. The relay apparatus according to claim 3, wherein the new data is determined to be valid.
前記データ送信部は、前記更新処理において前記電子制御装置に書き込まれた前記新データが正当ではない場合、前記提供装置から受信した前記現データを前記電子制御装置へ送信して前記電子制御装置に前記現データを復元させる
請求項３から５の何れか１項に記載の中継装置。 A second verification unit that verifies whether the new data written to the electronic control unit by the update process is valid;
The data transmission unit transmits the current data received from the providing device to the electronic control device to the electronic control device when the new data written to the electronic control device in the update process is not valid. The relay device according to claim 3, wherein the current data is restored.
請求項６に記載の中継装置。 The second verification unit includes a fifth verification value for verifying the new data written in the electronic control unit in the update process, and a second value for verifying the new data transmitted to the electronic control unit. 7. The relay device according to claim 6, wherein when the verification value does not match, it is determined that the new data written to the electronic control device by the update process is not valid.
前記中継装置は、前記電子制御装置に書き込まれた前記現データが正当ではない場合、前記電子制御装置に書き込まれたデータが正当でないことを外部に通知する通知部をさらに備える
請求項６または７に記載の中継装置。 The second verification unit further determines whether or not the current data written in the electronic control device in the restoration process is valid,
The relay device further includes a notification unit that notifies the outside that the data written to the electronic control device is not valid when the current data written to the electronic control device is not valid. The relay device described in 1.
請求項８に記載の中継装置。 The second verification unit includes a seventh verification value for verifying the current data written in the electronic control device in the restoration process, and a second value for verifying the current data transmitted to the electronic control device. 9. The relay device according to claim 8, wherein when the verification value does not match, the current data written in the electronic control device is determined not to be valid.
前記中継装置は、前記更新処理において前記電子制御装置に書き込まれた前記新データが正当であるか否かの結果を前記電子制御装置から受信する結果受信部をさらに備え、
前記データ送信部は、前記更新処理において前記電子制御装置に書き込まれた前記新データが正当でなかったことを示す結果を受信した場合、前記提供装置から受信した前記現データおよび前記現データを検証するための第８検証値を前記電子制御装置へ送信して前記電子制御装置に前記現データを復元させる
請求項３から５の何れか１項に記載の中継装置。 The data transmitting unit transmits the new data received from the providing device and a sixth verification value for verifying the new data to the electronic control device and stores the current data stored in the electronic control device. Update to the new data,
The relay device further includes a result receiving unit that receives a result from the electronic control device whether or not the new data written to the electronic control device in the update process is valid,
The data transmission unit verifies the current data and the current data received from the providing device when receiving a result indicating that the new data written to the electronic control device is not valid in the update process. The relay device according to any one of claims 3 to 5, wherein an eighth verification value to be transmitted is transmitted to the electronic control device to cause the electronic control device to restore the current data.
前記電子制御装置に記憶されている前記現データのバージョンより、前記提供装置から送信可能な前記新データのバージョンが新しいかを判断するバージョン判定部と、
をさらに備え、
前記要求送信部は、前記電子制御装置に記憶されている前記現データのバージョンより、前記提供装置から送信可能な前記新データのバージョンが新しいことを条件として、前記取得要求を前記提供装置に送信する
請求項１から１０の何れか１項に記載の中継装置。 A version receiving unit that receives information representing a version of the new data that can be transmitted from the providing device;
A version determination unit that determines whether the version of the new data that can be transmitted from the providing device is newer than the version of the current data stored in the electronic control device;
Further comprising
The request transmission unit transmits the acquisition request to the providing apparatus on the condition that the version of the new data that can be transmitted from the providing apparatus is newer than the version of the current data stored in the electronic control apparatus. The relay device according to any one of claims 1 to 10.
前記検証主体情報に基づき、前記検証を前記中継装置で実行させるか前記電子制御装置で実行させるかを切り替える切替部と、
をさらに備える請求項１に記載の中継装置。 A state storage unit that stores verification entity information indicating whether the relay device or the electronic control device executes verification of whether the new data written to the electronic control device is valid;
A switching unit for switching whether to execute the verification by the relay device or the electronic control device based on the verification subject information;
The relay device according to claim 1, further comprising:
前記更新処理が成功した場合、前記電子制御装置に送信した前記新データを、前記現データとして前記現データ記憶部に書き込む確定部と、
をさらに備え、
前記要求送信部は、前記新データの送信を要求する前記取得要求を、前記提供装置に送信し、
前記応答受信部は、前記新データの送信を要求する前記取得要求に応じて、前記提供装置から前記新データを受信し、
前記データ送信部は、前記更新処理が失敗した場合、前記現データ記憶部に記憶されている前記現データを前記電子制御装置に送信して前記電子制御装置に前記現データを復元させる
請求項１に記載の中継装置。 A current data storage unit for storing the current data;
If the update process is successful, a confirmation unit that writes the new data transmitted to the electronic control device as the current data in the current data storage unit;
Further comprising
The request transmission unit transmits the acquisition request for requesting transmission of the new data to the providing device,
The response receiving unit receives the new data from the providing device in response to the acquisition request for requesting transmission of the new data,
The data transmission unit, when the update process fails, transmits the current data stored in the current data storage unit to the electronic control unit, and causes the electronic control unit to restore the current data. The relay device described in 1.
前記データ送信部は、正当である前記現データおよび前記新データを前記電子制御装置へ送信する
請求項１３に記載の中継装置。 A first verification unit that determines whether the new data received from the providing device and the current data stored in the current data storage unit are valid;
The relay device according to claim 13, wherein the data transmission unit transmits the current data and the new data that are valid to the electronic control device.
前記応答受信部は、前記現データの送信を要求する前記取得要求に応じて、前記提供装置から前記現データを受信し、
前記データ送信部は、前記更新処理が失敗した場合、前記提供装置から受信した前記現データを前記電子制御装置に送信して前記電子制御装置に前記現データを復元させる
請求項１４に記載の中継装置。 The request transmission unit, when it is determined that the current data stored in the current data storage unit is not valid, transmits the acquisition request for requesting transmission of the current data to the providing device,
The response receiving unit receives the current data from the providing device in response to the acquisition request for requesting transmission of the current data;
The relay according to claim 14, wherein, when the update process fails, the data transmission unit transmits the current data received from the providing device to the electronic control device and causes the electronic control device to restore the current data. apparatus.
前記応答受信部は、前記新データの送信を要求する前記取得要求に応じて、前記提供装置から前記差分データを受信し、
前記新データ生成部は、前記提供装置から受信した前記差分データと、前記現データ記憶部に記憶された前記現データとに基づき、前記新データを生成し
前記データ送信部は、前記新データ生成部が生成した前記新データを前記電子制御装置に送信して前記電子制御装置に記憶されている前記現データを前記新データに更新させる
請求項１３から１５の何れか１項に記載の中継装置。 Based on the difference data obtained by removing the current data from the new data, and the current data stored in the current data storage unit, further comprising a new data generation unit that generates the new data,
The response receiving unit receives the difference data from the providing device in response to the acquisition request for requesting transmission of the new data,
The new data generation unit generates the new data based on the difference data received from the providing device and the current data stored in the current data storage unit, and the data transmission unit generates the new data generation The relay device according to any one of claims 13 to 15, wherein the new data generated by a unit is transmitted to the electronic control device to update the current data stored in the electronic control device to the new data. .
前記応答受信部は、前記取得要求に応じて、前記新データへの更新を必要とする更新対象の少なくとも１つの前記電子制御装置のそれぞれについての前記新データを受信し、
前記データ送信部は、
前記提供装置から受信したそれぞれの前記新データを対応する前記電子制御装置に送信して、対応する前記電子制御装置に記憶されている前記現データを前記新データに更新させ、
何れかの前記電子制御装置において前記更新処理が失敗した場合、前記更新処理が失敗した前記電子制御装置および前記更新処理が成功したそれぞれの前記電子制御装置に、対応する前記現データを送信して、前記現データを復元させる
請求項１に記載の中継装置。 The request transmission unit includes a system identifier that identifies a set of a plurality of electronic control devices, and a system list version that represents a set of versions of the current data stored in each of the plurality of electronic control devices. Sending the acquisition request including version information to the providing device;
The response receiving unit receives the new data for each of the at least one electronic control device to be updated that needs to be updated to the new data in response to the acquisition request,
The data transmitter is
Transmitting each new data received from the providing device to the corresponding electronic control device, and updating the current data stored in the corresponding electronic control device to the new data;
When the update process fails in any of the electronic control devices, the corresponding current data is transmitted to the electronic control device in which the update process has failed and each of the electronic control devices in which the update process has succeeded. The relay apparatus according to claim 1, wherein the current data is restored.
前記要求送信部は、前記新データの送信を要求する前記取得要求を、前記提供装置に送信し、
前記応答受信部は、前記新データの送信を要求する前記取得要求に応じて、前記提供装置から前記新データを受信し、
前記データ送信部は、前記更新処理が失敗した場合、前記現データ記憶部に記憶されている前記現データを前記電子制御装置に送信して前記電子制御装置に前記現データを復元させる
請求項１に記載の中継装置。 When the update process is successful, the new data transmitted to the electronic control device further comprises a determination unit that writes the current data as a current data in a current data storage unit provided outside,
The request transmission unit transmits the acquisition request for requesting transmission of the new data to the providing device,
The response receiving unit receives the new data from the providing device in response to the acquisition request for requesting transmission of the new data,
The data transmission unit, when the update process fails, transmits the current data stored in the current data storage unit to the electronic control unit, and causes the electronic control unit to restore the current data. The relay device described in 1.
前記電子制御装置を識別する装置識別子と、前記現データを識別するデータ識別子と、前記現データのバージョンを特定可能なバージョン特定情報とを含む取得要求を、提供装置に送信し、
前記取得要求に応じて、前記提供装置から前記新データを受信し、
前記提供装置から受信した前記新データを前記電子制御装置に送信して前記電子制御装置に記憶されている前記現データを前記新データに更新させ、更新処理が失敗した場合、前記現データを前記電子制御装置に送信して前記電子制御装置に前記現データを復元させる
中継方法。 A relay method executed by a relay device for updating current data stored in an electronic control device to new data,
An acquisition request including a device identifier for identifying the electronic control device, a data identifier for identifying the current data, and version specifying information capable of specifying the version of the current data is transmitted to the providing device,
In response to the acquisition request, the new data is received from the providing device,
When the new data received from the providing device is transmitted to the electronic control device and the current data stored in the electronic control device is updated to the new data. A relay method for transmitting to an electronic control unit and causing the electronic control unit to restore the current data.
前記情報処理装置を、
前記電子制御装置を識別する装置識別子と、前記現データを識別するデータ識別子と、前記現データのバージョンを特定可能なバージョン特定情報とを含む取得要求を、提供装置に送信する要求送信部と、
前記取得要求に応じて、前記提供装置から前記新データを受信する応答受信部と、
前記提供装置から受信した前記新データを前記電子制御装置に送信して前記電子制御装置に記憶されている前記現データを前記新データに更新させ、更新処理が失敗した場合、前記現データを前記電子制御装置に送信して前記電子制御装置に前記現データを復元させるデータ送信部と、
して機能させるためのプログラム。 A program for causing an information processing device to function as a relay device for updating current data stored in an electronic control device to new data,
The information processing apparatus;
A request transmitting unit that transmits an acquisition request including a device identifier for identifying the electronic control device, a data identifier for identifying the current data, and version specifying information capable of specifying a version of the current data to a providing device;
In response to the acquisition request, a response receiving unit that receives the new data from the providing device;
When the new data received from the providing device is transmitted to the electronic control device and the current data stored in the electronic control device is updated to the new data. A data transmission unit for transmitting to the electronic control unit and causing the electronic control unit to restore the current data;
Program to make it function.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| US15/347,387 US10437680B2 (en) | 2015-11-13 | 2016-11-09 | Relay apparatus, relay method, and computer program product |
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2015223106 | 2015-11-13 | ||
| JP2015223106 | 2015-11-13 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2017097851A true JP2017097851A (en) | 2017-06-01 |
| JP6678548B2 JP6678548B2 (en) | 2020-04-08 |
Family
ID=58817046
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2016183123A Active JP6678548B2 (en) | 2015-11-13 | 2016-09-20 | Relay device, relay method and program |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP6678548B2 (en) |
Cited By (16)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2019017175A1 (en) * | 2017-07-19 | 2019-01-24 | 株式会社オートネットワーク技術研究所 | Transmission device, transmission method, and computer program |
| JP2019036251A (en) * | 2017-08-21 | 2019-03-07 | 株式会社東芝 | Update controller, software update system, and update control method |
| WO2019116896A1 (en) * | 2017-12-11 | 2019-06-20 | 株式会社オートネットワーク技術研究所 | On-vehicle update device, program, and program or data update method |
| JP2019174987A (en) * | 2018-03-27 | 2019-10-10 | 株式会社東芝 | Communication adapter and firmware update method |
| JP2020021142A (en) * | 2018-07-30 | 2020-02-06 | トヨタ自動車株式会社 | Program updating system, program updating server, and vehicle |
| JP2020027636A (en) * | 2018-08-10 | 2020-02-20 | 株式会社デンソー | Master device for vehicle, method for verifying update data, and program for verifying update data |
| JPWO2018230084A1 (en) * | 2017-06-13 | 2020-04-09 | 住友電気工業株式会社 | Update control device, control method, and computer program |
| JP2021060797A (en) * | 2019-10-07 | 2021-04-15 | トヨタ自動車株式会社 | Program update system, program transmitter, and program transmission method |
| CN112703706A (en) * | 2018-09-25 | 2021-04-23 | 株式会社自动网络技术研究所 | Relay device system and relay device |
| CN113168382A (en) * | 2018-11-28 | 2021-07-23 | 株式会社自动网络技术研究所 | Monitoring device, monitoring program, and monitoring method |
| JP2021524633A (en) * | 2018-05-23 | 2021-09-13 | ロベルト・ボッシュ・ゲゼルシャフト・ミト・ベシュレンクテル・ハフツングＲｏｂｅｒｔ Ｂｏｓｃｈ Ｇｍｂｈ | A method and control for exchanging an executable first program code for an executable second program code |
| CN113453959A (en) * | 2019-03-04 | 2021-09-28 | 株式会社自动网络技术研究所 | Vehicle-mounted updating device, update processing program, and program updating method |
| CN113632155A (en) * | 2019-03-29 | 2021-11-09 | 日立安斯泰莫株式会社 | Arithmetic device and determination method |
| JP2022031446A (en) * | 2018-08-10 | 2022-02-18 | 株式会社デンソー | Electronic control device, update data verification program and processing result transmission program |
| JP2022099197A (en) * | 2020-12-22 | 2022-07-04 | 本田技研工業株式会社 | Control system, mobile body, server, control method, update control method, and program |
| JP2022543670A (en) * | 2019-09-19 | 2022-10-13 | 株式会社デンソー | Vehicle control systems for cyber security and financial transactions |
Families Citing this family (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP7408593B2 (en) | 2021-03-23 | 2024-01-05 | 株式会社東芝 | Control devices, information processing devices, and information processing systems |
Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2004287993A (en) * | 2003-03-24 | 2004-10-14 | Fuji Xerox Co Ltd | Management method of system version, device, and information processing system |
| JP2008189125A (en) * | 2007-02-05 | 2008-08-21 | Nec Corp | Software updating system for on-vehicle equipment, software updating method for on-vehicle equipment and vehicle device |
| JP2010218070A (en) * | 2009-03-16 | 2010-09-30 | Toyota Motor Corp | Management device |
| JP2015103163A (en) * | 2013-11-27 | 2015-06-04 | 株式会社オートネットワーク技術研究所 | Program update system and program update method |
-
2016
- 2016-09-20 JP JP2016183123A patent/JP6678548B2/en active Active
Patent Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2004287993A (en) * | 2003-03-24 | 2004-10-14 | Fuji Xerox Co Ltd | Management method of system version, device, and information processing system |
| JP2008189125A (en) * | 2007-02-05 | 2008-08-21 | Nec Corp | Software updating system for on-vehicle equipment, software updating method for on-vehicle equipment and vehicle device |
| JP2010218070A (en) * | 2009-03-16 | 2010-09-30 | Toyota Motor Corp | Management device |
| JP2015103163A (en) * | 2013-11-27 | 2015-06-04 | 株式会社オートネットワーク技術研究所 | Program update system and program update method |
Non-Patent Citations (2)
| Title |
|---|
| 五味俊夫: "インターネットビジネスのセキュリティー", ＣＡＲＤＷＡＶＥ, vol. 第12巻，第5号, JPN6019027032, 10 April 1999 (1999-04-10), JP, pages 56 - 60, ISSN: 0004075343 * |
| 滝澤隆史: "即実践！ セキュリティ対策 第９回 パッケージ管理システムのセキュリティ", 日経ＬＩＮＵＸ, vol. 第12巻，第6号, JPN6019027030, 8 May 2010 (2010-05-08), JP, pages 157 - 162, ISSN: 0004075342 * |
Cited By (28)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP7207301B2 (en) | 2017-06-13 | 2023-01-18 | 住友電気工業株式会社 | Update controller, control method and computer program |
| US11537382B2 (en) | 2017-06-13 | 2022-12-27 | Sumitomo Electric Industries, Ltd. | Updating control device, control method, and computer program |
| JPWO2018230084A1 (en) * | 2017-06-13 | 2020-04-09 | 住友電気工業株式会社 | Update control device, control method, and computer program |
| WO2019017175A1 (en) * | 2017-07-19 | 2019-01-24 | 株式会社オートネットワーク技術研究所 | Transmission device, transmission method, and computer program |
| JP2019036251A (en) * | 2017-08-21 | 2019-03-07 | 株式会社東芝 | Update controller, software update system, and update control method |
| WO2019116896A1 (en) * | 2017-12-11 | 2019-06-20 | 株式会社オートネットワーク技術研究所 | On-vehicle update device, program, and program or data update method |
| JP2019105945A (en) * | 2017-12-11 | 2019-06-27 | 株式会社オートネットワーク技術研究所 | In-vehicle updating apparatus, program, and method of updating program or data |
| JP2019174987A (en) * | 2018-03-27 | 2019-10-10 | 株式会社東芝 | Communication adapter and firmware update method |
| JP2021524633A (en) * | 2018-05-23 | 2021-09-13 | ロベルト・ボッシュ・ゲゼルシャフト・ミト・ベシュレンクテル・ハフツングＲｏｂｅｒｔ Ｂｏｓｃｈ Ｇｍｂｈ | A method and control for exchanging an executable first program code for an executable second program code |
| US11429375B2 (en) | 2018-05-23 | 2022-08-30 | Robert Bosch Gmbh | Method for exchanging a first executable program code and a second executable program code, and a control unit |
| JP2020021142A (en) * | 2018-07-30 | 2020-02-06 | トヨタ自動車株式会社 | Program updating system, program updating server, and vehicle |
| US11625233B2 (en) | 2018-07-30 | 2023-04-11 | Toyota Jidosha Kabushiki Kaisha | Software update program for in-vehicle devices and associated server |
| JP7225596B2 (en) | 2018-07-30 | 2023-02-21 | トヨタ自動車株式会社 | Program update system, program update server and vehicle |
| JP7003976B2 (en) | 2018-08-10 | 2022-01-21 | 株式会社デンソー | Vehicle master device, update data verification method and update data verification program |
| JP2022031446A (en) * | 2018-08-10 | 2022-02-18 | 株式会社デンソー | Electronic control device, update data verification program and processing result transmission program |
| JP2020027636A (en) * | 2018-08-10 | 2020-02-20 | 株式会社デンソー | Master device for vehicle, method for verifying update data, and program for verifying update data |
| CN112703706A (en) * | 2018-09-25 | 2021-04-23 | 株式会社自动网络技术研究所 | Relay device system and relay device |
| CN113168382A (en) * | 2018-11-28 | 2021-07-23 | 株式会社自动网络技术研究所 | Monitoring device, monitoring program, and monitoring method |
| CN113453959A (en) * | 2019-03-04 | 2021-09-28 | 株式会社自动网络技术研究所 | Vehicle-mounted updating device, update processing program, and program updating method |
| CN113632155B (en) * | 2019-03-29 | 2024-04-12 | 日立安斯泰莫株式会社 | Arithmetic device and determination method |
| CN113632155A (en) * | 2019-03-29 | 2021-11-09 | 日立安斯泰莫株式会社 | Arithmetic device and determination method |
| JP2022543670A (en) * | 2019-09-19 | 2022-10-13 | 株式会社デンソー | Vehicle control systems for cyber security and financial transactions |
| JP2021060797A (en) * | 2019-10-07 | 2021-04-15 | トヨタ自動車株式会社 | Program update system, program transmitter, and program transmission method |
| US11714628B2 (en) | 2019-10-07 | 2023-08-01 | Toyota Jidosha Kabushiki Kaisha | Program update system, program transmission device, and program transmission method |
| JP7298427B2 (en) | 2019-10-07 | 2023-06-27 | トヨタ自動車株式会社 | Program update system and program update method |
| JP7204726B2 (en) | 2020-12-22 | 2023-01-16 | 本田技研工業株式会社 | Control system, mobile object, server, control method, update control method, and program |
| JP2022099197A (en) * | 2020-12-22 | 2022-07-04 | 本田技研工業株式会社 | Control system, mobile body, server, control method, update control method, and program |
| US11880671B2 (en) | 2020-12-22 | 2024-01-23 | Honda Motor Co., Ltd. | Control system, moving object, server, and control method for performing a program update of the moving object |
Also Published As
| Publication number | Publication date |
|---|---|
| JP6678548B2 (en) | 2020-04-08 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP6678548B2 (en) | Relay device, relay method and program | |
| US10437680B2 (en) | Relay apparatus, relay method, and computer program product | |
| US9864599B2 (en) | Firmware update method in two-chip solution for secure terminal | |
| US20190057214A1 (en) | Update control device, terminal, and method of controlling | |
| US9436456B2 (en) | System and method for management of software updates at a vehicle computing system | |
| JP6585019B2 (en) | Network monitoring device, network system and program | |
| JP2019036251A (en) | Update controller, software update system, and update control method | |
| JP7280412B2 (en) | GATEWAY DEVICE, IN-VEHICLE NETWORK SYSTEM AND FIRMWARE UPDATE METHOD | |
| JP6585072B2 (en) | Safe reading of data into non-volatile memory or secure elements | |
| JP6385842B2 (en) | Information processing terminal, information processing method, and information processing system | |
| WO2020179592A1 (en) | Vehicle-mounted updating device, update processing program, and program updating method | |
| JP2011108167A (en) | Computer system | |
| JP2009230399A (en) | Firmware update system and firmware update program | |
| AU2019201237A1 (en) | Updating software packets in water installation controlling apparatus | |
| JP2023505844A (en) | Package-based remote firmware update | |
| TW201523447A (en) | Server system and firmware update method | |
| KR102386614B1 (en) | IoT Device Firmware Update System, IoT Device Firmware Update Method, and IoT Device Booting Method | |
| JP2021511583A (en) | Methods and devices for remotely updating satellite devices | |
| US11496304B2 (en) | Information processing device, information processing method, and storage medium | |
| JP2007329731A (en) | Method, system, and program for certificate update | |
| JP2022187189A (en) | Ota master, center, system, method, program, and vehicle | |
| CN105243325A (en) | Method for residual process file in mobile terminal, mobile terminal and server | |
| CN111143832A (en) | Mobile terminal SDK (software development kit) suitable for multiple scenes and hybrid authorization method thereof | |
| JP2018194981A (en) | Communication system, mobile object, and control program rewriting method | |
| WO2021184712A1 (en) | Software upgrading method and device |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20180904 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20190621 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20190716 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20190912 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20200218 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20200317 |
|
| R151 | Written notification of patent or utility model registration |
Ref document number: 6678548 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R151 |