JP2022085863A - 電子制御装置、ソフトウェア更新方法、ソフトウェア更新プログラム、及び電子制御システム - Google Patents

Abstract

【課題】仮想マシンの更新ファイルの配信制御を行う仮想マシンは、特定の条件を満たす仮想マシンにのみ更新ファイルを配信することにより、仮想マシンのソフトウェアの更新に要する時間を短縮する。【解決手段】電子制御システム１において、電子制御装置ＥＣＵ１０は、ソフトウェアを更新するためのファイルを取得するファイル取得部１４１と、ファイルを保存する保存部（実ストレージ１３０、仮想ストレージ１４４）と、を備える。第１の仮想マシン１４０は、第１の仮想マシンに関する安全性を示す第１の安全度及び第１の仮想マシンに接続された他の仮想マシン１５０、１６０、２３０に関する安全性を示す第２の安全度に基づいて、ファイルを第２の仮想マシンに配信するかどうかを判定する判定部１４６と、判定部がファイルを第２の仮想マシンに配信すると判定した場合に、ファイルを第２の仮想マシンに配信する配信部１４７と、を有する。【選択図】図１

Description

本発明は、電子制御装置に関するものであり、主として車両用の電子制御装置、電子制御装置で実現する方法、電子制御装置で実行可能なプログラム、及び電子制御装置からなる電子制御システムに関する。

自動車においては、車載ネットワークで接続された様々な電子制御装置が搭載されている。近年の自動運転技術の発展に伴い自動車に求められる機能が複雑になりつつあり、自動車に搭載される電子制御装置の数は増加しつつある。そこで、複数の機能を１つの電子制御装置に統合することで電子制御装置全体の数を抑制することが可能な仮想化技術を適用することが提案されている。

例えば、特許文献１には、車載コンピュータにおいて、ハイパーバイザ（Hypervisor）等の仮想化オペレーティングシステムを利用して、複数の仮想ＥＣＵを構築することが開示されている。特許文献１に記載の技術によれば、ＥＣＵを介して車載コンピュータに接続された端末機器の動作に必要な物理リソースを車載コンピュータに集約させることで、物理リソースの効率的な利用が可能となる。

特開２０２０－１７３５６１号公報

ここで、本発明者は、以下の課題を見出した。
車両に搭載される電子制御装置には、走行や操舵といった車両の動作を制御するものが含まれるため、車両の安全性を確保するために常に最新のソフトウェアにアップデートすることが望ましい。ところが、仮想化技術によって電子制御装置の数を抑制しても、電子制御装置を仮想化してなる仮想マシンが多数存在する場合、これら全ての仮想マシンをアップデートするためには時間がかかるおそれがある。

そこで、本発明は、仮想マシンのソフトウェアの更新に要する時間を短縮することを目的とする。

本開示の一態様による電子制御装置は、ハイパーバイザによって管理される仮想マシンを有する電子制御装置であって、ソフトウェアを更新するためのファイルを取得するファイル取得部（１４１）と、前記ファイルを保存する保存部（１３０，１４４）と、を備え、前記仮想マシンである第１の仮想マシン（１４０）は、前記第１の仮想マシンに関する安全性を示す第１の安全度、及び前記第１の仮想マシンに接続された第２の仮想マシン（１５０，１６０，２３０）に関する安全性を示す第２の安全度に基づいて、前記ファイルを前記第２の仮想マシンに配信するかどうかを判定する判定部（１４６）と、前記判定部が前記ファイルを前記第２の仮想マシンに配信すると判定した場合に、前記ファイルを前記第２の仮想マシンに配信する配信部（１４７）と、を有する。

本開示の他の態様によるソフトウェア更新方法は、ハイパーバイザによって管理される仮想マシンを有する電子制御装置で実行されるソフトウェア更新方法であって、ソフトウェアを更新するためのファイルを取得し（Ｓ１０１）、前記ファイルを保存部（１３０，１４４）に保存し（Ｓ１０３）、前記仮想マシンである第１の仮想マシン（１４０）に関する安全性を示す第１の安全度、及び前記第１の仮想マシンに接続された第２の仮想マシン（１５０，１６０，２３０）に関する安全性を示す第２の安全度に基づいて、前記ファイルを前記第２の仮想マシンに配信するかどうかを判定し（Ｓ１０６）、前記ファイルを前記第２の仮想マシンに配信すると判定した場合に、前記ファイルを前記第２の仮想マシンに配信する（Ｓ１０９）。

本開示の他の態様によるソフトウェア更新プログラムは、ハイパーバイザによって管理される仮想マシンを有する電子制御装置で実行可能なソフトウェア更新プログラムであって、ソフトウェアを更新するためのファイルを取得し（Ｓ１０１）、前記ファイルを保存部（１３０，１４４）に保存し（Ｓ１０３）、前記仮想マシンである第１の仮想マシン（１４０）に関する安全性を示す第１の安全度、及び前記第１の仮想マシンに接続された第２の仮想マシン（１５０，１６０，２３０）に関する安全性を示す第２の安全度に基づいて、前記ファイルを前記第２の仮想マシンに配信するかどうかを判定し（Ｓ１０６）、前記ファイルを前記第２の仮想マシンに配信すると判定した場合に、前記ファイルを前記第２の仮想マシンに配信する（Ｓ１０９）。

本開示の他の態様による電子制御システムは、第１の電子制御装置（１０）と第２の電子制御装置（２０）とを有する電子制御システムであって、第１の仮想マシン（１４０）を有する前記第１の電子制御装置は、ソフトウェアを更新するためのファイルを取得するファイル取得部（１４１）と、前記ファイルを保存する保存部（１３０，１４４）と、を備え、前記第１の仮想マシンは、前記第１の仮想マシンに関する安全性を示す第１の安全度、及び前記第１の仮想マシンに接続された第２の仮想マシン（２３０）に関する安全性を示す第２の安全度に基づいて、前記ファイルを前記第２の仮想マシンに配信するかどうかを判定する判定部（１４６）と、前記判定部が前記ファイルを前記第２の仮想マシンに配信すると判定した場合に、前記ファイルを前記第２の仮想マシンに配信する配信部（１４７）と、を有し、前記第２の仮想マシンは、前記保存部にアクセスすることにより前記ファイルを用いて、又は前記配信部が配信する前記ファイルを用いて、前記第２の仮想マシンを更新する更新部（２３１）を有する。

なお、特許請求の範囲、及び本項に記載した発明の構成要件に付した括弧内の番号は、本発明と後述の実施形態との対応関係を示すものであり、本発明を限定する趣旨ではない。

本開示の電子制御装置、ソフトウェア更新方法、ソフトウェア更新プログラム、及び電子制御システムにより、仮想マシンのソフトウェアの更新に要する時間を短縮することが可能となる。

実施形態１、２の電子制御装置、及び当該電子制御装置を備える電子制御システムを説明する図 実施形態１の電子制御システム全体の動作を説明する図 実施形態１、２の配信制御部の動作を説明する図 実施形態１、２の更新部の動作を説明する図 実施形態２の実ストレージの保存領域を説明する図 実施形態２の第１の仮想マシンの判定部による判定方法を説明する図 実施形態２の電子制御システム全体の動作を説明する図 実施形態２の変形例の第１の仮想マシンの判定部による判定方法を説明する図 実施形態１、２の電子制御装置、及び当該電子制御装置を備える電子制御システムの変形例を説明する図 実施形態１、２の電子制御システムを適用するドメイン・アーキテクチャを説明する図

以下、本発明の実施形態について、図面を参照して説明する。

なお、本発明とは、特許請求の範囲又は課題を解決するための手段の項に記載された発明を意味するものであり、以下の実施形態に限定されるものではない。また、少なくともかぎ括弧内の語句は、特許請求の範囲又は課題を解決するための手段の項に記載された語句を意味し、同じく以下の実施形態に限定されるものではない。

特許請求の範囲の従属項に記載の構成及び方法は、特許請求の範囲の独立項に記載の発明において任意の構成及び方法である。従属項に記載の構成及び方法に対応する実施形態の構成及び方法、並びに特許請求の範囲に記載がなく実施形態のみに記載の構成及び方法は、本発明において任意の構成及び方法である。特許請求の範囲の記載が実施形態の記載よりも広い場合における実施形態に記載の構成及び方法も、本発明の構成及び方法の例示であるという意味で、本発明において任意の構成及び方法である。いずれの場合も、特許請求の範囲の独立項に記載することで、本発明の必須の構成及び方法となる。

実施形態に記載した効果は、本発明の例示としての実施形態の構成を有する場合の効果であり、必ずしも本発明が有する効果ではない。

複数の実施形態がある場合、各実施形態に開示の構成は各実施形態のみで閉じるものではなく、実施形態をまたいで組み合わせることが可能である。例えば一の実施形態に開示の構成を、他の実施形態に組み合わせても良い。また、複数の実施形態それぞれに開示の構成を集めて組み合わせても良い。

発明が解決しようとする課題に記載した課題は公知の課題ではなく、本発明者が独自に知見したものであり、本発明の構成及び方法と共に発明の進歩性を肯定する事実である。

１．各実施形態に共通する構成
図１を用いて、各実施形態の電子制御装置、及び当該電子制御装置を備える電子制御システムを説明する。各実施形態の電子制御装置及び電子制御システムは、「移動体」である車両に「搭載」される車載装置及び車載システムを想定しているが、これらに限定されるものではない。

ここで、「移動体」とは、移動可能な物体をいい、移動速度は任意である。また移動体が停止している場合も当然含む。例えば、自動車、自動二輪車、自転車、歩行者、船舶、航空機、及びこれらに搭載される物を含み、またこれらに限らない。
また、「搭載」される、とは、移動体に直接固定されている場合の他、移動体に固定されていないが移動体と共に移動する場合も含む。例えば、移動体に乗った人が所持している場合、移動体に載置された積荷に搭載されている場合、が挙げられる。

電子制御システム１は、複数の「電子制御装置」（以下、ＥＣＵ：Electronic Control Unit）から構成されるシステムである。図１は、２つのＥＣＵ（ＥＣＵ１０、ＥＣＵ２０）を備える電子制御システム１を示しているが、任意の数のＥＣＵから構成される。ＥＣＵ１０及びＥＣＵ２０は、例えば、ＣＡＮ（Controller Area Network）やＬＩＮ（Local Interconnect Network）といった車載ネットワーク、イーサネット（登録商標）、無線通信ネットワークを介して接続されている。

ここで、「電子制御装置」は、例えば、主に半導体装置で構成され、ＣＰＵ（Central Processing Unit）、およびＲＡＭ（Random Access Memory）等の揮発性記憶部を有する、いわゆる情報処理装置として構成されていてもよい。この場合、情報処理装置はさらに、フラッシュメモリ等の不揮発性記憶部、通信ネットワーク等に接続されるネットワークインターフェース部等を有していてもよい。さらに、このような情報処理装置はパッケージ化された半導体装置（素子）であっても、配線基板において各半導体装置が配線接続された構成であってもよい。

ＥＣＵ１０は例えば、ＡＵＴＯＳＡＲ（AUTomotive Open System ARchitecture）においてAdaptive Platform（以下、ＡＰ）と呼ばれる、動的な機能の拡張が可能なプラットフォームをベースとしたＥＣＵである。ＡＰは主に、自動運転用のＥＣＵに適したプラットフォームである。また、ＥＣＵ２０は例えば、ＡＵＴＯＳＡＲにおいてClassic Platform（以下、ＣＰ）と呼ばれる、静的な機能を最適化したプラットフォームをベースとしたＥＣＵである。ＣＰは主に、車両制御用のＥＣＵに適したプラットフォームである。

電子制御システム１を構成するＥＣＵ１０、ＥＣＵ２０はいずれも、ハイパーバイザによって管理される１以上の仮想マシンを有する。以下に、ＥＣＵ１０、ＥＣＵ２０、及び各ＥＣＵに搭載される仮想マシンの構成を説明する。図においては、仮想マシンをＶＭ（Virtual Machine）と略する。

（１）ＥＣＵ１０について
ＥＣＵ１０は、ハイパーバイザ（ＨＶ）１１０及びハイパーバイザ１２０、これらのハイパーバイザによって管理される複数の仮想マシン（１４０、１５０、１６０）、並びにハードウェアである実ストレージ１３０を備える。

ハイパーバイザ１１０及びハイパーバイザ１２０は、ＥＣＵ１０を仮想化するソフトウェアである。図１の例では、第１の仮想マシン１４０及び第２の仮想マシン１５０はハイパーバイザ１１０上に構築され、第３の仮想マシン１６０はハイパーバイザ１２０上に構築される。ハイパーバイザ上に構築された仮想マシン同士はそれぞれ仮想的に「接続」されている。

ここで、仮想マシンに「接続」とは、仮想マシン同士でデータのやり取りが可能な状態をいい、同一のハードウェア上で実現された仮想マシン同士が仮想的に接続されている場合の他、異なるハードウェア上で実現された仮想マシン同士がネットワーク等を介して接続されている場合も含む。また、データのやり取りが可能な状態とは、必ずしも実際にデータのやり取りが可能である必要はない。例えば、一方の仮想マシンが何らかのトラブルで一時的に停止していたり、スリープ状態にある場合であってもデータのやり取りが可能な状態である。

実ストレージ（「保存部」に相当）１３０は、ハードウェアのメモリであり、ＳＲＡＭやＤＲＡＭといった揮発性メモリ、ＲＯＭ、フラッシュメモリ、又はハードディスク等の不揮発性メモリである。後述する第１の仮想マシン１４０乃至第３の仮想マシン１６０の仮想ストレージは、実ストレージ１３０の保存領域を仮想化して実現される。実ストレージ１３０は、ＥＣＵ１０のハイパーバイザが管理する保存領域である。図１では、一の実ストレージ１３０を示しているが、実ストレージ１３０は複数のストレージによって実現するものであってもよい。

実ストレージ１３０は、後述するファイル分割部１４５で分割処理された更新ファイルを保存する。更新ファイルが保存される実ストレージ１３０の領域は、複数の仮想マシンで共有される共有保存領域であってもよく、あるいは、実ストレージ１３０の保存領域を仮想化して実現される仮想ストレージの領域であってもよい。ただし、共有保存領域は複数の仮想マシンで共有されるため、セキュリティ性が低くなるおそれがある。そのため、共有保存領域に更新ファイルを保存する場合、各仮想マシンは、共有保存領域に保存された更新ファイルを用いて仮想マシンのソフトウェアを更新する場合に限り、共有保存領域にアクセス可能となることが望ましい。つまり、共有保存領域に保存された更新ファイルを用いて更新しない場合には、仮想マシンから当該共有保存領域へのアクセスは制限される。

（ｉ）第１の仮想マシン１４０について

ハイパーバイザ１１０によって管理される第１の仮想マシン１４０は、ファイル取得部１４１、配信制御部１４２、更新部１４３、及び仮想ストレージ１４４を有する。

ファイル取得部１４１は、車両制御システム１の外部に設けられたサーバ装置からＯＴＡ（Over The Air）又は有線通信を用いてファイルを取得する。ファイル取得部１４１が取得するファイルは、仮想マシンのソフトウェアを更新するための更新ファイルを含み、例えば、複数の仮想マシンを更新するための複数の更新ファイルを含む更新ファイル群であってもよい。ファイルはさらに、ソフトウェアを更新すべき対象の仮想マシンを特定する情報を含んでもよい。ファイル取得部１４１は、取得した更新ファイル群を配信制御部１４２に転送する。ファイル取得部１４１は、ＯＴＡクライアントとも称される。仮想マシンのソフトウェアを更新するための更新ファイルとは、仮想マシンを実現するソフトウェアを更新するものはもちろん、仮想マシン上に搭載されたアプリケーションやソフトウェアを更新するものであってもよい。

配信制御部１４２は、ファイル取得部１４１から転送されたファイルを更新対象の仮想マシンに配信するために必要な一連の処理を行う。配信制御部１４２は、ファイル分割部１４５、判定部１４６、配信部１４７、更新指示部１４８を実現する。配信制御部１４２は例えば、ＡＵＴＯＳＡＲにおいてＵＣＭ（Update and Configuration Management）マスタと称される機能の一部又は全部を実行するものである。

ファイル分割部１４５は、ファイル取得部１４１から転送された更新ファイル群を、各仮想マシンそれぞれの更新ファイルに分割するパース処理を行う。パース処理した更新ファイルは、実ストレージ１３０に保存する。

判定部１４６は、第１の仮想マシン１４０に接続された複数の仮想マシンのうち、更新対象の仮想マシンを判定する。更新対象の仮想マシンであるかどうかは、ファイル取得部１４１が取得したファイルに含まれる、更新対象の仮想マシンを特定する情報に基づいて判定することができる。以下の実施形態では、図１に示す全ての仮想マシンが更新対象の仮想マシンである場合を説明する。

判定部１４６はさらに、更新ファイルを更新対象の仮想マシンに配信するかどうかを判定する。判定部１４６が更新ファイルを更新対象の仮想マシンに配信するかどうかを判定する方法は、実施形態１、２で後述する。

更新対象の仮想マシン、及び更新ファイルを配信するかどうかの判定に際し、判定部１４６は、各仮想マシンに対し、仮想マシンに関する情報を問い合わせる検索処理を行ってもよい。例えば、判定部１４６は、仮想マシンを管理するハイパーバイザ、仮想マシンが搭載されたＥＣＵ、又はＥＣＵの機能や構成に関する情報を問い合わせる検索信号を、第１の仮想マシン１４０に接続された仮想マシンに送信する。

判定部１４６は、全ての更新対象の仮想マシンにおいてソフトウェアの更新が完了した場合、ファイル取得部１４１に更新が完了したことを通知する。

配信部１４７は、判定部１４６が更新ファイルを配信すると判定した場合、ファイル分割部１４５で分割した更新ファイルを、通信ネットワークを介して送ることにより仮想マシンに配信する。配信部１４７は、判定部１４６からの配信指示を受けて、更新ファイルを仮想マシンに配信してもよい。なお、本開示において更新ファイルを「配信」するとは、通信ネットワークを介して更新ファイルを送信することの他、更新ファイルの保存領域を特定の仮想マシンがアクセス可能な領域に移動させることも含む。

更新指示部１４８は、更新対象の各仮想マシンに対して仮想マシンのソフトウェアの更新を指示する。判定部１４６が更新ファイルを配信すると判定した仮想マシンに対しては、更新指示部１４８は、配信部１４７が配信する更新ファイルを用いて仮想マシンのソフトウェアを更新することを指示する。判定部１４６が更新ファイルを配信しないと判定した仮想マシンに対しては、更新指示部１４８は、実ストレージ１３０にアクセスすることにより、実ストレージ１３０に保存されている更新ファイルを用いて仮想マシンのソフトウェアを更新することを指示する。

更新指示部１４８の更新指示は、更新ファイルの保存先を示すアドレスを示すものであってもよい。例えば、更新指示が、更新ファイルの保存先のアドレスを示すことにより、当該更新ファイルを用いて仮想マシンのソフトウェアを更新することを間接的に指示することができる。また、更新指示が、更新ファイルを保存した実ストレージ１３０のアドレスを示すことにより、実ストレージ１３０にアクセスすることにより実ストレージ１３０に保存されている更新ファイルを用いて仮想マシンのソフトウェアを更新することを間接的に指示することができる。更新指示はさらに、仮想マシンに更新ファイルを配信するかどうかを示す情報を含んでもよい。

更新部１４３は、更新指示部１４８からの指示に基づいて、第１の仮想マシン１４０のソフトウェアを更新する。更新部１４３は、第１の仮想マシン１４０のソフトウェアの更新処理が完了すると、配信制御部１４２に更新が完了したことを通知する。更新部１４３及び後述する他の仮想マシンの更新部１５１、１６１、２３１は例えば、ＡＵＴＯＳＡＲにおいてＵＣＭサブオーディネイト（UCM subordinate）と称される機能の一部又は全部を実行するものである。

仮想ストレージ１４４は、実ストレージ１３０の保存領域を仮想化することで、第１の仮想マシン１４０に仮想的に設けられた保存領域である。そのため、仮想ストレージ１４４に保存されたファイルは、実ストレージ１３０に保存されたファイルであるとも観念される。以下に説明する第２の仮想マシン１５０の仮想ストレージ１５２、第３の仮想マシン１６０の仮想ストレージ１６２についても同様である。

（ｉｉ）第２の仮想マシン１５０、第３の仮想マシン１６０について
第２の仮想マシン１５０は、第１の仮想マシン１４０と同様、ハイパーバイザ１１０によって管理される仮想マシンである。第２の仮想マシン１５０は、更新部１５１、仮想ストレージ１５２を有する。

第３の仮想マシン１６０は、第１の仮想マシン１４０及び第２仮想マシン１５０とは異なり、ハイパーバイザ１２０によって管理される仮想マシンである。第３の仮想マシン１６０は、更新部１６１、仮想ストレージ１６２を有する。

更新部１５１及び更新部１６１は、第１の仮想マシン１４０の更新指示部１４８からの更新指示に基づいて、それぞれの仮想マシンのソフトウェアの更新を行う。更新部１５１及び更新部１６１は、ソフトウェアの更新処理が完了すると、第１の仮想マシン１４０の配信制御部１４２に更新が完了したことを通知する。

仮想ストレージ１５２及び仮想ストレージ１６２は、第２の仮想マシン１５０及び第３の仮想マシン１６０にそれぞれ仮想的に設けられた保存領域である。第１の仮想マシン１４０の配信部１４７から更新ファイルが配信された場合、更新ファイルはそれぞれの仮想ストレージ１５２、１６２に保存される。

上述したとおり、第２の仮想マシン１５０及び第３の仮想マシン１６０は、第１の仮想マシン１４０と仮想的に接続されており、これらの仮想マシン間ではデータのやり取りが可能である。

（２）ＥＣＵ２０について
ＥＣＵ２０は、ハイパーバイザ２１０、ハードウェアである実ストレージ２２０、及びハイパーバイザ２１０によって管理される第４の仮想マシン２３０を備える。

ＥＣＵ１０とＥＣＵ２０とは車載ネットワークで接続されており、ＥＣＵ１０が有する第１の仮想マシン１４０と、ＥＣＵ２０が有する第４の仮想マシン２３０とは、車載ネットワークを介して仮想的に接続されている。

ハイパーバイザ２１０は、ＥＣＵ２０を仮想化するソフトウェアである。第４の仮想マシン２３０はハイパーバイザ２１０上に構築される。

実ストレージ２２０は、ＥＣＵ１０の実ストレージ１３０と同様、ハードウェアのメモリであり、ＳＲＡＭやＤＲＡＭといった揮発性メモリ、ＲＯＭ、フラッシュメモリ、又はハードディスク等の不揮発性メモリである。

ＥＣＵ２０が有する第４の仮想マシン２３０は、上述した第２の仮想マシン１５０及び第３の仮想マシン１６０と同様、更新部２３１及び仮想ストレージ２３２を有する。

更新部２３１は、第１の仮想マシン１４０の更新指示部１４８からの更新指示に基づいて第４の仮想マシン２３０のソフトウェアの更新を行い、ソフトウェアの更新処理が完了すると第１の仮想マシン１４０の配信制御部１４２に更新が完了したことを通知する。

仮想ストレージ２３２は、実ストレージ２２０に仮想的に設けられた保存領域である。配信部１４７から更新ファイルが配信された場合、更新ファイルを仮想ストレージ２３２に保存してもよい。

（３）小括
以上、実施形態１、２に共通する電子制御装置、及び電子システムの構成を説明した。
なお、図１は、ＥＣＵ１０が２つのハイパーバイザ（１１０、１２０）を有し、ＥＣＵ２０が１つのハイパーバイザ（２１０）を有する例を示しているが、ハイパーバイザの数は一例にすぎず、これらに限定されるものではない。つまり、ＥＣＵ１０が１つのハイパーバイザのみを有し、ＥＣＵ２０が２以上のハイパーバイザを有する構成としてもよい。また、ハイパーバイザ上に構築される仮想マシンの数についても任意である。

また、第１の仮想マシン１４０のみが、ファイル取得部及び配信制御部の機能を有する構成を説明したが、他の仮想マシンも第１の仮想マシン１０と同様、これらの機能を有してもよい。

２．実施形態１
本実施形態では、更新対象の仮想マシンのハイパーバイザが所定の条件を満たすかどうかに応じて、更新ファイルを更新対象の仮想マシンに配信するかどうかを判定する構成を説明する。

（１）第１の仮想マシン１４０の構成
本実施形態の判定部１４６は、配信制御部１４２を有する第１の仮想マシン１４０（「第１の仮想マシン」に相当）を管理するハイパーバイザ（「第１のハイパーバイザ」に相当）１１０と、更新対象の仮想マシン（「第２の仮想マシン」に相当）を管理するハイパーバイザ（「第２のハイパーバイザ」に相当）とが「同じ」かどうかを判定する。ハイパーバイザが同じであると判定した場合、判定部１４６は更新ファイルを更新対象の仮想マシンに配信しないと判定する。一方、ハイパーバイザが異なると判定した場合、判定部１４６は更新ファイルを更新対象の仮想マシンに配信すると判定する。

ここで、「同じ」とは、ハイパーバイザが共通である場合の他、ハイパーバイザが別であっても機能や作用が同じ場合を含む。

判定部１４６は、各仮想マシンの更新部に送信した検索信号に対する、各仮想マシンからの応答信号に基づいて、ハイパーバイザ１１０と更新対象の仮想マシンを管理するハイパーバイザとが同じかどうかを判定する。したがって、本実施形態の応答信号には、各仮想マシンを管理するハイパーバイザを特定することが可能な情報、例えば、ハイパーバイザの識別ＩＤが含まれる。

なお、判定部１４６は、第１の仮想マシン１４０の更新部１４３に対しても、他の仮想マシンの更新部と同様に検索信号を送信してもよい。この場合、判定部１４６は当然のことながら、更新部１４３からの応答信号に基づいて、ハイパーバイザ１１０と、更新対象の仮想マシンである第１の仮想マシン１４０を管理するハイパーバイザとが同じであると判定する。

図１の例では、第１の仮想マシン１４０を管理するハイパーバイザと、第２の仮想マシン１５０を管理するハイパーバイザはいずれもハイパーバイザ１１０であって、同じである。そこで、判定部１４６は、第２の仮想マシン１５０には更新ファイルを配信しないと判定する。

第１の仮想マシン１４０を管理するハイパーバイザ１１０と、第３の仮想マシン１６０を管理するハイパーバイザ１２０とは異なるハイパーバイザである。そこで、判定部１４６は、第３の仮想マシン１６０に更新ファイルを配信すると判定する。

同様に、第１の仮想マシン１４０を管理するハイパーバイザ１１０と、第４の仮想マシン２３０を管理するハイパーバイザ２１０とは異なるハイパーバイザである。そこで、判定部１４６は、第４の仮想マシン２３０に更新ファイルを配信すると判定する。

以下の実施形態では、判定部１４６が、応答信号に基づいて、ハイパーバイザ１１０と、更新対象の仮想マシンを管理するハイパーバイザとが同じかどうかを判定する構成を説明している。しかしながら、判定部１４６は、応答信号によらずにハイパーバイザを判定してもよい。例えば、車載システムにおいて、各仮想マシンがいずれのハイパーバイザによって管理されるものであるか予め把握される場合、ファイル取得部１４１や配信制御部１４２が、仮想マシン及び各仮想マシンを管理するハイパーバイザの情報を予め有していることが想定される。このような場合は、判定部１４６は応答信号を利用せず、ファイル取得部１４１からの指示、又は配信制御部１４２が有する情報に基づいて、ハイパーバイザ１１０と、更新対象の仮想マシンを管理するハイパーバイザとが同じかどうかを判定してもよい。

なお、本実施形態では、ＥＣＵ１０の２つのハイパーバイザ（１１０、１２０）が異なるハイパーバイザである場合を例に挙げて説明している。しかしながら、ハイパーバイザ１１０、１２０が１つのホストＯＳ上に設けられている場合には、判定部１４６はハイパーバイザ１１０、１２０が同じであると判定してもよい。複数のハイパーバイザが１つのホストＯＳ上に設けられている場合、それぞれのハイパーバイザ上に構築されるゲストＯＳは実ストレージ１３０内の同じ領域にアクセスすることができる。この場合、ハイパーバイザ１１０、１２０は、同じ領域にアクセス可能なゲストＯＳを構築しているという点で機能や作用が同じである。このように、ハイパーバイザ１１０、１２０の機能や作用が同じである場合には、判定部１４６は、２つのハイパーバイザが「同じ」であると判定してもよい。

配信部１４７は、ハイパーバイザ１１０と更新対象の仮想マシンを管理するハイパーバイザとが異なり、判定部１４６が更新ファイルを配信すると判定した仮想マシンにのみ更新ファイルを配信する。したがって、本実施形態の配信部１４７は、更新ファイルを第３の仮想マシン１６０及び第４の仮想マシン２３０に配信する。

更新指示部１４８は、更新対象の仮想マシンの更新部に対して、仮想マシンのソフトウェアの更新を指示する。更新指示部１４８は、第１の仮想マシン１４０の更新部１４３及び第２の仮想マシン１５０の更新部１５１に対して、実ストレージ１３０にアクセスすることにより、実ストレージ１３０に保存された更新ファイルを用いて第２の仮想マシン１５０のソフトウェアを更新することを指示する。
また、更新指示部１４８は、第３の仮想マシン１６０の更新部１６１及び第４の仮想マシン２３０の更新部２３１に対して、配信部１４７が配信する更新ファイルを用いて、それぞれの仮想マシンのソフトウェアを更新することを指示する。

（２）第２の仮想マシン１５０の構成
第２の仮想マシン１５０の更新部１５１は、更新指示部１４８から更新指示を受信すると、実ストレージ１３０にアクセスすることにより、実ストレージ１３０に保存された更新ファイルを参照し、当該更新ファイルを用いて第２の仮想マシン１５０のソフトウェアを更新する。

（３）第３の仮想マシン１６０の構成
第３の仮想マシン１６０の仮想ストレージ１６２は、配信部１４７から配信された更新ファイルを保存する。
第３の仮想マシン１６０の更新部１６１は、更新指示部１４８から更新指示を受信すると、仮想ストレージ１６２に保存された更新ファイルを用いて、第３の仮想マシン１６０のソフトウェアを更新する。

（４）第４の仮想マシン２３０の構成
第４の仮想マシン２３０の実ストレージ２２０又は仮想ストレージ２３２は、配信部１４７から配信された更新ファイルを保存する。更新ファイルの保存先は、実ストレージ２２０及び仮想ストレージ２３２のいずれであってもよい。
第４の仮想マシン２３０の更新部２３１は、更新指示部１４８から更新指示を受信すると、実ストレージ２２０又は仮想ストレージ２３２に保存された更新ファイルを用いて、第４の仮想マシン２３０のソフトウェアを更新する。

（５）電子制御システム１の動作
次に、図２～４を用いて仮想マシンのソフトウェアの更新に関する動作を説明する。図２は電子制御システム１全体の動作を示す図である。図３は、第１の仮想マシン１４０の配信制御部１４２の動作を、図４は各仮想マシンが有する更新部の動作をそれぞれ示している。図２に示す符号と、図３、図４に示す符号はそれぞれ対応しており、同じ符号は同じ処理を示している。

なお、図３、図４に示す配信制御部１４２及び更新部の動作とは、各電子制御装置（ＥＣＵ１０、ＥＣＵ２０）の動作であるとも観念される。また、各電子制御装置の動作は、電子制御装置で実行されるソフトウェア更新方法を示すだけでなく、電子制御装置で実行可能なソフトウェア更新プログラムの処理手順を示すものである。そして、これらの処理は、図２～図４で示した順序には限定されない。すなわち、あるステップでその前段のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。実施形態２の図７についても同様である。

まず、図２、図３を用いて、主に配信制御部１４２の動作を説明する。
配信制御部１４２は、ファイル取得部１４１から転送された更新ファイル群を受信する（図２、図３：Ｓ１０１）。この更新ファイル群は仮想マシンのソフトウェアを更新するためのファイルであり、ファイル取得部１４１が電子制御システム１の外部のサーバ装置から取得したファイルである。
配信制御部１４２のファイル分割部１４５は、Ｓ１０１で受信した更新ファイル群を、各仮想マシンの更新ファイルに分割するパース処理を行う（図２、図３：Ｓ１０２）。
ファイル分割部１４５は、Ｓ１０２で分割した更新ファイルを実ストレージ１３０に保存する（図２、図３：Ｓ１０３）。
配信制御部１４２の判定部１４６は、更新対象の仮想マシンに更新ファイルを配信するかどうかを判定するために、仮想マシンに関する情報を問い合わせる内容の検索信号を各仮想マシンに送信する（図２、図３：Ｓ１０４）。

判定部１４６は、第１乃至第４の仮想マシンの更新部（１４３、１５１、１６１、２３１）から送信された応答信号を受信する（図２、図３：Ｓ１０５）。

判定部１４６は、Ｓ１０５で受信した応答信号に基づいて、更新対象の仮想マシンに更新ファイルを配信するかどうかを判定する（図２、図３：Ｓ１０６）。上述したとおり、本実施形態の判定部１４６は、第１の仮想マシン１４０を管理するハイパーバイザ１１０と、更新対象の仮想マシンを管理するハイパーバイザとが同じ場合は更新ファイルを配信せず、ハイパーバイザが異なる場合は更新ファイルを配信すると判定する。

ここで、Ｓ１０６において更新ファイルを配信しないと判定した場合、配信制御部１４２の更新指示部１４８は、実ストレージ１３０にアクセスすることにより仮想マシンのソフトウェアを更新することを指示する更新指示を送信する（図２、図３：Ｓ１０７）。
一方、Ｓ１０６において更新ファイルを配信すると判定した場合、配信制御部１４２の更新指示部１４８は、配信部１４７が配信する更新ファイルを用いて仮想マシンのソフトウェアを更新することを指示する更新指示を送信する（図２、図３：Ｓ１０８）。
配信制御部１４２の配信部１４７は、Ｓ１０６において更新ファイルを配信すると判定した仮想マシン、すなわち、第１のハイパーバイザと、更新対象の仮想マシンを管理するハイパーバイザとが同じであると判定した仮想マシンに更新ファイルを配信する（図２、図３：Ｓ１０９）。本実施形態の配信部１４７は、第３の仮想マシン１６０及び第４の仮想マシン２３０に更新ファイルを配信する。

各仮想マシンの更新部は、更新処理を行う（Ｓ１１０）。更新部における更新処理については、後述する。

配信制御部１４２は、Ｓ１１０の更新処理が完了した各仮想マシンの更新部から、更新処理が完了したことを示す更新完了通知を受信する（図２、図３：Ｓ１１１）。

配信制御部１４２は、各仮想マシンの更新部から更新処理が完了したことを示す通知を受信すると、ファイル取得部１４１に各仮想マシンの更新処理が完了したことを通知する（図２、図３：Ｓ１１２）。

次に、図２、図４を用いて、主に各仮想マシンの更新部の動作を説明する。
第１乃至第４の仮想マシンの更新部（１４３、１５１、１６１、２３１）は、Ｓ１０４で判定部１４６から送信された検索信号を受信する（Ｓ２０１）。
各更新部は、検索信号の問い合わせに対する応答信号を、判定部１４６に送信する（Ｓ２０２）。

次に、更新部は、Ｓ１０７及びＳ１０８で更新指示部１４８から送信された更新指示を受信する（Ｓ２０３）。ここで、Ｓ２０３で受信した更新指示が、実ストレージにアクセスすることによる更新指示の場合（Ｓ２０４：Ｙｅｓ）、すなわち、Ｓ１０７で更新指示部１４８から送信された更新指示の場合、実ストレージ１３０に保存された更新ファイルを用いて仮想マシンの更新を行う（Ｓ１１０）。本実施形態の例では、第１の仮想マシン１４０の更新部１４３、及び第２の仮想マシン１５０の更新部１５１は、Ｓ１０７の更新指示を受信する。したがって、更新部１４３及び更新部１５１は、実ストレージ１３０にアクセスすることにより、実ストレージ１３０に保存された更新ファイルを用いて、それぞれ第１の仮想マシン１４０及び第２の仮想マシン１５０の更新を行う（Ｓ１１０）。

これに対し、Ｓ２０３で受信した更新指示が、実ストレージにアクセスすることによる更新指示ではない場合（Ｓ２０４：Ｎｏ）、すなわち、Ｓ１０８で更新指示部１４８から送信された更新指示の場合、更新部はＳ１０９で配信された更新ファイルを受信する（Ｓ２０５）。本実施形態の例では、第３の仮想マシン１６０の更新部１６１、及び第４の仮想マシン２３０の更新部２３１は、Ｓ１０８の更新指示を受信し、さらに、Ｓ１０９で配信された更新ファイルを受信する（Ｓ２０５）。そして、更新部１６１及び更新部２３１は、Ｓ２０５で受信した更新ファイルを用いて、仮想マシンのソフトウェアの更新を行う（Ｓ１１０）。

各仮想マシンの更新部は、Ｓ１１０の更新処理が完了すると、配信制御部１４２に対して、更新処理が完了したことを示す更新完了通知を送信する（Ｓ２０６）。

（６）小括
以上の構成によれば、仮想マシンのソフトウェアを更新するための更新ファイルの配信制御を行う仮想マシンは、当該仮想マシンを管理するハイパーバイザとは異なるハイパーバイザによって管理される仮想マシンにのみ更新ファイルを配信し、同じハイパーバイザによって管理される仮想マシンには更新ファイルを配信しない。これにより、一部の仮想マシンに対する更新ファイルの配信処理を省略することができるため、配信処理にかかる負荷を低減することができるとともに、仮想マシンのソフトウェアを更新するのに要する時間を短縮することが可能となる。
さらに、一部の仮想マシンに対する更新ファイルの配信処理を省略することにより、ＥＣＵ間での通信量を抑制することができるため、通信線の負荷や混雑を低減することが可能となる。

（７）実施形態１の変形例１
図１では、ＥＣＵ１０が２つのハイパーバイザ（ハイパーバイザ１１０、ハイパーバイザ１２０）を有する構成を説明した。例えばデュアルプロセッサのように、ＥＣＵが複数のマイクロプロセッサを搭載している場合には、一のＥＣＵが複数のハイパーバイザを備える構成が想定される。

しかしながら、電子制御システム１を構成する各ＥＣＵがいずれもシングルプロセッサであり、全てのＥＣＵが一のハイパーバイザのみを備えていることがある。このような場合、電子制御システム１を構成する各ＥＣＵが複数のハイパーバイザを備える構成は想定されない。そこで、判定部１４６は、配信制御部１４２を有する仮想マシンを有するＥＣＵと、更新対象の仮想マシンを有するＥＣＵが同じかどうかを判定することによって、第１の仮想マシン１４０を管理するハイパーバイザ１１０と、各仮想マシンを管理するハイパーバイザとが同じであるかどうかを判定してもよい。

例えば、判定部１４６は、仮想マシンが搭載されたＥＣＵのデバイスＩＤを問い合わせる検索信号を各仮想マシンに送信する。そして、判定部１４６が、各仮想マシンからの応答信号に基づいて、第１の仮想マシン１４０を有するＥＣＵ１０と、更新対象の仮想マシンを有するＥＣＵとが同じであるかどうかを判定する。ここで、判定部１４６が、同じＥＣＵであると判定した場合、第１の仮想マシン１４０を管理するハイパーバイザ１１０と、更新対象のハイパーバイザとが同じであると判定する。

本変形例によれば、ＥＣＵを判定することによって、更新ファイルの配信制御を行う仮想マシンを管理するハイパーバイザと、更新対象の仮想マシンを管理するハイパーバイザとが同一であるかどうかを判定することができ、更新対象の仮想マシンに更新ファイルを配信するかどうかの判定が容易となる。

（８）実施形態１の変形例２
上述した実施形態では、ＥＣＵ１０が備えるハイパーバイザ１１０と、ＥＣＵ２０が備えるハイパーバイザ２１０とは異なることを前提として説明した。しかしながら、共通のハイパーバイザが、ＥＣＵを跨って仮想マシンを管理する構成であってもよい。

本変形例２では、ＥＣＵ１０が備えるハイパーバイザ１１０と、ＥＣＵ２０が備えるハイパーバイザ２１０は同じハイパーバイザであり、第１の仮想マシン１４０と第４の仮想マシン２３０は同じハイパーバイザによって管理される。第１の仮想マシン１４０を管理するハイパーバイザ１１０と、第４の仮想マシン２３０を管理するハイパーバイザ２１０とが同じであるため、本変形例２の判定部１４６は、第４の仮想マシン２３０には更新ファイルを配信しないと判定する。

第４の仮想マシン２３０には更新ファイルが配信されないため、第４の仮想マシン２３０の更新部２３１は、ＥＣＵ１０が備える実ストレージ１３０にアクセスすることにより、実ストレージ１３０に保存された更新ファイルを用いて第４の仮想マシン２３０のソフトウェアを更新する。

３．実施形態２
本実施形態では、更新ファイルの配信制御を行う仮想マシンに関する安全性を示す安全度と更新対象の仮想マシンに関する安全性を示す安全度とに基づいて更新ファイルを配信するかどうかを判定する構成を、実施形態１との相違点を中心に説明する。

（１）ＥＣＵ１０の構成
図５は、本実施形態のＥＣＵ１０の実ストレージ１３０を示す図である。本実施形態の実ストレージ１３０は５つの安全度の保存領域を有している。

本実施形態における安全度は、例えば、自動車安全度水準ＡＳＩＬ（Automotive Safety Integrity Level）に基づいて設定される安全度である。ＡＳＩＬは、ＩＳＯ２６２６２規格で定義された、車両の機能安全に応じて分類される指標である。ＡＳＩＬには、安全度水準が低いものから順に、ＡＳＩＬ－Ａ、ＡＳＩＬ－Ｂ、ＡＳＩＬ－Ｃ、ＡＳＩＬ－Ｄの段階があり、さらに、特定の機能安全を適用しなくてもよい場合にはＱＭ（Quality Management）と呼ばれる品質管理が適用される。ＱＭはＡＳＩＬ－Ａよりも低い安全度水準を示している。ＡＳＩＬ、ＱＭは、ハードウェアやソフトウェアそれぞれに割り当てられる。

図５に示す例では、実ストレージ１３０は、ＱＭ用、ＡＳＩＬ－Ａ用、ＡＳＩＬ－Ｂ用、ＡＳＩＬ－Ｃ用、及びＡＳＩＬ－Ｄ用の保存領域をそれぞれ有している。ＥＣＵ１０が有する仮想マシンが使用する実ストレージ１３０の保存領域は、仮想マシン自身又は仮想マシンが有する各構成の安全度に対応する。例えば、仮想マシンの安全度がＡＳＩＬ－Ａである場合、当該仮想マシンが使用する実ストレージ１３０の保存領域は、図５に示す保存領域のうちＡＳＩＬ－Ａ用の保存領域となる。仮想マシンの安全度がＡＳＩＬ－Ａであっても、仮想マシンが有する構成のうち独立性の高いものがＡＳＩＬ－Ｂである場合には、当該構成がＡＳＩＬ－Ｂ用の保存領域を使用する場合もある。

各仮想マシン又は仮想マシンが有する構成は、自身の安全度よりも高い安全度の実ストレージ１３０の保存領域にはアクセスすることができない。例えば、安全度がＡＳＩＬ－Ｂの仮想マシンは、ＡＳＩＬ－Ｃ用の保存領域及びＡＳＩＬ－Ｄ用の保存領域にはアクセスすることができない。

以下の実施形態では、仮想マシンに関する安全性を示す安全度を用いて、更新ファイルを配信するかどうかの判定を行う構成を説明する。ここで、仮想マシンに関する安全性を示す安全度とは、仮想マシンに割り当てられた仮想マシンの安全度であってもよく、あるいは、仮想マシンが有する特定の構成に割り当てられた安全度であってもよい。例えば、第１の仮想マシン１４０の配信制御部１４２に割り当てられた安全度を第１の仮想マシン１４０に関する安全度として利用し、第２の仮想マシン１５０の更新部１５１に割り当てられた安全度を第２の仮想マシン１５０の安全度として利用してもよい。

別の例として、仮想マシンの安全度とは、例えば、仮想マシンが有する各構成に割り当てられた安全度のうち、最も低い安全度と等しい値であってもよい。この場合、第１の仮想マシン１４０において、ファイル取得部１４１、配信制御部１４２、仮想ストレージ１４４の安全度がＡＳＩＬ－Ｃであり、更新部１４３の安全度がＡＳＩＬ－Ｂの場合、第１の仮想マシン１４０に関する安全度はＡＳＩＬ－Ｂとなる。

以下、第１の仮想マシン１４０の安全度がＡＳＩＬ－Ｂ、第２の仮想マシン１５０の安全度がＡＳＩＬ－Ａ、第３の仮想マシンの安全度がＡＳＩＬ－Ｃ、及び第４の仮想マシンの安全度がＱＭであるとして、本実施形態を説明する。

（２）第１の仮想マシン１４０の構成
本実施形態の判定部１４６は、各仮想マシンの安全度を問い合わせる検索信号を各仮想マシンに送信する。そして、各仮想マシンから、各仮想マシンの安全度を示す応答信号を受信する。

判定部１４６は、配信制御部１４２を有する第１の仮想マシン１４０に関する安全性を示す安全度Ａ（「第１の安全度」に相当）と、更新対象の仮想マシンに関する安全性を示す安全度Ｂ（「第２の安全度」に相当）とに基づいて、更新対象の仮想マシンに更新ファイルを配信するかどうかを判定する。

図６は、判定部１４６が、第１の仮想マシン１４０の安全度Ａと、更新対象の仮想マシンの安全度Ｂとに基づいて、いかにして更新ファイルを配信する又は配信しないと判定するかを示している。

図６は、仮想マシン自身の安全度Ａ、安全度Ｂに基づいて、更新ファイルの配信有無を判定する例を示しているが、上述したとおり、安全度Ａは、第１の仮想マシン１４０の配信制御部１４２に割り当てられた安全度であって、安全度Ｂは更新対象の仮想マシンの更新部に割り当てられた安全度であってもよい。

図６は、第１の仮想マシン１４０の安全度Ａが、更新対象の仮想マシンの安全度Ｂ「よりも」高い場合に、判定部１４６は、更新対象の仮想マシンに更新ファイルを配信すると判定することを示している。上述したとおり、第１の仮想マシンの安全度Ａが更新対象の仮想マシンの安全度Ｂよりも高い場合、更新対象の仮想マシンの更新部は第１の仮想マシン１４０が使用する実ストレージ１３０の保存領域にアクセスすることができない。そこで、更新対象の仮想マシンの更新部が、第１の仮想マシン１４０が使用する実ストレージ１３０の保存領域にアクセスすることができない場合に、判定部１４６は更新ファイルを配信すると判定する。

ここで、「よりも」とは、比較対象と同じ値を含む場合及び含まない場合の両方が含まれる。

なお、図６の表では、第１の仮想マシン１４０が使用する実ストレージ１３０の保存領域にアクセスすることができない場合に限り、更新ファイルを配信すると判定する例を示しているが、安全度Ａが安全度Ｂと等しい場合にも更新ファイルを配信する構成としてもよい。

判定部１４６は、各仮想マシンの更新部に送信した検索信号に対する、各仮想マシンからの応答信号に基づいて、更新対象の仮想マシンの安全度を特定することができる。したがって、本実施形態の応答信号には、各仮想マシンの安全度を示す情報が含まれる。

なお、判定部１４６は、第１の仮想マシン１４０の更新部１４３に対しても、他の仮想マシンの更新部と同様に検索信号を送信してもよい。この場合、判定部１４６は当然のことながら、更新部１４３からの応答信号に基づいて、第１の仮想マシン１４０の安全度と、更新対象の仮想マシンの安全度とが同じであると判定する。

本実施形態の例では、第１の仮想マシン１４０の安全度（ＡＳＩＬ－Ｂ）は、第２の仮想マシン１５０の安全度（ＡＳＩＬ－Ａ）及び第４の仮想マシン２３０の安全度（ＱＭ）よりも高い。したがって、判定部１４６は第２の仮想マシン１５０及び第４の仮想マシン２３０に更新ファイルを配信すると判定する。
一方、第１の仮想マシン１４０の安全度（ＡＳＩＬ－Ｂ）は、第３の仮想マシン１６０の安全度（ＡＳＩＬ－Ｃ）よりも低いため、判定部１４６は第３の仮想マシン１６０には更新ファイルを配信しないと判定する。

更新指示部１４８は、第２の仮想マシン１５０及び第４の仮想マシン２３０に対して、配信部１４７が配信する更新ファイルを用いて仮想マシンのソフトウェアを更新することを指示する。一方、更新指示部１４８は、第１の仮想マシン１４０及び第３の仮想マシン１６０に対して、実ストレージ１３０のＡＳＩＬ－Ｂの保存領域にアクセスすることにより、実ストレージ１３０に保存された更新ファイルを用いて仮想マシンのソフトウェアを更新することを指示する。

（３）第２の仮想マシン１５０の構成
第２の仮想マシン１５０の仮想ストレージ１５２は、配信部１４７から配信された更新ファイルを保存する。
第２の仮想マシン１５０の更新部１５１は、更新指示部１４８から更新指示を受信すると、仮想ストレージ１５２に保存された更新ファイルを用いて、第２の仮想マシン１５０のソフトウェアを更新する。
なお、仮想ストレージ１５２は、実ストレージ１３０の保存領域のうち、第２の仮想マシン１５０の安全度に対応するＡＳＩＬ－Ａの保存領域を仮想化した領域である。

（４）第３の仮想マシン１６０の構成
第３の仮想マシン１６０が有する更新部１６１は、実ストレージ１３０のＡＳＩＬ－Ｂの保存領域にアクセスすることにより、実ストレージ１３０に保存された更新ファイルを参照し、当該更新ファイルを用いて第３の仮想マシン１６０のソフトウェアを更新する。

（５）第４の仮想マシン２３０の構成
第４の仮想マシン２３０の実ストレージ２２０又は仮想ストレージ２３２は、配信部１４７から配信された更新ファイルを保存する。更新ファイルの保存先は、実ストレージ２２０及び仮想ストレージ２３２のいずれであってもよい。そして、第４の仮想マシン２３０の更新部２３１は、更新指示部１４８から更新指示を受信すると、実ストレージ２２０又は仮想ストレージ２３２に保存された更新ファイルを用いて、第４の仮想マシン２３０のソフトウェアを更新する。

（６）電子制御システム１及びＥＣＵ１０、ＥＣＵ２０が有する仮想マシンの動作
図７は、本実施形態の電子制御システム１全体の動作を示している。また、本実施形態の第１の仮想マシン１４０の配信制御部１４２の動作及び更新部の動作は、実施形態１の図３、４と同じであり、図３、４を参照して説明する。

図７に示すＳ１０１乃至Ｓ１１２の処理は、図２に示す実施形態１の電子制御システム１の処理と同じである。ただし、本実施形態のＳ１０６では、第１の仮想マシン１４０の判定部１４６が更新対象の仮想マシンに更新ファイルを配信するかどうかの判定方法が実施形態１とは異なる。本実施形態のＳ１０６では、判定部１４６は、第１の仮想マシン１４０の安全度、及び更新対象の仮想マシンの安全度に基づいて、更新対象の仮想マシンに更新ファイルを配信するかどうかを判定する。上述したとおり、本実施形態では、第１の仮想マシン１４０の安全度は、第２の仮想マシン１５０及び第４の仮想マシン２３０の安全度よりも高いため、判定部１４６は第２の仮想マシン１５０及び第４の仮想マシン２３０に更新ファイルを配信すると判定する。また、第１の仮想マシン１４０の安全度は、第３の仮想マシン１６０の安全度よりも低いため、判定部１４６は第３の仮想マシン１６０には更新ファイルを配信しないと判定する。

配信制御部１４２の更新指示部１４８は、第１の仮想マシン１４０の更新部１４３及び第３の仮想マシン１６０の更新部１６１に対し、実ストレージ１３０のＡＳＩＬ－Ｂの保存領域にアクセスすることにより仮想マシンのソフトウェアを更新することを指示する（図７、図３：Ｓ１０７）。
更新指示部１４８はさらに、第２の仮想マシン１５０の更新部１５１及び第４の仮想マシン２３０の更新部２３１に対し、配信部１４７が配信する更新ファイルを用いて仮想マシンのソフトウェアを更新することを指示する（図７、図３：Ｓ１０８）。
配信制御部１４２の配信部１４７は、第２の仮想マシン１５０及び第４の仮想マシン２３０に更新ファイルを配信する（図７、図３：Ｓ１０９）。

第１の仮想マシン１４０の更新部１４３は、Ｓ１０７で更新指示部１４８から送信された更新指示を受信する（Ｓ２０３）。この更新指示は、実ストレージにアクセスすることによる更新指示であるため（Ｓ２０４：Ｙｅｓ）、更新部１４３は実ストレージ１３０のＡＳＩＬ－Ｂの保存領域にアクセスすることにより、実ストレージ１３０に保存された更新ファイルを用いて第１の仮想マシン１４０の更新を行う（図７、図４：Ｓ１１０）。
同様に、第３の仮想マシン１６０の更新部１６１は、Ｓ１０７で更新指示部１４８から送信された更新指示を受信すると（Ｓ２０３，Ｓ２０４：Ｙｅｓ）、実ストレージ１３０のＡＳＩＬ－Ｂの保存領域にアクセスすることにより、実ストレージ１３０に保存された更新ファイルを用いて第３の仮想マシン１６０の更新を行う（図７、図４：Ｓ１１０）。

一方、第２の仮想マシン１５０の更新部１５１は、Ｓ１０８で更新指示部１４８から送信された更新指示を受信する（Ｓ２０３）。この更新指示は、実ストレージにアクセスすることによる更新指示ではないため（Ｓ２０４：Ｎｏ）、更新部１５１はさらに、配信部１４７から配信された更新ファイルを受信する（Ｓ２０５）。更新部１５１は、更新指示に基づいて、配信部１４７から配信された更新ファイルを用いて第２の仮想マシン１５０の更新を行う（図７、図４：Ｓ１１０）。
同様に、第４の仮想マシン２３０の更新部２３１は、Ｓ１０８で更新指示部１４８から送信された更新指示を受信し（Ｓ２０３，Ｓ２０４：Ｎｏ）、配信部１４７から配信された更新ファイルを受信する（Ｓ２０５）。そして、更新部２３１は、更新指示に基づいて、配信部１４７から配信された更新ファイルを用いて第４の仮想マシン２３０の更新を行う（図７、図４：Ｓ１１０）。

（７）小括
以上の構成によれば、仮想マシンのソフトウェアを更新するための更新ファイルの配信制御を行う仮想マシンは、当該仮想マシンの安全度よりも高い安全度を有する仮想マシンにのみ更新ファイルを配信し、当該仮想マシンの安全度以下の安全度を有する仮想マシンには更新ファイルを配信しない。これにより、一部の仮想マシンに対する更新ファイルの配信処理を省略することができるため、配信処理にかかる負荷を低減することができるとともに、仮想マシンのソフトウェアを更新に要する時間を短縮することが可能となる。

（８）実施形態２の変形例１
上述した実施形態２では、第１の仮想マシン１４０の安全度が更新対象の仮想マシンの安全度よりも高い場合にのみ、更新ファイルを配信する構成を説明した。しかしながら、第１の仮想マシン１４０の安全度が更新対象の仮想マシンの安全度と異なる場合に限り、更新ファイルを配信する構成としてもよい。

図８は、本変形例１の判定部１４６が、第１の仮想マシン１４０の安全度Ａと、更新対象の仮想マシンの安全度Ｂとに基づいて、いかにして更新ファイルを配信する又は配信しないと判定するかを示している。

図８に示す例では、第１の仮想マシン１４０の安全度Ａと、更新対象の仮想マシンの安全度Ｂとが異なる場合に、判定部１４６は、更新対象の仮想マシンに更新ファイルを配信すると判定する。一方、第１の仮想マシン１４０の安全度Ａと、更新対象の仮想マシンの安全度Ｂとが等しい場合、判定部１４６は、更新対象の仮想マシンに更新ファイルを配信しないと判定する。

上述した実施形態２と同様、第１の仮想マシン１４０の安全度がＡＳＩＬ－Ｂ、第２の仮想マシン１５０の安全度がＡＳＩＬ－Ａ、第３の仮想マシンの安全度がＡＳＩＬ－Ｃ、及び第４の仮想マシンの安全度がＱＭであるとした場合、第１の仮想マシン１４０の安全度と、第２乃至第４の仮想マシンの安全度はいずれも異なっている。そのため、判定部１４６は、第２乃至第４の仮想マシンの全てに更新ファイルを配信すると判定する。そして、第１の仮想マシン自身に対してのみ、更新ファイルを配信しないと判定する。

本変形例では、更新ファイルの配信制御を行う仮想マシンが使用する実ストレージの保存領域にアクセス可能な仮想マシンを、同じ安全度を有する更新対象の仮想マシンに限定し、異なる安全度を有する仮想マシンからのアクセスを制限することにより、実ストレージのセキュリティを確保することができる。

（９）第２の実施形態の変形例２
上述した実施形態１、２は、それぞれ異なる実施形態として説明したが、本変形例では、実施形態２に、実施形態１の特徴を適用する。

本変形例の判定部１４６は、第１の仮想マシン１４０を管理するハイパーバイザ１１０と、更新対象の仮想マシンを管理するハイパーバイザとが同じかどうか、に加えて、第１の仮想マシン１４０の安全度、及び更新対象の仮想マシンの安全度に基づいて、更新対象の仮想マシンに更新ファイルを配信するかどうかを判定する。

例えば、判定部１４６は、第１の仮想マシン１４０を管理するハイパーバイザ１１０と、更新対象の仮想マシンを管理するハイパーバイザと異なり、且つ、第１の仮想マシン１４０の安全度が更新対象の仮想マシンの安全度よりも高い場合に、更新ファイルを更新対象の仮想マシンに配信すると判定する。

あるいは、判定部１４６は、実施形態１で説明した判定方法、又は実施形態２で説明した判定方法のいずれか一方を選択して、各仮想マシンに更新ファイルを配信するかどうかを判定してもよい。

４．電子制御装置及び電子制御システムの変形例
本項では、実施形態１、２に共通する電子制御装置及び電子制御システムの構成の変形例を説明する。

上述した例では、例えば、ＥＣＵ１０がＡＰをベースとしたＥＣＵであり、ＥＣＵ２０がＣＰをベースとしたＥＣＵである場合を説明した。しかしながら、ＥＣＵに構築される仮想マシンそれぞれが、ＡＰ、ＣＰといったプラットフォームを有してもよい。

図９は、各仮想マシンがそれぞれのプラットフォーム（以下、ＰＦ）を有する例を説明する図である。図９では、配信制御部１４２が実現する各機能の記載は省略しているが、図１と同様、配信制御部１４２は、ファイル分割部１４５、判定部１４６、配信部１４７、更新指示部１４８を実現する。

図９では、第１の仮想マシン１４０は第１のＰＦ１４０１を、第２の仮想マシン１５０は第２のＰＦ１５０１を、第３の仮想マシン１６０は第３のＰＦ１６０１を、第４の仮想マシン２３０は第４のＰＦ２３０１を、それぞれ有している。図９はさらに、各仮想マシンのＰＦ上で動作するアプリケーション（１４０２、１５０２、１６０２、２３０２）をそれぞれ示している。

ＰＦには、ＡＰ、ＣＰの他に様々な種類のＰＦがあり、第１～第４のＰＦ（１４０１、１５０１、１６０１、２３０１）として、任意のＰＦを適用することができる。例えば、第１のＰＦ１４０１はＡＰを、第２のＰＦ１５０１はＣＰを、第３のＰＦ１６０１はＡＰ、ＣＰ以外のＰＦを適用することにより、ＰＦが異なる複数の仮想マシンが１つのＥＣＵ内に混在して存在してもよい。このように１つのＥＣＵ内に異なるＰＦを有する複数の仮想マシンを混在させることにより、１つのＥＣＵに複数の機能を統合させることが可能となり、ひいてはＥＣＵの総数を低減することが可能となる。

このような構成の場合、仮想マシンのＯＳは、例えば、ハイパーバイザとＰＦとの間に設けられる、あるいは、ハイパーバイザと一体として、又はＰＦに含まれるように構成されてもよい。

各仮想マシンの更新部は仮想マシンのソフトウェアの更新を行うものであるが、図９の構成では、更新部は、仮想マシンのソフトウェアの更新として、ＰＦ又はＰＦ上で動作するアプリケーションを更新してもよい。例えば、更新部１４３は、第１のＰＦ１４０１又は第１のアプリケーション１４０２の更新を行う。

なお、図９は、ファイル取得部１４１が第１のアプリケーション１４０２に含まれており、配信制御部１４２及び更新部１４３が第１のＰＦ１０４１に含まれるものとして図示している。しかしながら、第１のＰＦ１４０１に含まれるソフトウェアがファイル取得部１４１の一部又は全部の機能を実現してもよく、あるいは、第１のアプリケーション１４０２が配信制御部１４２及び更新部１４３の一部又は全部の機能を実現してもよい。同様に、第２～第４のアプリケーション（１５０２、１６０２、２３０２）がそれぞれの更新部（１５１、１６１、２３１）の一部又は全部の機能を実現してもよい。

図９はさらに、ＥＣＵ１０の実ストレージ１３０が、３つの保存領域、すなわち、共有保存領域１３１、ソフトウェア保存領域１３２、及び配信ファイル保存領域１３３を有する構成を示している。

共有保存領域１３１は、ファイル取得部１４１が取得し、ファイル分割部１４５がパース処理を行った更新ファイルを保存する領域である。ソフトウェア保存領域１３２は、第１～第３のＰＦ１４０１、１５０１、１６０１、及び第１～第３のアプリケーション１４０２、１５０２、１６０２といった、仮想マシンを構成するソフトウェアを保存する領域である。配信ファイル保存領域１３３は、配信部１４７から配信された更新ファイルを保存する領域である。配信ファイル保存領域１３３を仮想化することで、各仮想マシンに仮想ストレージを構築する。

本変形例では、実ストレージ１３０に保存されている更新ファイルを用いて仮想マシンのソフトウェアを更新することを指示された更新部は、共有保存領域１３１にアクセスするとともに、共有保存領域１３１に保存されている更新ファイルを用いて、仮想マシンのソフトウェア、すなわち、ソフトウェア保存領域１３２に保存されているソフトウェアの更新を行う。これに対し、配信部１４７が配信する更新ファイルを用いて仮想マシンのソフトウェアを更新することを指示された更新部は、配信部１４７から配信され、配信ファイル保存領域１３３に保存された更新ファイルを用いて、ソフトウェア保存領域１３２に保存されているソフトウェアの更新を行う。

ＥＣＵ２０の実ストレージ２２０は、実ストレージ１３０と同様、ソフトウェア保存領域２２２及び配信ファイル保存領域２２３を有している。しかしながら、ＥＣＵ２０では、ファイル取得部が取得した更新ファイルを保存する必要がないため、実ストレージ２２０は共有保存領域１３１に相当する保存領域を有していない。ソフトウェア保存領域２２２及び配信ファイル保存領域２２３は、ソフトウェア保存領域１３２及び配信ファイル保存領域１３３と同様、仮想マシンを構成するソフトウェア、及び配信部１４７から配信された更新ファイルをそれぞれ保存する。

なお、図９は、実ストレージ１３０が、共有保存領域１３１、ソフトウェア保存領域１３２、及び配信ファイル保存領域１３３の全てを含むものとして図示しているが、実ストレージ１３０は複数の異なるストレージによって実現されるものであってもよい。例えば、本変形例のソフトウェア保存領域１３２は不揮発性メモリであるが、共有保存領域１３１、配信ファイル保存領域１３３は、不揮発メモリ又は揮発性メモリのいずれでもよい。したがって、共有保存領域１３１及び配信ファイル保存領域１３３が、揮発性メモリである実ストレージ１３０の保存領域にそれぞれ設けられ、ソフトウェア保存領域１３２が、不揮発性メモリである実ストレージ１３０の保存領域に設けられてもよい。

５．ドメイン・アーキテクチャへの適用
次に、実施形態１、２における電子制御システム１をドメイン・アーキテクチャに適用する場合の構成例を説明する。ドメイン・アーキテクチャとは、複数のＥＣＵを、その機能、役割、又はネットワーク接続に応じてドメインと称されるグループに分類するとともに、ドメイン毎に同じドメインに属する複数のＥＣＵを管理して制御するドメインコントローラＥＣＵ（以下、ＤＣ－ＥＣＵ）を配置するものである。ドメイン・アーキテクチャでは、機能やネットワークに応じてＥＣＵを整理して統合することができるため、車載システムのように多数のＥＣＵから構成されるシステムにおいて、将来的なＥＣＵの更新作業が容易になるだけでなく、増大しつつあるＥＣＵの総数を抑制することが可能となる。

（１）ドメイン・アーキテクチャの概要
図１０は、ドメイン・アーキテクチャを簡略的に示した図である。図１０に示すドメイン・アーキテクチャは、ＤＣ－ＥＣＵ３０Ａ、３０Ｂ、ゲートウェイＥＣＵ（以下、ＧＷ－ＥＣＵ）４０、及びＥＣＵ５０Ａ、５１Ａ、５０Ｂ、５１Ｂを有している。

さらに、図１０に示すドメイン・アーキテクチャは２つのドメインを有しており、第１のドメイン２ＡはＤＣ－ＥＣＵ３０Ａ及びＥＣＵ５０Ａ、５１Ａを、第２のドメイン２ＢはＤＣ－ＥＣＵ３０Ｂ及びＥＣＵ５０Ｂ、５１Ｂを、それぞれ有している。上述したとおり、ドメインは、ＥＣＵの機能やネットワークに応じて分類されるものであり、車載システムの場合、例えば、車両の駆動系を制御するドメイン、自動運転を制御するドメイン、車載テレビや車載コンピュータといった娯楽機器を制御するドメイン等が挙げられる。

ＤＣ－ＥＣＵ３０Ａは第１のドメイン２Ａに属するＥＣＵ５０Ａ、５１Ａを制御し、ＤＣ－ＥＣＵ３０Ｂは第２のドメイン２Ｂに属するＥＣＵ５０Ｂ、５１Ｂを制御する。例えば、第１のドメイン２Ａが自動運転を制御するドメインの場合、ＤＣ－ＥＣＵ３０Ａは、カメラＥＣＵ、レーダＥＣＵ、ライダＥＣＵ、ロケータＥＣＵ、又は各種の自動運転アプリケーションを搭載するＥＣＵといったＥＣＵ５０Ａ、５１Ａを制御する。ＤＣ－ＥＣＵ３０Ａはさらに、ＥＣＵ５０Ａ、５１Ａから出力されたセンサ情報を統合するセンサフュージョンアプリケーションを有し、センサフュージョンアプリケーションからの出力をＥＣＵ５０Ａ、５１Ａに提供してもよい。

ＧＷ－ＥＣＵ４０は、車載ネットワークにおいてゲートウェイ装置として機能するＥＣＵである。ＧＷ－ＥＣＵ４０は複数のバスに接続され、それぞれのバスを介して他のＥＣＵと接続されている。ＧＷ－ＥＣＵ４０は例えばドメイン間の通信を中継する。ＧＷ－ＥＣＵ４０はさらに、車両外部とドメインとの間のゲートウェイとしての機能も有する。

なお、図１０では、ＤＣ－ＥＣＵ３０Ａ、ＧＷ－ＥＣＵ４０、ＥＣＵ５０Ａ、５１Ａをそれぞれ異なるＥＣＵとして記載しているが、上述した各ＥＣＵの機能を他のＥＣＵに統合してもよい。例えば、ＥＣＵ５０Ａ、５１Ａの機能の一部をＤＣ－ＥＣＵ３０Ａに統合してもよい。この場合、ＤＣ－ＥＣＵ３０Ａに統合された機能は、ＤＣ－ＥＣＵ３０Ａに搭載される仮想マシンによって実現されてもよい。

（２）電子制御システム１へのドメイン・アーキテクチャの適用例
上述した実施形態では、ＥＣＵ１０及びＥＣＵ２０を有する電子制御システム１を説明した。ここで、図１０のドメイン・アーキテクチャを電子制御システム１に適用する場合、更新ファイルを取得して他の仮想マシンに更新ファイルを配信するＥＣＵ１０は、図１０のＤＣ－ＥＣＵ３０Ａ、３０Ｂ（「ドメインコントローラ」に相当）として構成されることが望ましい。この場合、ドメイン・アーキテクチャのＤＣ－ＥＣＵ３０Ａ、３０Ｂはそれぞれ、同じドメインに属するＥＣＵに更新指示を行うとともに、必要に応じて更新ファイルの配信を行うことになる。したがって、ＤＣ－ＥＣＵ３０Ａ、３０Ｂは、異なるドメインに属するＥＣＵの仮想マシンに対して更新指示や更新ファイルの配信を行わない。

例えば、ＥＣＵ１０がＤＣ－ＥＣＵ３０Ａとして構成される場合、第２のドメイン２Ｂに含まれるＥＣＵ（ＤＣ－ＥＣＵ３０Ｂ、ＥＣＵ５０Ｂ、５１Ｂ）には更新指示及び更新ファイルの配信を行わない。そして、ＥＣＵ１０の実ストレージ１３０にアクセスするＥＣＵは、同じドメイン、すなわち第１のドメイン２Ａに属するＥＣＵに制限される。同様に、ＤＣ－ＥＣＵ３０Ｂとして構成されたＥＣＵ１０は、第１のドメイン２Ａに含まれるＥＣＵには更新指示及び更新ファイルの配信を行わない。

電子制御システム１をドメイン・アーキテクチャとすることにより、ＥＣＵ間の通信を同一の又は関連するドメイン内に限定することができるため、車載ネットワーク全体の通信量を抑制するすることができ、ひいては、車載ネットワークにおける応答性を高めることが可能となる。

さらに、ドメインが異なるＥＣＵからのアクセスを制限することにより、例えば、一方のドメインに属するＥＣＵが外部から攻撃を受けているような場合であっても、異なるドメインまで不正にアクセスされることを防ぐことができる。

別の例として、ＥＣＵ１０は図１０のＧＷ－ＥＣＵ４０（「ゲートウェイ装置」に相当）として構成されてもよい。この場合、ＥＣＵ２０はＤＣ－ＥＣＵ３０Ａ、３０Ｂ又はＥＣＵ５０Ａ，Ｂ、５１Ａ，Ｂとして構成される。この場合、ＧＷ－ＥＣＵ４０の実ストレージ１３０のみが、様々なドメインに属するＥＣＵからアクセスされることになる。そのため、ＥＣＵ１０をＤＣ－ＥＣＵとして構成する場合と同様、一のドメインに属するＥＣＵが外部から攻撃を受けているような場合であっても、異なるドメインまで不正にアクセスされることを防ぐことができる。

６．総括
以上、本発明の各実施形態における電子制御装置、及び当該電子制御装置を備える電子制御システムの特徴について説明した。

各実施形態で使用した用語は例示であるので、同義の用語、あるいは同義の機能を含む用語に置き換えてもよい。

実施形態の説明に用いたブロック図は、装置の構成を機能毎に分類及び整理したものである。それぞれの機能を示すブロックは、ハードウェア又はソフトウェアの任意の組み合わせで実現される。また、機能を示したものであることから、かかるブロック図は方法の発明、及び当該方法を実現するプログラムの発明の開示としても把握できるものである。

各実施形態に記載した処理、フロー、及び方法として把握できる機能ブロック、については、一のステップでその前段の他のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。

各実施形態、及び特許請求の範囲で使用する、第１、第２、乃至、第Ｎ（Ｎは整数）、の用語は、同種の２以上の構成や方法を区別するために使用しており、順序や優劣を限定するものではない。

各実施形態の電子制御装置は、車両に搭載される車載を構成する電子制御装置であることを前提としているが、本発明の電子制御装置は、特許請求の範囲で特に限定する場合を除き、任意の電子制御システムに適用される。

また、本発明の装置の形態の例として、以下のものが挙げられる。
部品の形態として、半導体素子、電子回路、モジュール、マイクロコンピュータが挙げられる。
半完成品の形態として、電子制御装置（ＥＣＵ（Electric Control Unit））、システムボードが挙げられる。
完成品の形態として、携帯電話、スマートフォン、タブレット、パーソナルコンピュータ（ＰＣ）、ワークステーション、サーバが挙げられる。
その他、通信機能を有するデバイス等を含み、例えばビデオカメラ、スチルカメラ、カーナビゲーションシステムが挙げられる。

また各装置に、アンテナや通信用インターフェースなど、必要な機能を追加してもよい。

加えて、本発明は、各実施形態で説明した構成及び機能を有する専用のハードウェアで実現できるだけでなく、メモリやハードディスク等の記録媒体に記録した本発明を実現するためのプログラム、及びこれを実行可能な専用又は汎用ＣＰＵ及びメモリ等を有する汎用のハードウェアとの組み合わせとしても実現できる。

専用や汎用のハードウェアの非遷移的実体的記録媒体（例えば、外部記憶装置（ハードディスク、ＵＳＢメモリ、ＣＤ／ＢＤ等）、又は内部記憶装置（ＲＡＭ、ＲＯＭ等））に格納されるプログラムは、記録媒体を介して、あるいは記録媒体を介さずにサーバから通信回線を経由して、専用又は汎用のハードウェアに提供することもできる。これにより、プログラムのアップグレードを通じて常に最新の機能を提供することができる。

本発明の電子制御装置は、主として自動車に搭載される車載用電子制御装置として説明したが、自動二輪車、船舶、鉄道、航空機等、移動する移動体全般に適用することが可能である。また、移動体に限らず、マイクロコンピュータを包含する製品全般に適用可能である。

１ 電子制御システム、１０ 電子制御装置、１１０ ハイパーバイザ、１２０ ハイパーバイザ、１３０ 実ストレージ、１４０ 第１の仮想マシン、１４１ ファイル取得部、１４４ 仮想ストレージ、１４６ 判定部、１４７ 配信部、１４８ 更新指示部、１５０ 第２の仮想マシン、１６０ 第３の仮想マシン、２１０ ハイパーバイザ、２３０ 第４の仮想マシン

Claims (16)

1. ハイパーバイザによって管理される仮想マシンを有する電子制御装置であって、
   ソフトウェアを更新するためのファイルを取得するファイル取得部（１４１）と、
   前記ファイルを保存する保存部（１３０，１４４）と、
   を備え、
   前記仮想マシンである第１の仮想マシン（１４０）は、
   前記第１の仮想マシンに関する安全性を示す第１の安全度、及び前記第１の仮想マシンに接続された第２の仮想マシン（１５０，１６０，２３０）に関する安全性を示す第２の安全度に基づいて、前記ファイルを前記第２の仮想マシンに配信するかどうかを判定する判定部（１４６）と、
   前記判定部が前記ファイルを前記第２の仮想マシンに配信すると判定した場合に、前記ファイルを前記第２の仮想マシンに配信する配信部（１４７）と、
   を有する、電子制御装置（１０）。
2. 前記第１の仮想マシンはさらに、
   前記保存部にアクセスすることにより前記ファイルを用いて前記第１の仮想マシンのソフトウェアを更新する更新部を備える、
   請求項１記載の電子制御装置。
3. 前記判定部は、前記第１の安全度が前記第２の安全度よりも高い場合に、前記ファイルを前記第２の仮想マシンに配信すると判定する、
   請求項１記載の電子制御装置。
4. 前記判定部は、前記第１の安全度と前記第２の安全度が異なる場合に、前記ファイルを前記第２の仮想マシンに配信すると判定する、
   請求項１記載の電子制御装置。
5. 前記第１の仮想マシンはさらに、前記第２の仮想マシンの更新を指示する更新指示部（１４８）を備え、
   前記更新指示部は、
   前記判定部が前記ファイルを前記第２の仮想マシンに配信すると判定した場合に、前記配信部が配信する前記ファイルを用いて前記第２の仮想マシンのソフトウェアを更新することを指示し、
   前記判定部が前記ファイルを前記第２の仮想マシンに配信しないと判定した場合に、前記保存部にアクセスすることにより前記ファイルを用いて前記第２の仮想マシンのソフトウェアを更新することを指示する、
   請求項１記載の電子制御装置。
6. 前記第１の安全度及び前記第２の安全度は、自動車安全度水準ＡＳＩＬ（Automotive Safety Integrity Level）である、
   請求項１記載の電子制御装置。
7. 前記保存部は、前記ハイパーバイザが管理する保存部（１３０）であり、
   前記第１の仮想マシン及び前記第２の仮想マシンは、前記保存部に保存された前記ファイルを用いて更新する場合に限り前記保存部にアクセス可能である、
   請求項１記載の電子制御装置。
8. 前記判定部はさらに、前記第１の仮想マシンを管理する第１のハイパーバイザ（１１０）と、前記第２の仮想マシンを管理する第２のハイパーバイザ（１１０，１２０，２１０）とが同じかどうかを判定して、前記ファイルを前記第２の仮想マシンに配信するかどうかを判定する、
   請求項１記載の電子制御装置。
9. 前記第１の仮想マシンは、
   プラットフォーム（１４０１）と、
   前記プラットフォーム上で動作するアプリケーション（１４０２）と、
   を有する、請求項１記載の電子制御装置。
10. 当該電子制御装置はさらに、前記第２の仮想マシン（１５０、１６０）を有し、
    前記第２の仮想マシンは、前記プラットフォームである第１のプラットフォームとは異なる第２のプラットフォーム（１５０１、１６０１）を有する、
    請求項９に記載の電子制御装置。
11. 当該電子制御装置は移動体に搭載される、
    請求項１乃至１０のいずれかに記載の電子制御装置。
12. ハイパーバイザによって管理される仮想マシンを有する電子制御装置で実行されるソフトウェア更新方法であって、
    ソフトウェアを更新するためのファイルを取得し（Ｓ１０１）、
    前記ファイルを保存部（１３０，１４４）に保存し（Ｓ１０３）、
    前記仮想マシンである第１の仮想マシン（１４０）に関する安全性を示す第１の安全度、及び前記第１の仮想マシンに接続された第２の仮想マシン（１５０，１６０，２３０）に関する安全性を示す第２の安全度に基づいて、前記ファイルを前記第２の仮想マシンに配信するかどうかを判定し（Ｓ１０６）、
    前記ファイルを前記第２の仮想マシンに配信すると判定した場合に、前記ファイルを前記第２の仮想マシンに配信する（Ｓ１０９）、
    ソフトウェア更新方法。
13. ハイパーバイザによって管理される仮想マシンを有する電子制御装置で実行可能なソフトウェア更新プログラムであって、
    ソフトウェアを更新するためのファイルを取得し（Ｓ１０１）、
    前記ファイルを保存部（１３０，１４４）に保存し（Ｓ１０３）、
    前記仮想マシンである第１の仮想マシン（１４０）に関する安全性を示す第１の安全度、及び前記第１の仮想マシンに接続された第２の仮想マシン（１５０，１６０，２３０）に関する安全性を示す第２の安全度に基づいて、前記ファイルを前記第２の仮想マシンに配信するかどうかを判定し（Ｓ１０６）、
    前記ファイルを前記第２の仮想マシンに配信すると判定した場合に、前記ファイルを前記第２の仮想マシンに配信する（Ｓ１０９）、
    ソフトウェア更新プログラム。
14. 第１の電子制御装置（１０）と第２の電子制御装置（２０）とを有する電子制御システムであって、
    第１の仮想マシン（１４０）を有する前記第１の電子制御装置は、
    ソフトウェアを更新するためのファイルを取得するファイル取得部（１４１）と、
    前記ファイルを保存する保存部（１３０，１４４）と、
    を備え、前記第１の仮想マシンは、
    前記第１の仮想マシンに関する安全性を示す第１の安全度、及び前記第２の電子制御装置が有する第２の仮想マシン（２３０）に関する安全性を示す第２の安全度に基づいて、前記ファイルを前記第２の仮想マシンに配信するかどうかを判定する判定部（１４６）と、
    前記判定部が前記ファイルを前記第２の仮想マシンに配信すると判定した場合に、前記ファイルを前記第２の仮想マシンに配信する配信部（１４７）と、
    を有し、
    前記第２の仮想マシンは、
    前記保存部にアクセスすることにより前記ファイルを用いて、又は前記配信部が配信する前記ファイルを用いて、前記第２の仮想マシンを更新する更新部（２３１）を有する、
    電子制御システム（１）。
15. 当該電子制御システムは、前記第１の電子制御装置及び前記第２の電子制御装置を含むドメイン（２Ａ、２Ｂ）を有しており、
    前記第１の電子制御装置は、前記ドメインに含まれる電子制御装置を制御するドメインコントローラ（３０Ａ、３０Ｂ）である、
    請求項１４記載の電子制御システム。
16. 当該電子制御システムは、前記第２の電子制御装置を含むドメイン（２Ａ、２Ｂ）を有しており、
    前記第１の電子制御装置は、複数のバスに接続されたゲートウェイ装置（４０）であり、
    前記第２の電子制御装置は、前記複数のバスのうち一のバスを介して前記ゲートウェイ装置に接続された、前記ドメインに含まれる電子制御装置を制御するドメインコントローラ（３０Ａ、３０Ｂ）、又は、前記ドメインコントローラによって制御される前記電子制御装置（５０Ａ、５１Ａ、５０Ｂ、５１Ｂ）である、
    請求項１４記載の電子制御システム。
    

Images