JP2022163546A - 制御装置及び制御システム - Google Patents

Abstract

【課題】シングルバンクマイコンを備える制御装置のリプログラミングに要する時間を短縮することを目的とする。【解決手段】ＥＣＵ９０１は、メモリバンクがシングルバンクとして構成された書換領域１３に格納されたプログラムを実行する第１マイコン１と、第２マイコン２とを備える制御装置である。第２マイコン２は、書換領域１３に格納されたプログラムを書換プログラム５に書き換えるリプログラミング処理において書換プログラム５に対して前処理を行う前処理部２１４と、前処理が行われた書換プログラム５を第１マイコン１に送信する送信部２１３と、を有する。第１マイコン１は、第２マイコン２から送信された書換プログラム５を受信する受信部１２１と、受信された書換プログラム５を書換領域１３に書込部１２２と、を有する。【選択図】図１

Description

本発明は、制御装置及び制御システムに関する。

車両に搭載される電子制御装置（Electronic Control Unit、以下「ＥＣＵ」とも称する）には、マイクロコントローラ（以下「マイコン」とも称する）が用いられている。ＥＣＵでは、マイコンに備えられたフラッシュメモリ等の不揮発性の記憶装置に格納されるソフトウェアへの機能追加やバグフィックス等を行うため、市場においてソフトウェアのリプログラミングが行われる。

リプログラミングの１つの手法として、診断機等のソフトウェア書換装置から、有線通信によって、リプログラミング用のソフトウェアを配信する手法がある（例えば、特許文献１）。リプログラミングの他の１つの手法として、ＯＴＡ（Over The Air）と呼ばれる無線通信によって、リプログラミング用のソフトウェアを配信する手法がある（例えば、特許文献２）。

特開平１１－９６０８２号公報 特開２００４－３２６６８９号公報

ＯＴＡによるリプログラミングでは、マイコンに備えられた記憶装置のメモリバンクの構成によって、プログラムを書き換えるタイミングが制約される。メモリバンクの構成は、デュアルバンクとシングルバンクとに分けられる。デュアルバンクの記憶装置を備えるマイコン（以下「デュアルバンクマイコン」とも称する）では、プログラムの動作面と書換面とが独立している。これにより、デュアルバンクマイコンでは、走行中（イグニッションスイッチがオン状態の際）であっても、車両の制御機能を提供しながら、リプログラミングを行うことが可能である。一方、シングルバンクの記憶装置を備えるマイコン（以下「シングルバンクマイコン」とも称する）では、プログラムの動作面と書換面とが同一である。これにより、シングルバンクマイコンでは、走行中に車両の制御機能を提供しながら、リプログラミングを行うことは難しい。

したがって、シングルバンクマイコンでは、車両の制御機能を提供する必要がない駐車中（イグニッションスイッチがオフ状態の際）等にリプログラミングを行う必要がある。すなわち、駐車中等にリプログラミングを行う場合、リプログラミングが完了するまでの間は、走行すること（イグニッションスイッチをオン状態に移行すること）ができないので、ユーザのダウンタイムが発生してしまう。

近年、ＣＡＳＥ（Connected, Autonomous/Automated, Shared, Electric）等の技術分野において技術革新が進む中、ＥＣＵに求められる機能の高度化により、ソフトウェアのプログラムサイズが増加しているので、必然的にリプログラミングに要する時間は長くなる傾向にある。また、セキュリティの強化を図るべく、ソフトウェアの機密性や完全性を担保するため、ソフトウェアを暗号化したり電子署名を付与したりすることが行われている。したがって、ＥＣＵでは、リプログラミング時に復号化や電子署名の検証といった暗号処理が必要になり、リプログラミングに要する時間が更に長くなる傾向にある。このようなことから、シングルバンクマイコンを備えるＥＣＵでは、上記のような制約があるので、ユーザのダウンタイムが長くなってしまう。このような問題は、ＥＣＵ以外の制御装置でも同様に発生する。

本発明は、上記に鑑みてなされたものであり、シングルバンクマイコンを備える制御装置のリプログラミングに要する時間を短縮することを目的としている。

上記課題を解決するために、本発明の制御装置は、メモリバンクがシングルバンクとして構成された所定領域に格納されたプログラムを実行する第１演算処理装置と、第２演算処理装置とを備える制御装置であって、前記第２演算処理装置は、前記所定領域に格納された前記プログラムを書換プログラムに書き換えるリプログラミング処理において前記書換プログラムに対して前処理を行う前処理部と、前記前処理が行われた前記書換プログラムを前記第１演算処理装置に送信する送信部と、を有し、前記第１演算処理装置は、前記第２演算処理装置から送信された前記書換プログラムを受信する受信部と、受信された前記書換プログラムを前記所定領域に書き込む書込部と、を有することを特徴とする。

本発明によれば、シングルバンクマイコンを備える制御装置のリプログラミングに要する時間を短縮することができる。
上記以外の課題、構成および効果は、以下の実施形態の説明により明らかにされる。

実施形態１のＥＣＵの機能的構成を示すブロック図。 図１に示す書換ソフトウェアの生成過程を説明する図。 図１に示すＥＣＵにおいて行われるリプログラミング処理のシーケンス図。 図３に示すリプログラミング処理を説明する図。 実施形態２の制御システムの機能的構成を示すブロック図。 第１ＥＣＵと協働してリプログラミング処理を行う第２ＥＣＵを決定する処理を説明する図。

以下、本発明の実施形態について図面を用いて説明する。なお、各実施形態において同一の符号を付された構成は、特に言及しない限り、各実施形態において同様の機能を有し、その説明を省略する。

［実施形態１］
本実施形態では、シングルバンクマイコンを備え、リプログラミング処理を行う制御装置の一例として、車両に搭載され車両を制御する装置であるＥＣＵ９０１について説明する。しかしながら、本発明の制御装置は、車両以外の機械又は機器に搭載され、車両以外の機械又は機器を制御する装置であってもよい。ＥＣＵ９０１は、特許請求の範囲に記載された「制御装置」の一例である。

本実施形態において、リプログラミング処理は、制御装置の機能を実現するプログラムを含むソフトウェアを、新たなソフトウェアに書き換える処理のことである。本実施形態では、リプログラミング処理によって書き換えられる新たなソフトウェアを、「書換ソフトウェア２２１」とも称する。書換ソフトウェア２２１は、制御装置の機能を実現する新たなプログラムである「書換プログラム５」を複数含んで構成される。

図１は、実施形態１のＥＣＵ９０１の機能的構成を示すブロック図である。

ＥＣＵ９０１は、第１マイコン１と、第２マイコン２とを備える。第１マイコン１は、特許請求の範囲に記載された「第１演算処理装置」の一例である。第２マイコン２は、特許請求の範囲に記載された「第２演算処理装置」の一例である。

第１マイコン１と第２マイコン２とは、通信バス３によって互いに接続される。通信バス３は、後述する通知部１２０、受信部１２１及び送信部２１３によるデータ通信に用いられる。通信バス３の通信規格は、ＳＰＩ、ＭＩＩ、ＣＡＮ又はＥｔｈｅｒｎｅｔ等であってもよく、特に限定されない。

第１マイコン１は、メモリバンクがシングルバンクとして構成された所定領域（後述する書換領域１３）に格納されたプログラムを実行する。このプログラムは、ＥＣＵ９０１の機能を実現するためのプログラムである。第１マイコン１は、シングルバンクマイコンによって構成される。

第１マイコン１は、このプログラムの実行が停止された停止状態に移行することを契機として、リプログラミング処理を行う。具体的には、第１マイコン１は、ＥＣＵ９０１が制御動作を停止する停止状態に移行することを契機として、リプログラミング処理を行う。例えば、第１マイコン１は、車両のイグニッションスイッチがオフ状態に移行することに伴ってＥＣＵ９０１が停止状態に移行すること契機として、リプログラミング処理を行う。第１マイコン１は、ＥＣＵ９０１に複数備えられていてもよい。

第１マイコン１は、制御部１０と、バッファ領域１１と、リプロ処理プログラム記憶部１２と、書換領域１３とを備える。

制御部１０は、ＣＰＵ、ＭＰＵ又はＤＳＰ等のプロセッサを有しており、リプロ処理プログラム記憶部１２に格納されたプログラム、又は、書換領域１３に格納されたプログラムを実行する。これにより、制御部１０は、リプログラミング機能又はＥＣＵ９０１の機能を実現するための第１マイコン１に係る処理を行う。

バッファ領域１１は、受信部１２１により受信された書換プログラム５を書換領域１３に書き込む前に、当該書換プログラム５を一時的に格納するバッファ領域である。バッファ領域１１への書き込み回数や書き込み速度の観点から、バッファ領域１１は、ＤＲＡＭ、ＳＲＡＭのような揮発性の記憶装置によって構成されることが好ましい。但し、バッファ領域１１は、ＥＥＰＲＯＭ、フラッシュメモリ又はＳＳＤのような不揮発性の記憶装置によって構成されてもよい。

リプロ処理プログラム記憶部１２（以下「プログラム記憶部１２」とも称する）は、ＥＣＵ９０１のリプログラミング機能を実現するために制御部１０によって実行されるプログラム（以下「リプロ処理プログラム」とも称する）を格納する。プログラム記憶部１２は、ＥＥＰＲＯＭ、フラッシュメモリ又はＳＳＤのような不揮発性の記憶装置によって構成されてもよい。

プログラム記憶部１２は、リプロ処理プログラムとして、通知部１２０と、受信部１２１と、書込部１２２と、消去部１２３とを格納する。

通知部１２０は、リプログラミング処理の開始要求を第２マイコン２に通知する。通知部１２０は、ＥＣＵ９０１が停止状態に移行することを契機として、リプログラミング処理の開始要求を第２マイコン２に通知してもよい。また、通知部１２０は、ＥＣＵ９０１が停止状態に移行する際に、リプログラミング処理の要否を判定し、判定結果に基づいて、リプログラミング処理の開始要求を第２マイコン２に通知してもよい。通知部１２０は、リプログラミング処理が必要であることを示す情報が外部装置からＥＣＵ９０１に通知されたか否かに基づいて、リプログラミング処理の要否を判定してもよい。或いは、通知部１２０は、外部装置からＯＴＡ等によって配信された書換ソフトウェア２２１のダウンロードが完了して、書換ソフトウェア２２１が書換ソフトウェア記憶部２２に格納されたか否かに基づいて、リプログラミング処理の要否を判定してもよい。また、通知部１２０は、バッファ領域１１の空き状況に応じて書換プログラム５の送信許可を第２マイコン２に通知する。

受信部１２１は、第２マイコン２から通信バス３を介して送信された書換プログラム５を受信する。受信部１２１は、受信された書換プログラム５をバッファ領域１１に一時的に格納する。

書込部１２２は、バッファ領域１１に格納された書換プログラム５を読み出し、書換領域１３に書き込む。すなわち、書込部１２２は、受信部１２１により受信された書換プログラム５を書換領域１３に書き込む。書込部１２２は、書換領域１３への書き込みが完了した場合、書き込み対象の書換プログラム５をバッファ領域１１から消去する。これにより、受信部１２１は、新たな書換プログラム５を受信してバッファ領域１１に格納することができる。

消去部１２３は、通知部１２０がリプログラミング処理の開始要求を通知した後、書換領域１３に格納されたプログラムを消去する。消去部１２３によるプログラムの消去によって書換領域１３に空きが有ると、書込部１２２は、バッファ領域１１に格納された書換プログラム５を、書換領域１３に書き込むことができると共に、当該書換プログラム５をバッファ領域１１から消去することができる。

書換領域１３は、ＥＣＵ９０１の機能を実現するためのプログラムを格納する領域である。ＥＣＵ９０１の機能を実現するためのプログラムとしては、例えば、車両の制御機能を実現するプログラムの他、第１マイコン１を起動させるブートプログラム等を含む。書換領域１３は、ＥＥＰＲＯＭ、フラッシュメモリ又はＳＳＤのような不揮発性の記憶装置によって構成されてもよい。

第２マイコン２は、第１マイコン１よりもリソースに余裕があるマイコンである。第２マイコン２は、ＥＣＵ９０１が停止状態に移行する際にリソースに空きが生じるマイコンであってもよい。具体的には、第２マイコン２は、或るドライビングサイクルにおいて、イグニッションスイッチがオフ状態に移行する際に、第１マイコン１に対するリプログラミングを行うための処理を行い得る程度にリソースに空きが生じるマイコンであってもよい。例えば、第２マイコン２は、イグニッションスイッチがオフ状態に移行する際に第２マイコン２に対するリプログラミングを行う必要が無いデュアルバンクマイコンによって構成される。デュアルバンクマイコンは、イグニッションスイッチがオン状態でもリプログラミングを行うことが可能であるからである。或いは、第２マイコン２は、ＯＴＡのリプログラミング対象でないシングルバンクマイコンによって構成されてもよい。第２マイコン２は、ＥＣＵ９０１に複数備えられていてもよい。

なお、ドライビングサイクルとは、イグニッションスイッチがオン状態に移行してエンジン等の動力源が始動した状態（アイドリングストップ対応車両におけるエンジンの自動停止に続く始動を除く）から、イグニッションスイッチがオフ状態に移行して動力源が停止した状態（アイドリングストップ対応車両におけるエンジンの自動停止を除く）までの期間のことであってもよい。

第２マイコン２は、制御部２０と、リプロ処理プログラム記憶部２１と、書換ソフトウェア記憶部２２とを備える。

制御部２０は、ＣＰＵ、ＭＰＵ又はＤＳＰ等のプロセッサを有しており、リプロ処理プログラム記憶部２１に格納されたプログラム、又は、第２マイコン２に係るＥＣＵ９０１の機能を実現するためのプログラム（不図示）を実行する。これにより、制御部２０は、リプログラミング機能又はＥＣＵ９０１の機能を実現するための第２マイコン２に係る処理を行う。

リプロ処理プログラム記憶部２１（以下「プログラム記憶部２１」とも称する）は、ＥＣＵ９０１のリプログラミング機能を実現するために制御部２０によって実行されるプログラム（以下「リプロ処理プログラム」とも称する）を格納する。プログラム記憶部２１は、ＥＥＰＲＯＭ、フラッシュメモリ又はＳＳＤのような不揮発性の記憶装置によって構成されてもよい。

プログラム記憶部２１は、リプロ処理プログラムとして、取得部２１０と、暗号処理部２１１と、伸張処理部２１２とを格納する。

取得部２１０は、第１マイコン１の通知部１２０からリプログラミング処理の開始要求が通知された場合、書換ソフトウェア記憶部２２に格納された書換ソフトウェア２２１（書換プログラム５）を取得する。

暗号処理部２１１は、取得部２１０により取得された書換ソフトウェア２２１（書換プログラム５）に対して暗号処理を行う。暗号処理部２１１は、プログラム記憶部２１に備えられたリプロ処理プログラムとして構成されるのではなく、耐タンパ性を有するＨＳＭ、ＳＨＥ、ＴＰＭ、又は、その他のセキュアマイコン（セキュアコアとも称する）によって構成されてもよい。暗号処理部２１１は、耐タンパ性を有するセキュアマイコン等によって構成されることにより、プログラムの改竄を防止することができるので、リプログラミング処理に関するＥＣＵ９０１のセキュリティの強化を図ることができる。

暗号処理部２１１は、復号化部２１１１と署名検証部２１１２とを含む。復号化部２１１１は、予め暗号化された書換ソフトウェア２２１（書換プログラム５）を、予め定められた暗号アルゴリズムによって復号化する。復号化に利用される共通鍵又は秘密鍵の鍵情報は、プログラム記憶部２１のような不揮発性の記憶装置に予め格納されていてよいし、耐タンパ性を有する記憶装置に予め格納されていてもよい。署名検証部２１１２は、予め書換ソフトウェア２２１（書換プログラム５）に付与された電子署名を、予め定められた暗号アルゴリズムによって検証する。この電子署名が検証されることにより、書換ソフトウェア２２１（書換プログラム５）の完全性が検証される。署名検証に利用される公開鍵又は共通鍵の鍵情報は、プログラム記憶部２１のような不揮発性の記憶装置に予め格納されていてよいし、耐タンパ性を有する記憶装置に予め格納されていてもよい。

伸張処理部２１２は、取得部２１０により取得された書換ソフトウェア２２１（書換プログラム５）に対して伸張処理を行う。すなわち、伸張処理部２１２は、予め圧縮された書換ソフトウェア２２１（書換プログラム５）を伸張する。伸張処理部２１２は、プログラム記憶部２１に備えられたリプロ処理プログラムとして構成されるのではなく、第２マイコン２に備えられたハードウェアアクセラレータによって構成されてもよい。

本実施形態では、書換ソフトウェア２２１（書換プログラム５）に対して行われる、暗号処理部２１１の暗号処理（署名検証及び復号化）、及び、伸張処理部２１２の伸張処理を、「暗号・伸張処理」とも称する。暗号・伸張処理は、リプログラミング処理において第１マイコン１の書換領域１３に格納されたプログラムを書換ソフトウェア２２１（書換プログラム５）に書き換える前に、書換ソフトウェア２２１（書換プログラム５）に対して行われる処理である「前処理」の一例である。本実施形態では、暗号処理部２１１及び伸張処理部２１２を、「前処理部２１４」とも称する。

送信部２１３は、暗号処理部２１１及び伸張処理部２１２により暗号・伸張処理が行われた書換プログラム５を、通信バス３を介して第１マイコン１に送信する。具体的には、送信部２１３は、第１マイコン１の通知部１２０から書換プログラム５の送信許可が通知された場合、暗号処理部２１１及び伸張処理部２１２により暗号・伸張処理が行われた書換プログラム５を、第１マイコン１に送信する。すなわち、送信部２１３は、第１マイコン１から書換プログラム５の送信許可が通知された場合、前処理部２１４により前処理が行われた書換プログラム５を第１マイコン１に送信する。

書換ソフトウェア記憶部２２は、第１マイコン１の書換領域１３に格納されたプログラムを書き換えるための書換プログラム５を含む書換ソフトウェア２２１を格納する。書換ソフトウェア記憶部２２は、第２マイコン２に備えられた不揮発性の記憶装置によって構成されてもよい。書換ソフトウェア記憶部２２は、外部フラッシュのような、ＥＣＵ９０１に外付けされる不揮発性の記憶装置によって構成されてもよい。書換ソフトウェア記憶部２２が外付けの記憶装置である場合、書換ソフトウェア記憶部２２と第２マイコン２とのデータ通信は、ＳＰＩのような通信規格を用いて行われてもよい。

第２マイコン２は、イグニッションスイッチがオン状態の際、すなわちＥＣＵ９０１が停止状態に移行する前に、外部装置からＯＴＡ等によって配信された書換ソフトウェア２２１をダウンロードすることによって書換ソフトウェア２２１を受信し、書換ソフトウェア記憶部２２に格納してもよい。或いは、第２マイコン２は、ＣＡＮ又はＥｔｈｅｒｎｅｔ等の通信ネットワークを介してＥＣＵ９０１に接続された他のＥＣＵから書換ソフトウェア２２１を受信し、書換ソフトウェア記憶部２２に格納してもよい。第２マイコン２が書換ソフトウェア２２１を受信する手法については、特に限定されない。

図２は、図１に示す書換ソフトウェア２２１の生成過程を説明する図である。なお、図２に記載された矢印は、概念的なコマンド又はデータの流れを示したものであり、通信方向又は指示方向を限定するものではない。また、矢印で図示されていないコマンド又はデータの流れが存在してもよい。図３以降の図面についても同様である。

書換プログラム５は、任意のプログラミング言語によって作成されたソースコードが、コンパイラ又はインタプリタ等のソフトウェアによって変換されたオブジェクトコード又は実行ファイルとして表現される。

書換ソフトウェア生成装置４は、１又は複数の書換プログラム５を入力として、予め定められたフォーマットに基づいて、書換ソフトウェア２２１を出力するソフトウェアである。書換ソフトウェア生成装置４は、予め定められたアルゴリズムによって書換プログラム５の圧縮、暗号化及び署名付与をそれぞれ行う圧縮部４１、暗号化部４２及び署名付与部４３を含む。

圧縮部４１、暗号化部４２及び署名付与部４３の各処理の実行順序は、書換ソフトウェア２２１のフォーマットに応じて自由に設定され得る。図２に示す各処理の実行順序の例によって書換ソフトウェア２２１が生成された場合、第２マイコン２におけるリプログラミング処理では、書換ソフトウェア生成装置４とは逆の順序（署名検証→復号化→伸張）にて、署名検証、復号化及び伸張の各処理が実行される。

なお、書換ソフトウェア生成装置４は、圧縮部４１、暗号化部４２及び署名付与部４３の全てが必須であるとは限らない。また、書換ソフトウェア２２１のフォーマットによっては、書換ソフトウェア生成装置４において、圧縮、暗号化及び署名付与の各処理を、書換プログラム５の任意のサイズ毎に行うことも可能である。この際、例えば、書換ソフトウェア生成装置４において、書換プログラム５に対して２つの電子署名を付与した場合には、第２マイコン２におけるリプログラミング処理では、２回の署名付与に対応して２回の署名検証を行うことになる。

図３は、図１に示すＥＣＵ９０１において行われるリプログラミング処理のシーケンス図である。

図３に示すリプログラミング処理は、イグニッションスイッチがオフ状態に移行することを契機として開始される（ステップＳ１０１）。

第１マイコン１は、リプログラミング処理の要否を判定する（ステップＳ１０２）。第１マイコン１は、例えば、書換ソフトウェア２２１が書換ソフトウェア記憶部２２に格納されていない場合（ステップＳ１０２がＮＯ）、リプログラミング処理が不要と判定する。そして、第１マイコン１は、リプログラミング処理を終了する。一方、第１マイコン１は、書換ソフトウェア２２１が書換ソフトウェア記憶部２２に格納されている場合（ステップＳ１０２がＹＥＳ）、リプログラミング処理が必要と判定する。そして、第１マイコン１は、リプログラミング処理の開始要求を第２マイコン２に通知する（ステップＳ１０３）。

第２マイコン２は、リプログラミング処理の開始要求が第１マイコン１から通知された場合、書換ソフトウェア記憶部２２に格納された書換ソフトウェア２２１を取得する（ステップＳ１０４）。そして、第２マイコン２は、取得された書換ソフトウェア２２１に付与された電子署名を検証し（ステップＳ１０５）、検証結果を第１マイコン１に通知する（ステップＳ１０６）。

第１マイコン１は、電子署名の検証結果が第２マイコン２から通知された場合、検証結果が検証成功を示しているか否かを判定する（ステップＳ１０７）。第１マイコン１は、検証結果が検証失敗を示している場合（ステップＳ１０７がＮＯ）、所定の例外処理を行う（ステップＳ１０８）。この例外処理としては、例えば、ステップＳ１０９以降のリプログラミング処理を中止し、ＥＣＵ９０１を電源シャットダウン状態に移行させてもよい。一方、第１マイコン１は、検証結果が検証成功を示している場合（ステップＳ１０７がＹＥＳ）、書換領域１３に格納されたプログラムの消去を開始する（ステップＳ１０９）。

第２マイコン２は、ステップＳ１０９に並行して、書換ソフトウェア記憶部２２に格納された書換ソフトウェア２２１から、予め定められたデータブロック単位で、書換プログラム５を取得する（ステップＳ１１０）。そして、第２マイコン２は、取得された書換プログラム５に対して暗号・伸張処理を行い（ステップＳ１１１）、当該書換プログラム５を復号化及び伸張する。第１マイコン１によるプログラムの消去（ステップＳ１０９）に並行して、第２マイコン２が暗号・伸張処理を行うことによって、ＥＣＵ９０１は、リプログラミングに要する時間を短縮することができる。

第１マイコン１は、ステップＳ１０９の後、書換プログラム５を格納可能な程度の空きがバッファ領域１１に有るか否かを判定する（ステップＳ１１２）。第１マイコン１は、バッファ領域１１に空きが無い場合（ステップＳ１１２がＮＯ）、所定の周期毎にバッファ領域１１に空きが生じたか否かをポーリングする。一方、第１マイコン１は、バッファ領域１１に空きが有る場合（ステップＳ１１２がＹＥＳ）、書換プログラム５の送信許可を第２マイコン２に通知する（ステップＳ１１３）。すなわち、第１マイコン１は、バッファ領域１１の空き状況に応じて書換プログラム５の送信許可を第２マイコン２に通知する。

第２マイコン２は、書換プログラム５の送信許可が第１マイコン１から通知された場合、予め定められたデータブロック単位で、書換プログラム５を第１マイコン１に送信する（ステップＳ１１４）。第１マイコン１は、第２マイコン２から送信された書換プログラム５を受信し（ステップＳ１１５）、バッファ領域１１に格納する。そして、第１マイコン１は、予め定められたデータブロック単位で、バッファ領域１１に格納された書換プログラム５を読み出し、書換領域１３に書き込む（ステップＳ１１６）。ここで、バッファ領域１１に格納された書換プログラム５は、書換領域１３への書き込みが完了した後、新たな書換プログラム５が受信されるまでに、第１マイコン１によって消去される。

第２マイコン２は、ステップＳ１１４の後、書換プログラム５の第１マイコン１への送信が、書換ソフトウェア２２１を構成する最終のデータブロックまで完了したか否かを判定する（ステップＳ１１７）。すなわち、第２マイコン２は、書換プログラム５を全て第１マイコン１に送信したか否かを判定する。第２マイコン２は、書換プログラム５の送信が最終のデータブロックまで完了していない場合（ステップＳ１１７がＮＯ）、ステップＳ１１０に移行する。一方、第２マイコン２は、書換プログラム５の送信が最終のデータブロックまで完了した場合（ステップＳ１１７がＹＥＳ）、第２マイコン２に係るリプログラミング処理を終了する。

第１マイコン１は、ステップＳ１１６の後、書換プログラム５の書換領域１３への書き込みが、書換ソフトウェア２２１を構成する最終のデータブロックまで完了したか否かを判定する（ステップＳ１１８）。すなわち、第１マイコン１は、書換プログラム５を全て書換領域１３に書き込んだか否かを判定する。第１マイコン１は、書換プログラム５の書き込みが最終のデータブロックまで完了していない場合（ステップＳ１１８がＮＯ）、ステップＳ１１２に移行する。一方、第２マイコン２は、書換プログラム５の書き込みが最終のデータブロックまで完了した場合（ステップＳ１１８がＹＥＳ）、第１マイコン１に係るリプログラミング処理を終了する。

第１マイコン１及び第２マイコン２は、書換プログラム５の書き込み及び送信が最終のデータブロックまで完了した場合、リプログラミング処理が完了したと判定する。その後、第１マイコン１及び第２マイコン２は、ＥＣＵ９０１を電源シャットダウン状態に移行させてもよい。

なお、第２マイコン２は、暗号・伸張処理を行った後、第１マイコン１から書換プログラム５の送信許可を通知されるまでの間（ステップＳ１１１とステップＳ１１３との間）に、先行して、新たな書換プログラム５を取得し、暗号・伸張処理を行ってもよい。

図４は、図３に示すリプログラミング処理を説明する図である。なお、図４において、紙面の右方向は、時間軸の正方向を示す。

図４では、第２マイコン２において書換ソフトウェア２２１に付与された電子署名の検証が行われ、第１マイコン１において署名の検証が成功したことが確認された後に、期間Ｔ１が開始する。

期間Ｔ１において、第１マイコン１では、書換領域１３に格納されたプログラムを消去している。これに並行して、第２マイコン２では、書換プログラム５の暗号・伸張処理を行う。また、第２マイコン２では、バッファ領域１１の空き状況に応じて、予め定められたデータブロック単位で、書換プログラム５を第１マイコン１に送信することができる。書換領域１３に格納されたプログラムの消去中、第１マイコン１は、書換プログラム５を書換領域１３に書き込むことができないので、書換プログラム５（Ｂ１、Ｂ２）は、バッファ領域１１に格納したままとなる。

期間Ｔ２において、第１マイコン１では、期間Ｔ１においてバッファ領域１１に格納された書換プログラム５（Ｂ１、Ｂ２）を書換領域１３に書き込む。この書き込みが完了すると、第１マイコン１は、バッファ領域１１に格納された書換プログラム５（Ｂ１、Ｂ２）を消去する。バッファ領域１１に空きが生じるまでの間、第２マイコン２では、先行して、書換プログラム５の暗号・伸張処理を行うことができる。バッファ領域１１に空きが生じたタイミングにおいて、第１マイコン１は書換プログラム５の送信許可を第２マイコン２に通知する。すると、第２マイコン２は、先行して暗号・伸張処理が行われた書換プログラム５（Ｂ３、Ｂ４）を第１マイコン１に送信することができる。第１マイコン１では、書換プログラム５（Ｂ３、Ｂ４）をまとめて書換領域１３に書き込むことができる。

期間Ｔ３以降においても、第１マイコン１及び第２マイコン２の基本的な処理手順は期間Ｔ１及びＴ２と同様である。すなわち、第２マイコン２では、暗号・伸張処理を先行して行い、バッファ領域１１に空きが生じた分だけ、書換プログラム５を第１マイコン１に送信する。第１マイコン１では、バッファ領域１１に格納された書換プログラム５を書換領域１３に書き込み、書き込みが完了したらバッファ領域１１に格納された書換プログラム５を消去する。

以上のように、実施形態１のＥＣＵ９０１は、メモリバンクがシングルバンクとして構成された書換領域１３に格納されたプログラムを実行する第１マイコン１と、第２マイコン２とを備える制御装置である。第２マイコン２は、リプログラミング処理において暗号・伸張処理等の前処理を書換プログラム５に行う前処理部２１４と、前処理が行われた書換プログラム５を第１マイコン１に送信する送信部２１３とを有する。第１マイコン１は、第２マイコン２から送信された書換プログラム５を受信する受信部１２１と、受信された書換プログラム５を書換領域１３に書き込む書込部１２２とを有する。

このような構成により、実施形態１のＥＣＵ９０１は、第１マイコン１のプログラムを書換プログラム５に書き換える前に書換プログラム５に対して行われる前処理を、第１マイコン１にて行うのではなく、第２マイコン２にて行うことができる。すなわち、実施形態１のＥＣＵ９０１では、第１マイコン１と第２マイコン２とが協働してリプログラミング処理を行うことによって、第１マイコン１のプログラムを書換プログラム５に書き換えることができる。これにより、実施形態１のＥＣＵ９０１は、第２マイコン２に比べてリソースが制限された第１マイコン１に係るリプログラミング処理の処理時間を短縮することができる。よって、実施形態１のＥＣＵ９０１は、シングルバンクマイコンを備える制御装置のＯＴＡによるリプログラミングに要する時間を短縮することができる。

更に、実施形態１の第１マイコン１は、リプログラミング処理の開始要求を第２マイコン２に通知する通知部１２０と、通知部１２０が開始要求を通知した後、書換領域１３に格納されたプログラムを消去する消去部１２３とを更に有する。実施形態１の第２マイコン２は、第１マイコン１からリプログラミング処理の開始要求が通知された場合、書換プログラム５を取得する取得部２１０を更に有する。第２マイコン２の前処理部２１４は、取得部２１０により取得された書換プログラム５に対して前処理を行う。

このような構成により、実施形態１の第２マイコン２は、第１マイコン１が書換プログラム５を書き込むことができない書換領域１３のプログラムの消去中に、先行して、新たな書換プログラム５に対する前処理を行うことができる。これにより、実施形態１のＥＣＵ９０１は、第２マイコン２のリソースを有効活用して書換領域１３のプログラムが消去されたら第１マイコン１が書換プログラム５を直ちに書換領域１３に書き込むことができる。したがって、実施形態１のＥＣＵ９０１は、第１マイコン１に係るリプログラミング処理を効率的に行うことができ、その処理時間を更に短縮することができる。よって、実施形態１のＥＣＵ９０１は、シングルバンクマイコンを備える制御装置のＯＴＡによるリプログラミングに要する時間を更に短縮することができる。

更に、実施形態１の第１マイコン１は、受信された書換プログラム５を書換領域１３に書き込む前に一時的に格納するバッファ領域１１を有する。第１マイコン１の通知部１２０は、バッファ領域１１の空き状況に応じて書換プログラム５の送信許可を第２マイコン２に通知する。第２マイコン２の送信部２１３は、第１マイコン１から送信許可が通知された場合、前処理が行われた書換プログラム５を第１マイコン１に送信する。

このような構成により、実施形態１の第２マイコン２は、第１マイコン１が書換領域１３に書換プログラム５を書き込み中、又は、書換領域１３からプログラムを消去中であっても、前処理が行われた書換プログラム５を第１マイコン１に送信することができる。これにより、実施形態１のＥＣＵ９０１は、書換領域１３への書換プログラム５の書き込みが可能なタイミングになると、第１マイコン１が書換プログラム５を直ちに書換領域１３に書き込むことができる。したがって、実施形態１のＥＣＵ９０１は、第１マイコン１に係るリプログラミング処理を効率的に行うことができ、その処理時間を更に短縮することができる。よって、実施形態１のＥＣＵ９０１は、シングルバンクマイコンを備える制御装置のＯＴＡによるリプログラミングに要する時間を更に短縮することができる。

更に、実施形態１の第１マイコン１の通知部１２０は、ＥＣＵ９０１が停止状態に移行する際に、リプログラミング処理の要否を判定し、判定結果に基づいてリプログラミング処理の開始要求を第２マイコン２に通知する。

このような構成により、実施形態１のＥＣＵ９０１は、リプログラミング処理を行うことが適切でない時期にリプログラミング処理を行うこと抑制することができる。よって、実施形態１のＥＣＵ９０１は、シングルバンクマイコンを備える制御装置のＯＴＡによるリプログラミングを効率的に行うことができる。

更に、実施形態１の第２マイコン２の前処理部２１４は、署名検証部２１１２及び復号化部２１１１を含む暗号処理部２１１と、伸張処理部２１２と、を有する。

このような構成により、実施形態１のＥＣＵ９０１は、書換プログラム５の機密性や完全性等を担保すると共に、書換プログラム５のデータ通信時間を抑制しながら、第１マイコン１に係るリプログラミング処理の処理時間を短縮することができる。よって、実施形態１のＥＣＵ９０１は、シングルバンクマイコンを備える制御装置のＯＴＡによるリプログラミングに要する時間を短縮することができると共に、リプログラミングに係るセキュリティの強化を図ることができる。

更に、実施形態１のＥＣＵ９０１は、車両に搭載され前記車両を制御する装置である。第１マイコン１の通知部１２０は、車両のイグニッションスイッチがオフ状態に移行することに伴ってＥＣＵ９０１が停止状態に移行することを契機として、リプログラミング処理の開始要求を第２マイコン２に通知する。

このような構成により、実施形態１のＥＣＵ９０１は、車両の制御機能を提供する必要がない適切な時期にリプログラミング処理を行うことができる。よって、実施形態１のＥＣＵ９０１は、ＯＴＡによるリプログラミング処理を効率的に行うことができる。

［実施形態２］
図５及び図６を用いて、実施形態２の制御システム９９１について説明する。実施形態２の制御システム９９１において、実施形態１と同様の構成及び動作については、説明を省略する。

図５は、実施形態２の制御システム９９１の機能的構成を示すブロック図である。

実施形態１のリプログラミング処理は、ＥＣＵ９０１の内部において完結していた。これに対し、実施形態２のリプログラミング処理は、複数のＥＣＵによって構成される制御システム９９１において行われる処理であり、複数のＥＣＵ間に跨って行われる処理である。

具体的には、制御システム９９１は、メモリバンクがシングルバンクとして構成された所定領域（書換領域１３）に格納されたプログラムを実行する第１ＥＣＵ９１１と、第２ＥＣＵ９１２とを備える。第１ＥＣＵ９１１は、特許請求の範囲に記載された「第１制御装置」の一例である。第２ＥＣＵ９１２は、特許請求の範囲に記載された「第２制御装置」の一例である。制御システム９９１は、特許請求の範囲に記載された「制御システム」の一例である。

第１ＥＣＵ９１１は、シングルバンクマイコンを含んで構成されるＥＣＵである。第２ＥＣＵ９１２は、第１ＥＣＵ９１１よりもリソースに余裕があるＥＣＵである。第２ＥＣＵ９１２は、例えば、デュアルバンクマイコンを含んで構成されたＥＣＵや、ＯＴＡのリプログラミング対象でないシングルバンクマイコンを含んで構成されたＥＣＵであってもよい。

第２ＥＣＵ９１２は、第１ＥＣＵ９１１の所定領域（書換領域１３）に格納されたプログラムを書換プログラム５に書き換えるリプログラミング処理において書換プログラム５に対して前処理を行う。第２ＥＣＵ９１２は、前処理が行われた書換プログラム５を第１ＥＣＵ９１１に送信する。第１ＥＣＵ９１１は、第２ＥＣＵ９１２から送信された書換プログラム５を受信する。第１ＥＣＵ９１１は、受信された書換プログラム５を所定領域（書換領域１３）に書き込む。

このような構成により、実施形態２の制御システム９９１は、第１ＥＣＵ９１１のプログラムを書換プログラム５に書き換える前に書換プログラム５に対して行われる前処理を、第１ＥＣＵ９１１にて行うのではなく、第２ＥＣＵ９１２にて行うことができる。すなわち、実施形態２の制御システム９９１では、第１ＥＣＵ９１１と第２ＥＣＵ９１２とが協働してリプログラミング処理を行うことによって、第１ＥＣＵ９１１のプログラムを書換プログラム５に書き換えることができる。これにより、実施形態２の制御システム９９１は、第２ＥＣＵ９１２に比べてリソースが制限された第１ＥＣＵ９１１に係るリプログラミング処理の処理時間を短縮することができる。よって、実施形態１の制御システム９９１は、シングルバンクマイコンを備える制御装置のＯＴＡによるリプログラミングに要する時間を短縮することができる。

図５に示すように、制御システム９９１のリプログラミング処理に係る構成は、基本的に、図１に示すＥＣＵ９０１のリプログラミング処理に係る構成と同様である。但し、制御システム９９１では、第１ＥＣＵ９１１の通知部１２０がリプログラミング処理の開始要求を第２ＥＣＵ９１２に通知する場合、図６に示すような手法を用いることが考えられる。第１ＥＣＵ９１１と第２ＥＣＵ９１２とは、ＣＡＮ又はＥｔｈｅｒｎｅｔ等の通信ネットワーク６を介して互いに接続される。

図６は、第１ＥＣＵ９１１と協働してリプログラミング処理を行う第２ＥＣＵ９１２を決定する処理を説明する図である。図６（ａ）は、第１ＥＣＵ９１１と協働してリプログラミング処理を行う第２ＥＣＵ９１２を決定する処理の第１段階を説明する図である。図６（ｂ）は、第１ＥＣＵ９１１と協働してリプログラミング処理を行う第２ＥＣＵ９１２を決定する処理の第２段階を説明する図である。図６（ｃ）は、第１ＥＣＵ９１１と協働してリプログラミング処理を行う第２ＥＣＵ９１２を決定する処理の第３段階を説明する図である。

図６に示す例では、第２ＥＣＵ９１２が複数の第２ＥＣＵ９１２ａ～９１２ｃによって構成される。複数の第２ＥＣＵ９１２ａ～９１２ｃのそれぞれは、通信ネットワーク６を介して第１ＥＣＵ９１１に接続される。図６に示す例では、第１ＥＣＵ９１１と複数の第２ＥＣＵ９１２ａ～９１２ｃとの間において、図６（ａ）～図６（ｃ）の３段階のハンドシェイクを行うことによって、第１ＥＣＵ９１１と協働してリプログラミング処理を行う第２ＥＣＵ９１２を決定する。

図６（ａ）に示す第１段階として、第１ＥＣＵ９１１は、ドライビングサイクル毎に、複数の第２ＥＣＵ９１２ａ～９１２ｃに対して、リプログラミング処理の可否を問い合わせるクエリを送信する。第１ＥＣＵ９１１は、クエリを送信するべき宛先が予め定められたテーブルを保持し、当該テーブルを参照することによって、特定の第２ＥＣＵ９１２に対してクエリを送信してもよい（例えばユニキャスト方式）。或いは、第１ＥＣＵ９１１は、ブロードキャスト方式によって不特定多数の第２ＥＣＵ９１２に対してクエリを送信してもよい。図６（ａ）には、第１ＥＣＵ９１１が複数の第２ＥＣＵ９１２ａ～９１２ｃのそれぞれにクエリを送信している例が示されている。

図６（ｂ）に示す第２段階として、複数の第２ＥＣＵ９１２ａ～９１２ｃは、第１ＥＣＵ９１１に対して、図６（ａ）のクエリに対するレスポンスを送信する。複数の第２ＥＣＵ９１２ａ～９１２ｃは、リプログラミング処理を行うことが可能な第２ＥＣＵ９１２だけが、第１ＥＣＵ９１１にレスポンスを送信してもよい。或いは、複数の第２ＥＣＵ９１２ａ～９１２ｃは、クエリを受信した全ての第２ＥＣＵ９１２が、第１ＥＣＵ９１１にレスポンスを送信してもよい。図６（ｂ）には、クエリを受信した複数の第２ＥＣＵ９１２ａ～９１２ｃのそれぞれが、第１ＥＣＵ９１１にレスポンスを送信している例が示されている。

図６（ｃ）に示す第３段階として、第１ＥＣＵ９１１は、図６（ｂ）に示すレスポンスに基づいて、リプログラミング処理の開始要求を送信する。複数の第２ＥＣＵ９１２ａ～９１２ｃからレスポンスを受信する場合、第１ＥＣＵ９１１は、レスポンスを受信した複数の第２ＥＣＵ９１２ａ～９１２ｃのうちから、協働してリプログラミング処理を行う第２ＥＣＵ９１２を決定する。この場合、第１ＥＣＵ９１１は、決定するべき第２ＥＣＵ９１２の優先度が予め定められた優先度テーブルを保持し、当該優先度テーブルを参照することによって、協働してリプログラミング処理を行う第２ＥＣＵ９１２を決定してもよい。この優先度は、例えば、リプログラミング処理を行う際の複数の第２ＥＣＵ９１２ａ～９１２ｃのそれぞれの処理速度等に基づいて、予め定められていてもよい。図６（ｃ）には、第１ＥＣＵ９１１が、協働してリプログラミング処理を行う第２ＥＣＵ９１２を、第２ＥＣＵ９１２ｃに決定した例が示されている。

なお、第１ＥＣＵ９１１と協働してリプログラミング処理を行う第２ＥＣＵ９１２を決定する処理では、複数の第２ＥＣＵ９１２ａ～９１２ｃのそれぞれが、ドライビングサイクル毎に、リプログラミング処理の可否を第１ＥＣＵ９１１に自発的に送信してもよい。この場合、第１ＥＣＵ９１１は、図６（ａ）に示すようなクエリを複数の第２ＥＣＵ９１２ａ～９１２ｃに対して送信する必要がない。

このように、制御システム９９１は、第２ＥＣＵ９１２が複数の第２ＥＣＵ９１２ａ～９１２ｃによって構成される場合でも、第１ＥＣＵ９１１と協働してリプログラミング処理を行う第２ＥＣＵ９１２を適宜決定することができる。これにより、制御システム９９１は、第２ＥＣＵ９１２が複数の第２ＥＣＵ９１２ａ～９１２ｃによって構成される場合でも、第１ＥＣＵ９１１と第２ＥＣＵ９１２とが協働してリプログラミング処理を行うことができる。よって、制御システム９９１は、第２ＥＣＵ９１２が複数の第２ＥＣＵ９１２ａ～９１２ｃによって構成される場合でも、シングルバンクマイコンを備える制御装置のＯＴＡによるリプログラミングに要する時間を短縮することができる。

［その他］
なお、本発明は上記の実施形態に限定されるものではなく、様々な変形例が含まれる。例えば、上記の実施形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、或る実施形態の構成の一部を他の実施形態の構成に置き換えることが可能であり、また、或る実施形態の構成に他の実施形態の構成を加えることも可能である。また、各実施形態の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路にて設計する等によりハードウェアによって実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアによって実現してもよい。各機能を実現するプログラム、テープ、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（solid state drive）等の記録装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

１…第１マイコン（第１演算処理装置）、１１…バッファ領域、１２０…通知部、１２１…受信部、１２２…書込部、１２３…消去部、１３…書換領域（所定領域）、２…第２マイコン（第２演算処理装置）、２１０…取得部、２１１…暗号処理部、２１１１…復号化部、２１１２…署名検証部、２１２…伸張処理部、２１３…送信部、２１４…前処理部、５…書換プログラム、９０１…ＥＣＵ（制御装置）、９１１…第１ＥＣＵ（第１制御装置）、９１２…第２ＥＣＵ（第２制御装置）、９９１…制御システム

Claims (7)

1. メモリバンクがシングルバンクとして構成された所定領域に格納されたプログラムを実行する第１演算処理装置と、第２演算処理装置とを備える制御装置であって、
   前記第２演算処理装置は、
   前記所定領域に格納された前記プログラムを書換プログラムに書き換えるリプログラミング処理において前記書換プログラムに対して前処理を行う前処理部と、
   前記前処理が行われた前記書換プログラムを前記第１演算処理装置に送信する送信部と、を有し、
   前記第１演算処理装置は、
   前記第２演算処理装置から送信された前記書換プログラムを受信する受信部と、
   受信された前記書換プログラムを前記所定領域に書き込む書込部と、を有する
   ことを特徴とする制御装置。
2. 前記第１演算処理装置は、
   前記リプログラミング処理の開始要求を前記第２演算処理装置に通知する通知部と、
   前記通知部が前記開始要求を通知した後、前記所定領域に格納された前記プログラムを消去する消去部と、を更に有し、
   前記第２演算処理装置は、前記第１演算処理装置から前記開始要求が通知された場合、前記書換プログラムを取得する取得部を更に有し、
   前記前処理部は、前記取得部により取得された前記書換プログラムに対して前記前処理を行う
   ことを特徴とする請求項１に記載の制御装置。
3. 前記第１演算処理装置は、受信された前記書換プログラムを前記所定領域に書き込む前に一時的に格納するバッファ領域を有し、
   前記通知部は、前記バッファ領域の空き状況に応じて前記書換プログラムの送信許可を前記第２演算処理装置に通知し、
   前記送信部は、前記第１演算処理装置から前記送信許可が通知された場合、前記前処理が行われた前記書換プログラムを前記第１演算処理装置に送信する
   ことを特徴とする請求項２に記載の制御装置。
4. 前記通知部は、前記制御装置が制御動作を停止する停止状態に移行する際に、前記リプログラミング処理の要否を判定し、判定結果に基づいて前記開始要求を前記第２演算処理装置に通知する
   ことを特徴とする請求項２に記載の制御装置。
5. 前記前処理部は、
   予め前記書換プログラムに付与された電子署名を検証する署名検証部、及び、予め暗号化された前記書換プログラムを復号化する復号化部を含む暗号処理部と、
   予め圧縮された前記書換プログラムを伸張する伸張処理部と、を有する
   ことを特徴とする請求項２に記載の制御装置。
6. 前記制御装置は、車両に搭載され前記車両を制御する装置であり、
   前記通知部は、前記車両のイグニッションスイッチがオフ状態に移行することに伴って前記制御装置が制御動作を停止する停止状態に移行することを契機として、前記開始要求を前記第２演算処理装置に通知する
   ことを特徴とする請求項２に記載の制御装置。
7. メモリバンクがシングルバンクとして構成された所定領域に格納されたプログラムを実行する第１制御装置と、第２制御装置とを備える制御システムであって、
   前記第２制御装置は、
   前記所定領域に格納された前記プログラムを書換プログラムに書き換えるリプログラミング処理において前記書換プログラムに対して前処理を行い、
   前記前処理が行われた前記書換プログラムを前記第１制御装置に送信し、
   前記第１制御装置は、
   前記第２制御装置から送信された前記書換プログラムを受信し、
   受信された前記書換プログラムを前記所定領域に書き込む
   ことを特徴とする制御システム。

Images